Monitor
Nous tenons à jour la posture et les indicateurs, et signalons les écarts et les risques qui évoluent.
Livrables- Posture et indicateurs tenus à jour
- Veille sur les menaces et les textes qui vous concernent
- Tableau de bord trimestriel
Domaine · Pilotage cybersécurité
Un cap, des priorités et un suivi, même sans RSSI.
Nous établissons votre posture, construisons une feuille de route réaliste, tenons les indicateurs et préparons les arbitrages que votre direction doit rendre. Vos équipes gardent la décision ; nous tenons le cap.
Situations
Vous êtes au bon endroit si…
- Vous n’avez pas de RSSI, et la cybersécurité se traite au fil des urgences.
- Votre direction vous demande « où en est-on ? » et vous n’avez pas de réponse chiffrée.
- Plusieurs audits ont produit des recommandations que personne n’a hiérarchisées.
- Votre RSSI est absorbé par l’opérationnel et ne trouve plus le temps du pilotage.
- Un texte (NIS 2, DORA) rend la direction responsable de la gestion des risques, et elle veut comprendre ce qu’elle approuve.
Notre conviction
La sécurité exige un cap, des priorités et un suivi, même sans RSSI interne.
Sans pilotage, la cybersécurité devient une suite de projets lancés au gré des incidents, des audits et des sollicitations commerciales. Les budgets se dispersent ; les risques majeurs restent ouverts.
Nous ramenons chaque action à un risque, chaque risque à un responsable, et chaque trimestre à une revue avec la direction. Les décisions restent les vôtres ; nous vous apportons de quoi les prendre.
Notre démarche
De l’état des lieux à la revue de direction.
Un cycle court, répété chaque trimestre, plutôt qu’un schéma directeur figé pour trois ans.
- 01Établir la postureEntretiens, revue documentaire et contrôles ciblés : où vous en êtes, sur un référentiel adapté à votre taille.
Vous obtenezUne posture notée, domaine par domaine
- 02Hiérarchiser les risquesLes scénarios qui menacent vos activités, leur vraisemblance, leur impact et les mesures en place.
Vous obtenezUn registre des risques partagé avec la direction
- 03Construire la feuille de routeDes actions chiffrées, ordonnées par réduction de risque, avec un responsable et une échéance.
Vous obtenezUne feuille de route sur douze mois
- 04Rendre compteIndicateurs, avancement et risques résiduels présentés à la direction, avec les arbitrages à rendre.
Vous obtenezUne revue de direction trimestrielle
Ce que disent les textes
Ce que les textes attendent de la direction.
Les textes récents ne laissent plus la cybersécurité aux seules équipes techniques : ils en font une responsabilité de la direction.
- DORADORA art. 5(2) · DORA art. 5(4)
L’organe de direction d’une entité financière définit, approuve, supervise la mise en œuvre du cadre de gestion du risque informatique, et en répond ; ses membres entretiennent les connaissances nécessaires pour évaluer ce risque.12
- NIS 2NIS 2 art. 20(1) · NIS 2 art. 20(2)
La directive demande aux États membres de veiller à ce que les organes de direction des entités approuvent les mesures de gestion des risques, en supervisent la mise en œuvre, puissent en être tenus responsables et suivent une formation.34
- ReCyFReCyF v2.5, objectif 2 · ReCyF v2.5, objectif 16
Le ReCyF (version de travail) fixe aux entités l’objectif d’un cadre de gouvernance placé sous la responsabilité du dirigeant exécutif, et, pour les entités essentielles, d’une approche par les risques qui lui permet d’accepter les risques résiduels.56
- Guide CNILGuide CNIL sécurité, fiche 1, F01-PE-05
La CNIL recommande un suivi des risques informatiques avec la direction, au travers d’une revue de direction au moins annuelle.7
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Notre interventionNiveau 01 Niveau 02 Niveau 03
Le même sujet, à trois niveaux d’engagement.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Advise
Nous analysons les risques, proposons les priorités et préparons les arbitrages, que vous rendez.
