Guides · Mis à jour en août 2026
Comment prouver le ROI de la cybersécurité à sa direction
Réponse honnête : le ROI classique — « cet investissement rapportera X » — ne se démontre pas en cybersécurité, et ce ne sont pas les vendeurs d'outils qui le disent, ce sont les praticiens. Franck Chemin, RSSI du Crédit Agricole Alpes Provence et fondateur de Cyber-Way, qui accompagne des PME : « l'enjeu est d'arriver à démontrer à un chef d'entreprise qu'investir dans la cybersécurité, c'est rentable. […] cette mission est quasi impossible. Le challenge est d'estimer les pertes que l'on va éviter alors que tout va bien ! » Si votre plan est de gagner cet argument-là, vous allez le perdre. Le bon plan est de changer d'argument.
Pourquoi l'argument technique ne passe pas
Nadège Reynaud, directrice cybersécurité de STET (l'opérateur des paiements interbancaires français), le dit après vingt ans de gestion des risques : les méthodes d'analyse type EBIOS, « c'est très bien, mais ce n'est pas vendeur auprès d'une direction. Pour moi, il faut vraiment se rapprocher des risques d'entreprise, sortir de son bureau de CISO pour aller chercher les risques qui pèsent sur la valeur de l'entreprise ». Et elle pointe l'angle mort interne : « le plus dur, c'est l'IT pour l'IT, les informaticiens. Ceux qui connaissent la sécurité, ça va, mais ils ne sont pas toujours suivis ». Une direction n'achète pas une matrice de risques ; elle arbitre entre des enjeux d'entreprise.
Les trois arguments qui parlent le langage de la direction
1. Le contrat. L'argument le plus tangible n'est pas une perte hypothétique, c'est un revenu bien réel : les donneurs d'ordre demandent des garanties de sécurité à leurs fournisseurs, au milieu des renouvellements de contrat. La question n'est plus « que perdrait-on en cas d'attaque ? » mais « que perd-on si on ne peut pas répondre au questionnaire sécurité du client ? » — une question dont votre direction commerciale connaît déjà le montant. Le mécanisme, et comment y répondre en une matinée : prouver sa conformité à un client donneur d'ordre.
2. La responsabilité. Alain Bouillé, délégué général du Cesin — le club qui réunit un millier de RSSI français — utilise une analogie qui porte en comité de direction : « un chef d'entreprise est responsable de la sécurité de ses salariés et de ses locaux. » La sécurité des systèmes relève de la même logique de responsabilité de gestion, et NIS 2 inscrit explicitement la gouvernance cyber au niveau des organes de direction. Ce n'est pas un sujet de la DSI qui remonte ; c'est un sujet de direction qui se délègue.
3. Le budget construit. Ce qu'une direction refuse, ce n'est pas de dépenser — c'est de signer un chiffre sorti du chapeau. Un budget qui distingue « ce qu'on active avec l'existant, à coût léger » de « ce qui nécessite un investissement, poste par poste » se défend, parce qu'il est vérifiable. La méthode pour le construire : combien coûte la mise en conformité NIS 2.
Ce qui change quand la conformité devient visible
Le paradoxe du travail de sécurité bien fait, c'est qu'il ne se voit pas — d'où la difficulté de Chemin à « estimer les pertes que l'on va éviter alors que tout va bien ». Une démarche de conformité documentée inverse ce rapport : elle produit des artefacts visibles — un état daté, une progression sur un référentiel public, une attestation qu'un client peut vérifier. La direction ne voit plus une dépense qui prévient un événement invisible ; elle voit un actif qui répond à des demandes réelles, datées, archivées. C'est exactement ce que NewShield rend visible, sans transformer votre RSSI en producteur de reporting.
Découvrir NewShield et voir une attestation type →
Pour aller plus loin
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle. Citations issues de la presse professionnelle citée, propos datés. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.