Rentabilité d'un investissement en cybersécurité : comment justifier le budget

Un investissement en cybersécurité ne génère pas de chiffre d'affaires : il réduit une perte attendue. Pour le justifier, on compare son coût à la perte annuelle qu'il permet d'éviter, estimée en multipliant la probabilité d'un incident par son coût. Cette approche n'a rien d'exact, car les probabilités sont incertaines, mais elle impose une discipline utile : identifier les scénarios les plus coûteux, hiérarchiser les mesures et expliquer à la direction pourquoi telle dépense passe avant telle autre.

La logique de la perte annuelle attendue

La formule de base est simple : perte annuelle attendue = probabilité annuelle de l'incident x coût de l'incident. Si un incident coûterait 80 000 euros et que vous estimez sa probabilité à 10 % par an, la perte attendue est de 8 000 euros par an. Une mesure qui réduit de moitié cette probabilité évite en moyenne 4 000 euros de perte par an.

Pour une petite entreprise, il est plus réaliste d'utiliser des fourchettes (probabilité faible, moyenne, élevée) que des pourcentages précis, et de tester plusieurs hypothèses.

Chiffrer le coût d'un incident

Le coût d'un incident se compose de plusieurs éléments qu'il faut additionner, car certains sont peu visibles :

1. Perte d'exploitation : chiffre d'affaires ou marge perdus par jour d'arrêt, multipliés par la durée.
2. Coût de remise en état : heures de prestataires, rachat de matériel, restauration de données.
3. Coûts de crise : expertise, avocats, communication.
4. Coûts liés aux données personnelles : notification, éventuelle sanction ou réclamation.
5. Pertes indirectes : clients perdus, retards de facturation, pénalités contractuelles, hausse de la prime d'assurance.
6. Temps de la direction et des équipes, souvent oublié.

Coût d'une journée d'arrêt : méthode

Une approche prudente consiste à partir de la marge brute quotidienne. Exemple illustratif : une entreprise réalise 2,4 millions d'euros de chiffre d'affaires annuel avec 40 % de marge brute sur 240 jours ouvrés. La marge brute par jour est de 2 400 000 x 0,40 / 240 = 4 000 euros. À cela s'ajoutent les salaires, qu'il faut continuer à payer même à l'arrêt, que l'on peut approcher par les charges de personnel quotidiennes. Si elles représentent 3 500 euros par jour, un jour d'arrêt coûte de l'ordre de 4 000 euros de marge perdue, le personnel étant payé dans tous les cas. Une paralysie de dix jours dépasse alors 40 000 euros, sans compter la remise en état.

Utiliser le calculateur

Le calculateur de rentabilité transforme ces hypothèses en délai de retour. Exemple d'usage avec des chiffres illustratifs :

• coût de la mesure : 12 000 euros ;
• aide éventuelle : 0 euro ;
• pertes annuelles évitées estimées : 6 000 euros ;
• hausse annuelle de l'exposition : 5 % ;
• horizon : cinq ans.

Les pertes évitées cumulées atteignent environ 6 000 + 6 300 + 6 615 + 6 946 + 7 293, soit près de 33 000 euros. Le coût net de 12 000 euros est amorti au cours de la troisième année. Modifiez les valeurs pour tester une hypothèse pessimiste, par exemple 3 000 euros de pertes évitées par an : le délai de retour dépasse alors quatre ans.

Comparer plusieurs mesures entre elles

Le tableau suivant illustre comment hiérarchiser des mesures par rapport au risque qu'elles traitent. Les chiffres sont fictifs.

La logique classique est de commencer par les mesures qui traitent beaucoup de risque pour un faible coût, puis d'ajouter progressivement. Cela rejoint la logique du plan d'action sur 90 jours.

Au-delà du calcul : les bénéfices difficiles à chiffrer

Certains gains échappent aux formules mais comptent dans la décision :

• Accès à des marchés : de grands clients exigent des garanties de sécurité de leurs fournisseurs.
• Réduction de prime d'assurance ou accès à l'assurance : des mesures démontrées améliorent les conditions de souscription.
• Confiance des clients et des salariés, notamment dans les métiers qui manipulent des données personnelles.
• Conformité : certaines obligations légales rendent la dépense non optionnelle, comme le RGPD pour les données personnelles ou la directive NIS 2 pour les entités concernées.
• Résilience : une entreprise qui sait restaurer en quelques heures n'a pas le même profil de risque qu'une autre qui mettrait plusieurs semaines.

Construire un argumentaire pour la direction

Une présentation efficace tient sur quelques éléments :

1. Trois scénarios réalistes pour l'entreprise, avec leur coût estimé.
2. Les mesures proposées, leur coût et leur effet attendu sur chaque scénario.
3. Un calendrier réaliste, avec des premiers résultats en quelques semaines.
4. Les options : budget minimal, budget recommandé, budget étendu.
5. Ce qui reste non couvert, y compris le risque résiduel que l'on accepte ou que l'on transfère à l'assurance.

Évitez les statistiques alarmistes non sourcées : elles affaiblissent l'argumentaire. Mieux vaut s'appuyer sur des chiffres internes (votre marge, vos jours d'arrêt tolérables) et sur les publications officielles de l'ANSSI et de Cybermalveillance.gouv.fr pour décrire les menaces.

Les biais à éviter

• Le biais d'absence d'incident : « il ne s'est rien passé jusqu'ici » ne prouve pas l'efficacité des mesures ni leur inutilité.
• Le biais de l'outil miracle : croire qu'un produit remplace une organisation.
• La sous-estimation du coût de restauration, notamment quand les sauvegardes n'ont jamais été testées.
• L'oubli du coût récurrent : licences, supervision, mises à jour.

Quand consulter un professionnel

Pour une entreprise dont l'arrêt d'activité aurait un impact élevé, un consultant en gestion des risques peut mener une analyse structurée, par exemple selon la méthode EBIOS Risk Manager publiée par l'ANSSI. Cette méthode permet de relier les scénarios d'attaque aux dommages métiers et aux mesures à prioriser.

Questions fréquentes

Peut-on prouver le retour sur investissement de la cybersécurité ?

On peut en donner une estimation raisonnée, pas une preuve. La valeur apparaît surtout lors d'un incident évité ou limité, ce qui est difficile à observer.

Une aide publique modifie-t-elle le calcul ?

Oui : elle réduit le coût net, donc le délai de retour. Renseignez-la dans le calculateur uniquement si elle est confirmée par écrit.

Faut-il refaire le calcul chaque année ?

Oui, car le coût d'un arrêt, vos outils et les menaces évoluent. Une revue annuelle au moment du budget est un bon rythme.

Sources et références

• ANSSI — méthode EBIOS Risk Manager et guides de gestion des risques.
• Cybermalveillance.gouv.fr — publications sur les menaces visant les entreprises.
• CNIL — obligations relatives aux données personnelles.