ROI de la cybersécurité : mesurer ce que l’on ne perd pas

Comment justifier des millions d’euros de dépenses en cybersécurité quand le succès se mesure à l’absence d’incident ? Quatre spécialistes proposent de nouvelles métriques pour transformer cette équation impossible en indicateurs compréhensibles par les directions générales.

Le paradoxe de la cybersécurité : prouver la valeur de l’invisible

Les chiffres donnent le vertige. Selon le cabinet IDC, les dépenses mondiales en cybersécurité bondiront de 308 milliards de dollars en 2026 à 430 milliards en 2029, soit une hausse de 40% en trois ans. Pourtant, dans les comités exécutifs, la cybersécurité reste souvent perçue comme un mal nécessaire, un centre de coûts dont la performance se manifeste… par l’absence de catastrophe.

Ce paradoxe place les responsables de la sécurité des systèmes d’information (RSSI) dans une position inconfortable : comment démontrer qu’un investissement de 500 000 euros en détection d’intrusion ou en formation des collaborateurs génère de la valeur ? Comment convaincre un directeur financier sceptique que ces dépenses ne sont pas de simples assurances contre un risque hypothétique ?

Le 17 septembre 2026, lors d’une table ronde organisée au SIDO (salon de l’IoT et de la data), quatre experts du risque numérique ont confronté leurs méthodes pour résoudre cette équation. Leurs propositions bouleversent l’approche traditionnelle de la mesure de performance en cybersécurité.

Du ROI au ROSI : mesurer les pertes évitées

Corentin Paimparé, chargé de clientèle chez le courtier Howden Group, propose d’abandonner le calcul classique de rentabilité au profit du ROSI (Return On Security Investment). Cette métrique évalue une dépense de protection à partir des pertes qu’elle permet d’éviter.

« Une cyberattaque peut interrompre l’activité, exposer l’entreprise à des sanctions réglementaires, lui faire perdre des marchés et dégrader son image », explique Corentin Paimparé. « Le ROSI chiffre ces pertes évitées. » Concrètement, une solution de sauvegarde coûtant 50 000 euros par an qui évite une perte potentielle de 2 millions d’euros en cas de ransomware affiche un ROSI de 3 900%.

Laini Cultier, experte cyber indépendante et directrice de programme Cybersécurité & Business au CEFCYS (Cercle des femmes de la cybersécurité), partage cette lecture. Selon elle, le retour sur investissement « se mesure à l’envers ». La directive européenne NIS2, qui prévoit des amendes pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial pour les entreprises non-conformes, transforme la conformité en valeur tangible.

Mais cette approche ne fait pas l’unanimité. Thierry Rouquet, vice-président de Digital League, estime que « chercher le ROI de la cybersécurité revient à poser une mauvaise question ». Pour lui, la sécurité ne génère pas directement de revenus : elle rend possibles les projets de transformation numérique et en accélère le déploiement. « La véritable interrogation, pour une direction générale, consiste à déterminer le coût du risque qu’elle accepte de supporter », précise-t-il.

Deux indicateurs pour parler le langage des dirigeants

Au-delà du débat conceptuel, les experts s’accordent sur la nécessité de traduire la performance technique en métriques financières. Corentin Paimparé a identifié un indicateur prioritaire : l’exposition financière résiduelle. Cet indicateur désigne le montant maximum que l’entreprise peut encore perdre malgré toutes les protections déjà déployées.

Exemple concret : après avoir investi 500 000 euros en pare-feu, détection d’intrusion et formation, une entreprise reste exposée à une perte potentielle de 3 millions d’euros en cas d’incident majeur. Cette exposition résiduelle devient le sujet de discussion avec le comité exécutif : quel niveau de risque l’entreprise accepte-t-elle ? Faut-il investir 200 000 euros supplémentaires pour réduire cette exposition à 1,5 million ?

Thierry Rouquet utilise un indicateur voisin : la perte financière maximale plausible (maximum credible loss). Il recommande de la décliner en scénarios concrets. Pour un site e-commerce : arrêt de 72 heures = 500 000 euros de chiffre d’affaires perdu + 200 000 euros de coûts de restauration + 100 000 euros d’atteinte à l’image = 800 000 euros de perte maximale plausible.