Livrables- Registre des risques commenté
- Feuille de route hiérarchisée et chiffrée
- Propositions d’arbitrage pour la direction
Drive
Nous animons la feuille de route avec vos équipes et vos prestataires, sans effectuer les changements dans votre SI.
Livrables- Animation du comité de sécurité
- Suivi des actions, des échéances et des relances
- Revue de direction préparée et documentée
AccélérateursRéférentiel de posture Votre appli web de suivi Modèles de revue de direction
Ce que nous apportons dès le premier jour.
Une grille d’évaluation proportionnée à votre taille, alignée sur les attentes des textes et des clients.
Risques, actions, indicateurs et décisions dans un outil partagé avec vos équipes, exportable à tout moment.
Un format court, lisible par un dirigeant non spécialiste, qui met en avant les décisions attendues.
Questions fréquentes
Avant de commencer.
Êtes-vous un RSSI externalisé ?
Nous apportons la capacité de pilotage d’un RSSI, sur le périmètre convenu, sans prendre la place de vos décideurs. Si vous recrutez un RSSI, il reprend un dispositif documenté.
La direction doit-elle s’impliquer personnellement ?
Pour une entité financière soumise à DORA, l’organe de direction répond du cadre de gestion du risque informatique ; pour une entité NIS 2, la directive prévoit que les organes de direction approuvent les mesures, sous réserve de la transposition française. Dans tous les cas, nous limitons son temps à l’essentiel : comprendre, arbitrer, suivre.13
Avec quel référentiel évaluez-vous notre posture ?
Celui qui vous sera demandé : un texte qui s’applique à vous, les exigences de vos clients, ou à défaut un référentiel reconnu et proportionné à votre taille. Nous évitons d’en empiler plusieurs.
Combien de temps avant une première feuille de route ?
Le délai dépend de votre taille et de la documentation existante ; nous le fixons au cadrage, avec les livrables, avant tout engagement.
Commencez par un état des lieux.
Décrivez votre organisation et ce qui vous préoccupe. Nous revenons vers vous avec une proposition de cadrage.
Sources
Les extraits cités.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
Voir les 7 extraits cités
- 1DORA art. 5(2)
32022R2554-a5-p2The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk management framework referred to in Article 6(1). For the purposes of the first subparagraph, the management body shall:
- Force normative
- droit UE directement applicable (règlement, niveau 1)
- Source
- Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector
- Version
- CELEX 32022R2554 — ELI reg/2022/2554
- 2DORA art. 5(4)
32022R2554-a5-p4Members of the management body of the financial entity shall actively keep up to date with sufficient knowledge and skills to understand and assess ICT risk and its impact on the operations of the financial entity, including by following specific training on a regular basis, commensurate to the ICT risk being managed.
- Force normative
- droit UE directement applicable (règlement, niveau 1)
- Source
- Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector
- Version
- CELEX 32022R2554 — ELI reg/2022/2554
- 3NIS 2 art. 20(1)
32022L2555-a20-p1Member States shall ensure that the management bodies of essential and important entities approve the cybersecurity risk-management measures taken by those entities in order to comply with Article 21, oversee its implementation and can be held liable for infringements by the entities of that Article. The application of this paragraph shall be without prejudice to national law as regards the liability rules applicable to public institutions, as well as the liability of public servants and elected or appointed officials.
- Force normative
- droit UE à transposer (directive) — non directement applicable, exige une transposition nationale
- Source
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive)
- Version
- CELEX 32022L2555 — ELI dir/2022/2555
- 4NIS 2 art. 20(2)
32022L2555-a20-p2Member States shall ensure that the members of the management bodies of essential and important entities are required to follow training, and shall encourage essential and important entities to offer similar training to their employees on a regular basis, in order that they gain sufficient knowledge and skills to enable them to identify risks and assess cybersecurity risk-management practices and their impact on the services provided by the entity.
