Un rapport ANSSI de mars 2026 révèle que 67 % des membres de conseils d'administration européens déclarent ne pas comprendre les rapports cyber qui leur sont soumis. Dans le même temps, NIS2 et DORA imposent aux organes de direction une responsabilité personnelle sur la gouvernance de la sécurité de l'information. Cette contradiction n'est pas tenable.
Le problème ne vient pas d'une incompétence des administrateurs — il vient d'un désalignement structurel entre le langage de la sécurité (CVE, CVSS, taux de patch, nombre d'alertes SIEM) et le langage de la gouvernance (valeur menacée, probabilité d'impact matériel, comparatif sectoriel, retour sur investissement sécuritaire).
Dans cet article, vous trouverez cinq indicateurs qui transforment un rapport technique en outil de décision stratégique — et les erreurs courantes à éviter dans cet exercice.
Le contexte réglementaire qui impose cette évolution
NIS2 et DORA ne laissent plus le choix. L'article 20 de NIS2 exige que les organes de direction approuvent les mesures de gestion des risques cyber et supervisent leur mise en œuvre. L'article 5 de DORA impose aux conseils d'administration des entités financières une responsabilité explicite sur la résilience opérationnelle numérique. La supervision ne peut plus être déléguée à un sous-comité technique.
Ce changement réglementaire a une conséquence directe sur la forme des rapports cyber : un document compréhensible uniquement par des techniciens ne répond plus à l'obligation légale. Si votre conseil ne peut pas prendre une décision éclairée sur la base de votre rapport, vous n'êtes pas en conformité — même si chaque ligne du document est techniquement exacte.
Les premières enquêtes de conformité menées par les autorités nationales au premier semestre 2026 montrent que ce point est systématiquement soulevé. Plusieurs organisations ont reçu des recommandations formelles de faire évoluer leur format de reporting avant leur prochain audit. Le réflexe de « déposer le rapport RSSI » en conseil sans adapter le format au destinataire est une pratique que les autorités considèrent comme un signe de gouvernance immature.
L'erreur du rapport technique
Le rapport cyber type d'une organisation française en 2026 contient : le nombre de vulnérabilités détectées, le score CVSS moyen du parc, le taux de patch sur 30 jours, le nombre d'alertes SIEM, et le nombre d'incidents traités. Ces métriques sont utiles pour les équipes SOC. Elles sont incompréhensibles — et donc inutilisables — pour une direction générale.
Le problème central : ces indicateurs mesurent l'activité de l'équipe sécurité, pas le niveau de risque de l'organisation. Un administrateur qui voit « 1 247 vulnérabilités détectées, 89 % patchées en J+30 » ne peut pas répondre aux questions qui l'intéressent : est-ce que les 11 % non-patchées représentent un risque matériel ? Sommes-nous mieux ou moins bien que nos pairs du secteur ? Que se passe-t-il si on ne déploie pas le budget supplémentaire demandé ?
L'erreur n'est pas de présenter des données techniques — c'est de s'arrêter là. Ces données doivent être traduites, contextualisées et liées à des conséquences business pour devenir décisionnelles. C'est le rôle du RSSI de faire cette traduction, pas celui du conseil de l'apprendre.
Les 5 indicateurs décisionnels
1. L'exposition financière résiduelle
Exprimez le risque cyber en valeur d'actif menacée. Pas en nombre de systèmes vulnérables, mais en impact potentiel sur le chiffre d'affaires, les actifs data, ou les obligations réglementaires. Exemple : « Nos systèmes de traitement des paiements, qui représentent 340 M€ de volume annuel, présentent une exposition résiduelle estimée à 12 M€ en cas de compromission des accès privilégiés. » Un chiffre en euros est une décision en attente. Un score CVSS est une information sans contexte.
2. Le délai de détection et de réponse (MTTD/MTTR)
Le temps moyen de détection d'une intrusion (MTTD) et le temps moyen de rétablissement (MTTR) sont les seuls indicateurs opérationnels que les conseils doivent connaître. Ils mesurent la capacité réelle à limiter l'impact d'un incident. Un MTTD de 14 jours — médiane constatée en France selon les données ANSSI 2025 — signifie que l'attaquant est dans vos systèmes deux semaines avant que vous le sachiez. Présenté ainsi, l'indicateur devient immédiatement intelligible pour tout administrateur.
