La méthode EBIOS Risk Manager publiée par l’ANSSI en 2018 est devenue la référence française pour l’analyse de risque cyber. Elle est citée explicitement dans le Référentiel Cyber France comme un moyen acceptable de satisfaire les objectifs d’approche par les risques de NIS2. Elle est demandée par la plupart des donneurs d’ordre et des assureurs cyber pour qualifier le sérieux de la démarche d’une organisation.
Pourtant, la mise en œuvre courante d’EBIOS RM dans les cabinets et chez les clients souffre d’un défaut majeur : elle est presque toujours conduite comme un exercice annuel, mobilisant huit à quinze jours de consultant senior, avec des livrables denses qui vieillissent rapidement et qui sont rarement actualisés en cours d’année. Cette pratique trahit la méthode autant qu’elle l’applique : EBIOS RM est conçu comme une démarche vivante, itérative, qui se nourrit de la veille et qui actualise ses scénarios à mesure que la menace évolue. Une analyse statique gelée pour douze mois est en contradiction avec son esprit.
Le découpage en cinq ateliers et où se trouve la valeur
EBIOS RM se structure en cinq ateliers : cadrage et socle de sécurité (atelier 1), sources de risque et cibles visées (atelier 2), scénarios stratégiques (atelier 3), scénarios opérationnels (atelier 4), traitement du risque (atelier 5). Dans la pratique courante, ces cinq ateliers sont conduits une fois par an, séquentiellement, sur deux à trois semaines, avec une production documentaire dense en sortie de chaque atelier.
Cette structure présente un défaut majeur : elle attribue le même poids opérationnel aux cinq ateliers, alors que leur fréquence d’actualisation optimale est très différente. L’atelier 1 (cadrage et socle) peut effectivement être actualisé annuellement, parce qu’il décrit le périmètre de l’organisation et son écosystème, qui évoluent lentement. Les ateliers 2 à 5 (sources de risque, scénarios stratégiques, scénarios opérationnels, traitement) actualisent beaucoup plus vite, parce qu’ils dépendent de l’évolution de la menace cyber, des incidents observés dans le secteur, et des contrôles mis en œuvre par l’organisation. Geler ces ateliers pendant douze mois revient à raisonner sur une menace de l’année dernière.
Le pipeline d’industrialisation des ateliers 2 à 5
Une industrialisation rationnelle d’EBIOS RM consiste à maintenir l’atelier 1 sur cadence annuelle classique, et à transformer les ateliers 2 à 5 en cycle mensuel automatisé alimenté par la veille.
L’atelier 2 (sources de risque) consomme l’inventaire actualisé des acteurs ciblant le secteur du client, leur motivation, leurs capacités. Cette information est produite mois par mois par la Cyber Threat Intelligence sectorielle : revendications publiques, attribution d’incidents, évolution des TTPs MITRE ATT&CK. Un pipeline qui consomme ces sources et qui les présente sous forme structurée actualise l’atelier 2 chaque mois sans intervention humaine ad-hoc.
L’atelier 3 (scénarios stratégiques) croise les sources de risque avec les valeurs métier de l’organisation pour identifier les scénarios pertinents. La logique de croisement peut être codifiée et automatisée : à chaque nouvelle source de risque pertinente identifiée par l’atelier 2, les scénarios stratégiques associés sont activés ou désactivés. La validation humaine intervient sur les nouveaux scénarios apparus, pas sur l’ensemble du référentiel.
L’atelier 4 (scénarios opérationnels) descend les scénarios stratégiques en séquences techniques d’attaque, en s’appuyant sur les TTPs MITRE ATT&CK des acteurs identifiés. Cette descente est partiellement automatisable : à chaque scénario stratégique correspond une ou plusieurs combinaisons de TTPs, qui peuvent être déduites mécaniquement des fiches acteurs maintenues à jour.
