ROI de la cybersécurité : comment mesurer ce que l’on ne perd pas ?

Des outils de détection aux audits, en passant par la formation des collaborateurs, la supervision et le volet cyberassurance, les entreprises augmentent chaque année leurs dépenses liées à la protection de leurs systèmes d’information. Le cabinet IDC (1) prévoit que cette enveloppe passera, à l’échelle mondiale, de 308 milliards de dollars en 2026 à 430 milliards en 2029.

Pourtant, la cybersécurité demeure souvent perçue comme un centre de coûts, une assurance contre un risque incertain ou une contrainte réglementaire. Les directions générales interrogent dès lors le rendement d’investissements dont le succès se manifeste par l’absence d’incident. Le 17 septembre dernier, lors d’une table ronde organisée dans le cadre du SIDO, quatre intervenants ont confronté leurs méthodes pour répondre à cette question.

Évaluer la cybersécurité à l’aune des pertes qu’elle évite

Le calcul classique de rentabilité se prête mal à cet exercice. Corentin Paimparé, chargé de clientèle au sein du courtier Howden Group, lui préfère le ROSI (Return On Security Investment), qui apprécie une dépense de protection à partir des pertes qu’elle permet d’éviter. « Une cyberattaque peut interrompre l’activité, exposer l’entreprise à des sanctions réglementaires, lui faire perdre des marchés et dégrader son image. Le ROSI chiffre ces pertes évitées. La conformité produit aussi une valeur concrète : réglementations, directives européennes et normes internationales comme l’ISO 27001 deviennent progressivement des critères d’éligibilité à certains marchés et appels d’offres », précise Corentin Paimparé.

Laini Cultier, experte cyber indépendante et directrice de programme Cybersécurité & Business au CEFCYS (Cercle des femmes de la cybersécurité), partage cette lecture. Selon elle, le retour sur investissement « se mesure à l’envers ». La directive NIS2 prévoit en effet des pénalités pour les entités qui ne respectent pas ses exigences. L’absence de protection se paie alors en amendes autant qu’en incidents.

Mais pour Thierry Rouquet, Vice-président de Digital League, la question du ROI se pose à un autre niveau. « Chercher le ROI de la cybersécurité revient à poser une mauvaise question. Un retour sur investissement se calcule pour un projet de transformation numérique. La sécurité, elle, rend ce type de projet possible et en accélère le déploiement. La véritable interrogation, pour une direction générale, consiste à déterminer le coût du risque qu’elle accepte de supporter », estime Thierry Rouquet.

Traduire la performance cyber en indicateurs lisibles par un comité exécutif

Ce chiffrage suppose de compléter les indicateurs techniques par des mesures que comprennent les dirigeants. Corentin Paimparé suit ainsi l’impact potentiel d’un incident sur la marge brute, la fréquence des attaques et leur coût. Son critère prioritaire, l’exposition financière résiduelle, désigne ce que l’entreprise peut encore perdre malgré les protections déjà en place.

Thierry Rouquet retient un indicateur voisin : la perte financière maximale plausible (maximum credible loss). Il recommande de la décliner en scénarios concrets, comme la probabilité d’arrêt d’une plateforme de commerce en ligne et ses conséquences sur le chiffre d’affaires. Encore faut-il que l’entreprise sache redémarrer rapidement après une telle interruption.

Selon Denis Boyer, chargé de mission sensibilisation risque cyber au sein de Cybermalveillance.gouv.fr, « le délai moyen de reprise après un incident constitue l’indicateur à suivre. Les sauvegardes restent le nerf de la guerre. Les plans de continuité et de reprise d’activité doivent aussi anticiper le temps nécessaire pour basculer d’un système à l’autre. Ces dispositifs n’ont de valeur que s’ils sont éprouvés par des exercices réguliers ».

Laini Cultier prolonge cette exigence : une sauvegarde ne protège l’entreprise que si sa restauration a été testée. Elle fixe aussi un RPO (Recovery Point Objective, volume maximal de données que l’organisation accepte de perdre) pour chaque actif critique identifié au préalable.

Prioriser les dépenses et parler le langage des dirigeants

Ces indicateurs servent ensuite à arbitrer entre des priorités concurrentes. Thierry Rouquet et Laini Cultier placent l’analyse de risque au point de départ de ces choix. Le premier insiste sur les contraintes propres aux environnements industriels, la seconde sur le travail conjoint avec les directions métiers, maintenant que la cybersécurité figure à l’ordre du jour des comités exécutifs.