3. Le positionnement sectoriel
Les administrateurs prennent des décisions relatives, pas absolues. « Notre niveau de maturité est supérieur à 68 % des organisations de notre secteur et taille » est un indicateur décisionnel. « Nous avons 3 400 assets dans notre scope » ne l'est pas. Utilisez les benchmarks ENISA, les CIS Controls Maturity Models, ou les données des consortiums sectoriels. La comparaison sectorielle est le seul contexte qu'un administrateur peut interpréter sans expertise technique.
4. Le taux de couverture des obligations réglementaires
NIS2, DORA, EU AI Act — chaque texte impose des contrôles vérifiables. Présentez un pourcentage de couverture, par texte, avec les écarts documentés et les délais de remédiation. Ce format parle immédiatement aux administrateurs qui savent que leur responsabilité personnelle est engagée sur ces obligations. Un tableau à trois colonnes — texte réglementaire, taux de couverture actuel, plan d'action — est plus efficace qu'un rapport de 40 pages.
5. L'efficacité marginale du budget sécurité
C'est l'indicateur le plus difficile à construire, et le plus décisionnel. Combien coûte une réduction de X % du risque résiduel ? Quel serait l'impact d'une réduction de budget de 20 % sur la posture ? Ce raisonnement à la marge est celui que les conseils utilisent pour allouer les ressources. Votre rapport doit s'y conformer. Même une estimation raisonnée, explicitement qualifiée comme telle, est infiniment plus utile qu'une liste de projets sans lien avec le niveau de risque traité.
Comment opérationnaliser cette transformation
La bonne pratique consiste à organiser le rapport cyber en deux niveaux distincts. Le premier niveau, destiné au conseil, comporte les cinq indicateurs présentés ci-dessus, sur deux pages maximum. Le second niveau, en annexe, contient les données techniques pour les membres du conseil qui souhaitent approfondir — ou pour la revue documentaire lors d'un audit.
Cette structure répond à deux objectifs potentiellement contradictoires : permettre la supervision effective par des non-techniciens tout en documentant la rigueur technique requise par les référentiels. DORA l'explicite dans ses standards techniques (RTS) : la documentation de gouvernance doit être compréhensible « par une personne raisonnablement informée mais non experte en sécurité informatique ».
L'autre bonne pratique, trop souvent omise : présenter ces indicateurs dans la durée, pas en instantané. Un graphique sur 12 mois montre la trajectoire — qui est l'information réellement utile au conseil. Le niveau absolu dit peu de chose ; la direction de la courbe dit tout.
Évaluer votre format actuel
Pour évaluer la maturité de votre reporting cyber, commencez par un test simple : soumettez votre dernier rapport à un membre de votre direction générale sans background technique. Demandez-lui ce qu'il retiendrait pour justifier ou refuser une demande de budget. Sa réponse vous dira tout ce que vous devez savoir sur votre format actuel.
Presidio intègre nativement les cinq indicateurs présentés dans cet article dans son tableau de bord de gouvernance, avec des visualisations calibrées pour les comités de direction. Pour une démonstration adaptée à votre secteur, contactez notre équipe — nous réservons des sessions de 30 minutes aux directions sécurité et conformité. Lire aussi : L'erreur silencieuse dans le design de votre Risk Dashboard.
Conclusion
Le reporting cyber au conseil d'administration est devenu un impératif réglementaire, pas une option stratégique. NIS2 et DORA ont déplacé la responsabilité de la sécurité vers les organes de direction — ce déplacement impose une transformation du format de reporting, pas seulement de son contenu.
Trois enseignements à retenir : la traduction financière du risque technique est indispensable, les métriques d'activité SOC ne sont pas des indicateurs de gouvernance, et la comparaison sectorielle est le seul contexte que les administrateurs peuvent interpréter sans expertise technique.
Les organisations qui maîtrisent ce format de reporting obtiennent des décisions d'allocation de budget plus rapides, des approbations de projets de sécurité mieux calibrées, et une démonstration de conformité plus robuste face aux auditeurs. Et dans votre contexte — quel est le principal obstacle qui vous empêche de faire cette bascule aujourd'hui ?