L’atelier 5 (traitement du risque) chiffre l’impact financier des scénarios opérationnels via la méthode Open FAIR, et propose un plan de traitement priorisé par retour sur investissement sécurité. Le calcul FAIR peut être industrialisé : les paramètres de menace (Contact Frequency, Probability of Action, Threat Capability) sont alimentés automatiquement par la CTI, les paramètres de défense (Resistance Strength) sont calculés à partir des contrôles déclarés et observés. La simulation Monte Carlo produit la distribution de l’Annual Loss Expectancy en quelques secondes.
Ce qui reste à l’humain
Ce dispositif ne supprime pas l’intervention humaine, il la concentre là où elle apporte le plus de valeur. L’atelier 1 annuel reste un exercice classique avec dirigeants et RSSI. La validation mensuelle des nouveaux scénarios apparus, des arbitrages de traitement, des risques résiduels acceptés, mobilise un échange court entre le consultant et le RSSI du client — typiquement une heure par mois. La signature du registre d’arbitrages par le dirigeant à chaque fin de cycle matérialise sa responsabilité au sens de l’article 20 de NIS2.
Sur l’année, l’effort consultant senior se situe entre trois et cinq jours, contre dix à quinze pour la démarche annuelle classique. La qualité du livrable est supérieure parce que vivante et fondée sur la menace réelle, pas sur une estimation gelée. L’auditabilité est meilleure parce que le registre d’arbitrages est tenu à jour mois par mois.
La résistance culturelle
Cette industrialisation rencontre deux résistances culturelles qu’il faut nommer.
Première résistance : les cabinets installés sur le marché EBIOS RM annuel ont peu d’intérêt économique à basculer vers le cycle mensuel. Leur facturation repose sur des journées vendues à l’analyse annuelle. Une industrialisation qui diminue le besoin de jours-homme cannibalise leur chiffre d’affaires. La résistance n’est pas méthodologique, elle est commerciale.
Deuxième résistance : la culture française du conseil cyber valorise l’expertise senior individuelle plutôt que le dispositif industriel. Vendre du EBIOS RM industrialisé, c’est culturellement moins prestigieux que vendre une mission senior. Cette perception est légitime mais elle n’est pas alignée avec le besoin des PME et ETI françaises, qui ne peuvent pas absorber annuellement une mission senior à 15 jours-homme.
L’enjeu pour les directions
Pour les dirigeants et RSSI qui pilotent une démarche EBIOS RM, la bonne question à poser à son prestataire en 2026 n’est pas « quelle est votre méthodologie d’analyse de risque ». Tout le monde répond EBIOS RM, parce que c’est la référence. La bonne question est « avec quelle cadence actualisez-vous les ateliers 2 à 5, et quelle est la part automatisée du dispositif ? ».
Une réponse type « atelier annuel reconduit chaque année » est compatible avec la pratique courante du marché, mais elle est obsolète par rapport à l’esprit de la méthode et par rapport à la dynamique de la menace cyber. Une réponse type « ateliers 2 à 5 actualisés mensuellement par pipeline outillé, validation humaine concentrée sur les évolutions » est conforme à l’esprit de l’ANSSI et beaucoup plus utile opérationnellement.
En conclusion
EBIOS Risk Manager n’est pas un livrable annuel à produire pour cocher une case ANSSI. C’est un référentiel méthodologique pour une démarche vivante d’analyse de risque. La mise en œuvre courante en cabinet trahit cet esprit en gelant l’analyse pendant douze mois. L’industrialisation des ateliers 2 à 5 dans un cycle mensuel automatisé, alimenté par la CTI sectorielle, restaure cet esprit et améliore significativement la qualité opérationnelle de la démarche.
Pour les organisations qui veulent prendre l’analyse de risque au sérieux plutôt que de la subir, ce basculement méthodologique est probablement le plus structurant des cinq prochaines années.
Sources : méthode EBIOS Risk Manager publiée par l’ANSSI ; Open FAIR Risk Taxonomy, The Open Group ; Référentiel Cyber France v2.5.
Commentaires récents