« Pour convaincre une direction financière, il faut traduire le risque cyber en pertes d’exploitation, en coûts de remédiation et en impact sur la rentabilité. Aux coûts directs s’ajoutent des effets indirects sur l’image, la confiance des clients et la valorisation de l’entreprise. Dans cet arbitrage, la sensibilisation des collaborateurs reste souvent l’investissement le plus rentable, d’autant que NIS2 va renforcer la responsabilité des dirigeants », ajoute Corentin Paimparé.

Denis Boyer propose aux dirigeants confrontés à l’empilement des bonnes pratiques la démarche de Cybermalveillance.gouv.fr : inventorier les actifs, évaluer la criticité des équipements, organiser la mise en œuvre des mesures, puis désigner un DPO (délégué à la protection des données). Cette dernière étape gagne en importance face à la multiplication des violations de données : les demandes d’assistance qui leur sont liées ont progressé de 40 % en 2025 (2) chez les entreprises et les associations, rappelle-t-il. Thierry Rouquet voit en outre dans l’IA une surface d’attaque inédite, propice aux fuites d’informations sensibles.

« Pour un dirigeant, l’enjeu consiste à savoir si son entreprise perdurera sur le marché. Certains acteurs ne se relèvent pas d’une cyberattaque et les deepfakes multiplient désormais les moyens de les frapper. À l’inverse, une organisation qui maîtrise ses risques numériques en retire un avantage concurrentiel. Investir dans la cybersécurité revient donc à protéger sa pérennité », conclut Laini Cultier.

À RETENIR

Comment mesurer la rentabilité d’un investissement en cybersécurité ? Au-delà des attaques évitées, quatre indicateurs permettent d’en apprécier la valeur : les pertes financières potentielles, l’exposition résiduelle au risque, les délais de reprise d’activité et les opportunités commerciales préservées. De quoi replacer la cybersécurité au cœur des décisions stratégiques.

FAQ – mesurer le ROI de la cybersécurité

Comment calculer le retour sur investissement (ROI) de la cybersécurité ?

Le retour sur investissement en cybersécurité peut être évalué à l’aide du ROSI (Return on Security Investment). Cet indicateur compare le coût des mesures de protection aux pertes financières qu’elles permettent d’éviter : interruptions d’activité, remédiation, sanctions ou pertes commerciales. Son calcul repose toutefois sur des estimations de risques, et non sur des gains financiers garantis.

Quels indicateurs permettent de mesurer la performance d’un investissement en cybersécurité ?

Plusieurs indicateurs peuvent être présentés à une direction générale : l’exposition financière résiduelle, la perte maximale plausible en cas d’incident, le délai de reprise d’activité (RTO) et la perte de données maximale admissible, exprimée en durée (RPO). Ils permettent de relier les investissements cyber à leurs conséquences économiques.

Pourquoi la cybersécurité est-elle considérée comme un centre de coûts ?

Contrairement à un investissement commercial, la cybersécurité ne génère généralement pas de revenus directement mesurables. Sa valeur réside principalement dans les incidents évités, la continuité d’activité et la réduction des risques financiers. Elle peut également faciliter l’accès à certains marchés et renforcer la confiance des clients.

Comment convaincre une direction générale d’investir dans la cybersécurité ?

Pour convaincre un comité exécutif, les responsables cybersécurité doivent traduire les risques techniques en conséquences financières et opérationnelles. Présenter des scénarios concrets, comme l’arrêt d’une plateforme de vente ou la perte de données critiques, permet de comparer le coût des protections aux pertes potentielles et de prioriser les investissements.

Qu’est-ce que le ROSI en cybersécurité ?

Le ROSI (Return on Security Investment) est un indicateur qui permet d’évaluer la rentabilité d’un investissement en cybersécurité. Il compare les pertes financières estimées qu’une mesure de protection permet d’éviter à son coût de mise en œuvre. Il aide les entreprises à justifier leurs dépenses de sécurité et à prioriser leurs investissements.

Qu’est-ce que le RTO en cybersécurité ?

Le RTO (Recovery Time Objective), ou objectif de temps de reprise, désigne le délai maximal admissible pour rétablir une activité ou un système après un incident. Il permet aux entreprises de définir leurs exigences de continuité d’activité et de dimensionner leurs dispositifs de reprise.

Qu’est-ce que le RPO en cybersécurité ?

Le RPO (Recovery Point Objective), ou objectif de point de reprise, correspond à la durée maximale de perte de données qu’une organisation peut accepter après un incident. Par exemple, un RPO de quatre heures signifie que l’entreprise doit pouvoir restaurer ses données à partir d’un point de sauvegarde datant de quatre heures au maximum avant l’incident. Cet indicateur permet notamment de déterminer la fréquence des sauvegardes.

Sources et références : 

1 – Étude du cabinet IDC

2 – Quelles sont les principales cybermalveillances visant les professionnels en 2025 ?