- Force normative
- droit UE à transposer (directive) — non directement applicable, exige une transposition nationale
- Source
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive)
- Version
- CELEX 32022L2555 — ELI dir/2022/2555
- 5ReCyF v2.5, objectif 2
recyf:obj-2Les entités [importantes et essentielles] définissent un cadre de gouvernance de la sécurité numérique placé sous la responsabilité du dirigeant exécutif. Le cadre de gouvernance de la sécurité numérique consiste en la mise en place, au sein des entités [importantes et essentielles] : 1. D’une organisation ; 2. De rôles et responsabilités en matière de sécurité numérique ; 3. De processus de gestion de la conformité ; 4. D’une politique de sécurité des systèmes d’information et des politiques comprenant au minimum des dispositions en matière d’usage du chiffrement, de contrôle d’accès physique et logique et de revue de l’application des mesures de sécurité mises en œuvre. Les entités [importantes et essentielles] : - réalisent une analyse de leur conformité vis-à-vis des dispositions [pointer vers les dispositions du décret correspondant aux objectifs de sécurité], - identifient les éventuels écarts existants par rapport aux objectifs de sécurité et, - établissent et suivent dans la durée un plan d’action pour corriger chacun de ces écarts dans les meilleurs délais. Ce plan d’action est adapté à la structure de l’entité et à son environnement. La responsabilité de ce plan d’action est déterminée au regard du cadre de gouvernance de la sécurité numérique mis en place. Les entités essentielles établissent ce plan d’action en tenant compte de l’analyse de risques qu’elles sont tenues de réaliser en application de [l’objectif 16]. Ce plan d’action ne préjuge pas de l’appréciation du respect de ses obligations légales et règlementaires lors d’un contrôle par l’ANSSI.
- Force normative
- obligation (décret, PJL résilience)
- Source
- ReCyF — Référentiel Cyber France (NIS 2, transposition nationale)
- Version
- 2.5 du 17/03/2026 (version de travail)
- Statut
- Version de travail : non opposable tant que la transposition n’est pas promulguée
- 6ReCyF v2.5, objectif 16
recyf:obj-16Les entités [essentielles] mettent en œuvre une approche par les risques placée sous la responsabilité du dirigeant exécutif et leur permettant : 1. de prendre connaissance et de suivre l’évolution des risques pesant sur leurs systèmes d’information ; 2. de définir et suivre la mise en œuvre des mesures de sécurité pour maîtriser ces risques ; 3. d’accepter les risques résiduels.
- Force normative
- obligation (décret, PJL résilience)
- Source
- ReCyF — Référentiel Cyber France (NIS 2, transposition nationale)
- Version
- 2.5 du 17/03/2026 (version de travail)
- Statut
- Version de travail : non opposable tant que la transposition n’est pas promulguée
- 7Guide CNIL sécurité, fiche 1, F01-PE-05
F01-PE-05Assurer un suivi avec la direction en termes de gestion de risques informatiques à travers une revue de direction au moins annuelle. Elle doit permettre d’établir une synthèse et de prendre des décisions considérant : l’évolution du contexte, des enjeux et des attentes des parties prenantes (ex. : clients, partenaires, autorités de contrôle) ; le changement des objectifs et missions de l’organisme ; l’évolution de la menace numérique ; l’essor de nouvelles technologies ou solutions de sécurité ; les évolutions des systèmes d’information et des traitements de données ; l’évolution des risques sur la sécurité des données et la vie privée ; l’avancement du plan d’action juridique (ex. : mise en conformité des contrats) et technique (mesures de sécurité) ; les incidents et violations rencontrés, avec leur impact sur l’organisme et les personnes concernées ; les demandes et plaintes reçues et traitées concernant les données personnelles.
- Force normative
- recommandation (droit souple)
- Source
- Guide pratique RGPD — Sécurité des données personnelles
- Version
- 2024 (mise à jour 2026)