Cette approche narrative fonctionne. « Un directeur général comprend immédiatement ce que signifie ‘trois jours sans pouvoir vendre en ligne’ », observe Thierry Rouquet. « C’est plus parlant que ‘taux de détection des malwares à 99,7%’. »

La conformité réglementaire, nouvel argument de vente

L’intervention de Corentin Paimparé souligne une évolution majeure : « Les réglementations, directives européennes et normes internationales comme l’ISO 27001 deviennent progressivement des critères d’éligibilité à certains marchés et appels d’offres. » La conformité produit donc une valeur concrète et mesurable.

Cette dynamique transforme la perception de la cybersécurité. Une PME du numérique qui obtient la certification ISO 27001 peut désormais répondre aux appels d’offres de grands groupes bancaires ou d’administrations qui l’exigent. Le coût de la certification (entre 20 000 et 50 000 euros selon la taille de l’entreprise) devient un investissement commercial dont le retour se calcule en contrats gagnés.

Avec NIS2, cette logique s’amplifie. Les grandes entreprises soumises à la directive exigent de plus en plus que leurs fournisseurs démontrent leur conformité. Paradoxalement, cette réglementation crée une barrière à l’entrée : les entreprises conformes peuvent exclure les PME non-conformes de leurs chaînes de valeur, avec des implications potentielles en termes de concentration du marché.

Les limites de la quantification du risque

Ces méthodes soulèvent néanmoins des questions. Comment mesurer de manière crédible les pertes intangibles comme l’atteinte à la réputation ou la perte de confiance des clients ? Un RSSI engage-t-il sa responsabilité si le ROSI promis n’est pas au rendez-vous après un incident ? Les PME disposent-elles des ressources pour calculer ces indicateurs complexes ou sont-ils réservés aux grands groupes ?

Le débat entre Corentin Paimparé et Thierry Rouquet illustre une tension non résolue. Faut-il chercher à calculer un retour sur investissement de la cybersécurité, au risque de la réduire à une ligne budgétaire challengeable ? Ou faut-il la positionner comme un facilitateur stratégique de la transformation digitale, au risque de ne jamais pouvoir justifier précisément son budget ?

La réponse dépend probablement de la culture de l’entreprise et de la maturité de sa direction sur les sujets numériques. Dans tous les cas, l’émergence de ces métriques marque une évolution du métier de RSSI : du technicien pur vers le gestionnaire de risques financiers, voire vers un rôle de directeur financier adjoint spécialisé dans le risque numérique.

Perspectives : vers une standardisation des métriques ?

À court terme, les experts anticipent une multiplication des formations « RSSI-CFO » pour apprendre aux équipes cyber à parler le langage financier. Les premières amendes NIS2 médiatisées créeront probablement un électrochoc dans les comités exécutifs. Les grands éditeurs de solutions de sécurité lancent déjà des outils SaaS de calcul automatique du ROSI.

À moyen terme, plusieurs scénarios se dessinent. Le plus probable : l’émergence d’un standard ISO ou NIST pour le calcul du ROSI, adopté par les grands groupes et imposé à leurs fournisseurs. Mais on pourrait aussi assister à une fragmentation, chaque secteur (santé, finance, industrie) développant ses propres métriques, créant une complexité pour les entreprises multi-secteurs.

Un scénario plus pessimiste existe : après quelques incidents majeurs malgré de « bons » ROSI affichés, une remise en question de ces métriques jugées trop théoriques. À l’inverse, le risque cyber pourrait s’intégrer pleinement dans les notations ESG, avec obligation de reporting pour les entreprises cotées.

Conclusion : un changement de paradigme en cours

La cybersécurité suit aujourd’hui le même chemin que la qualité dans les années 1980 : d’abord perçue comme un coût, elle devient progressivement un différenciateur concurrentiel une fois quantifiée. Dans cinq à dix ans, les entreprises « cyber-matures » dotées de métriques solides pourraient bénéficier d’un avantage de valorisation boursière, comme l’ont connu les entreprises certifiées ISO 9001 dans les années 1990.

Le vrai débat ne porte finalement pas sur « ROI ou pas ROI », mais sur une question de gouvernance : qui porte le risque résiduel ? Le RSSI, le directeur général ou les actionnaires ? Quantifier le risque cyber force à expliciter cette responsabilité, ce qui peut éviter des conflits post-incident où chacun rejette la faute sur l’autre.

Une certitude : l’ère du RSSI « pur technicien » touche à sa fin. Le métier converge avec celui de risk manager financier. Attendez-vous à voir émerger des profils MBA avec spécialisation cyber plutôt que des ingénieurs complétant leur formation par quelques notions de finance. La cybersécurité est devenue une discipline hybride, à la croisée de la technologie, de la finance et de la stratégie d’entreprise.