Méthode EBIOS Risk Manager : guide pratique pour analyser ses risques cyber en 2026

L'analyse de risques est la pierre angulaire de toute démarche de cybersécurité sérieuse. En France, la méthode de référence est EBIOS Risk Manager (EBIOS RM), publiée par l'ANSSI en 2018 et largement adoptée par les administrations, OIV, OSE et désormais par les entités essentielles et importantes au titre de NIS2. Ce guide explique comment conduire une analyse EBIOS RM pas à pas, avec des exemples concrets adaptés aux PME et ETI françaises.

Pourquoi adopter EBIOS Risk Manager ?

EBIOS RM est une méthode d'appréciation et de traitement des risques numériques qui combine deux approches complémentaires : une approche par conformité (socle de sécurité réglementaire) et une approche par scénarios (analyse des menaces ciblées). Elle est reconnue par l'ISO 31000, compatible ISO 27005, et constitue un excellent moyen de démontrer la « gestion des risques » exigée par NIS2, DORA et ISO 27001.

Les bénéfices concrets pour une organisation

• Prioriser les investissements de sécurité sur les risques réellement critiques.
• Faciliter le dialogue entre la direction, le métier et la DSI/RSSI.
• Produire un livrable structuré exploitable pour un audit NIS2, ISO 27001 ou une cyber-assurance.
• Documenter la chaîne de décision et la responsabilité du dirigeant (sanctions personnelles NIS2).

Les 5 ateliers EBIOS RM

EBIOS RM s'organise en 5 ateliers séquentiels, conduits avec une équipe pluridisciplinaire (direction, métier, DSI, RSSI, juridique). Chaque atelier produit des livrables qui alimentent le suivant.

Atelier 1 — Cadrage et socle de sécurité

• Définir le périmètre métier et technique de l'étude (un SI, une activité, l'ensemble de l'organisation).
• Identifier les valeurs métier (processus essentiels, données sensibles) et les biens supports (serveurs, applications, prestataires).
• Lister les événements redoutés et leur gravité (perte d'exploitation, fuite RGPD, atteinte à la sûreté).
• Établir le socle de sécurité applicable : NIS2, RGPD, hygiène ANSSI, exigences clients.

Atelier 2 — Sources de risque et objectifs visés

L'objectif est d'identifier qui peut attaquer l'organisation et pourquoi. On distingue typiquement :

• Cybercriminels organisés (ransomware, fraude au président) — motivation lucrative.
• Hacktivistes — motivation idéologique, défacement, fuite.
• États et APT — espionnage, sabotage (secteurs sensibles).
• Concurrents — vol de propriété intellectuelle.
• Insiders malveillants ou négligents — fuites internes, erreurs.

Chaque couple « source de risque / objectif visé » est noté en pertinence (faible / moyenne / forte).

Atelier 3 — Scénarios stratégiques

On modélise les chemins d'attaque de haut niveau qu'une source de risque peut emprunter pour atteindre son objectif, en passant par les parties prenantes de l'écosystème (fournisseurs, clients, partenaires, hébergeurs). Cet atelier met souvent en lumière le risque tiers, désormais central dans NIS2 et DORA.

Atelier 4 — Scénarios opérationnels

On descend dans la technique : pour chaque scénario stratégique retenu, on décrit la kill chain (reconnaissance, intrusion initiale, élévation de privilèges, mouvement latéral, exfiltration, impact). On évalue ensuite la vraisemblance en fonction des mesures de sécurité existantes.

Atelier 5 — Traitement du risque

• Croiser gravité (atelier 1) et vraisemblance (atelier 4) pour positionner les risques sur une matrice.
• Décider pour chaque risque : réduire, transférer (cyber-assurance), éviter ou accepter.
• Construire un plan d'amélioration de la sécurité (PACS) chiffré et planifié.
• Définir les risques résiduels validés formellement par la direction.

Exemple appliqué : PME industrielle de 80 personnes

Une PME française de mécanique de précision, sous-traitante d'un OIV, identifie en atelier 1 deux valeurs métier critiques : la continuité de production et la protection des plans clients. En atelier 2, deux sources de risque majeures émergent : un cybercriminel (ransomware) et un concurrent étranger (espionnage). Les ateliers 3 et 4 mettent en évidence un chemin d'attaque privilégié : compromission via un prestataire de maintenance disposant d'un VPN permanent. L'atelier 5 priorise alors trois actions : durcissement des accès tiers (Zero Trust), sauvegardes immuables anti-ransomware et cyber-assurance pour le risque résiduel.

Articulation avec les référentiels

• NIS2 : EBIOS RM répond à l'article 21 (gestion des risques) et à l'obligation de gouvernance.
• ISO 27001:2022 : EBIOS RM est compatible avec l'annexe A et le clause 6.1 (appréciation des risques).
• DORA : la méthode alimente le cadre de gestion des risques TIC et les tests de résilience.
• RGPD : les scénarios « fuite de données » nourrissent directement les AIPD.

Combien de temps et de budget prévoir ?

• PME (50–250 salariés) : 5 à 8 jours-homme consultant + 4 à 6 ateliers de 3h. Budget 8 000 à 15 000 € HT.
• ETI (250–5000) : 15 à 25 jours-homme. Budget 25 000 à 50 000 € HT.
• Mise à jour annuelle recommandée : 2 à 4 jours-homme.

Erreurs fréquentes à éviter

• Faire l'analyse uniquement entre informaticiens : le métier et la direction doivent participer.
• Confondre vulnérabilité et risque (un CVE n'est pas un risque tant qu'il n'est pas exploitable dans un scénario).
• Produire une étude trop volumineuse non maintenue : préférez une étude vivante, mise à jour à chaque changement majeur.
• Oublier l'écosystème : la majorité des attaques 2024–2026 passent par un tiers.

Conclusion

EBIOS RM est aujourd'hui le standard français incontournable pour piloter la cybersécurité par les risques. Bien conduite, une analyse EBIOS RM transforme la sécurité d'un centre de coûts en un véritable outil de décision stratégique, indispensable pour répondre à NIS2, décrocher une cyber-assurance compétitive et rassurer ses grands comptes.

CyberConform accompagne les PME et ETI dans la conduite d'analyses EBIOS RM, depuis le cadrage jusqu'au plan d'amélioration de la sécurité. Contactez nos experts pour un diagnostic gratuit de 15 minutes.