Plan de sécurité informatique : contenu, étapes et outils

Le plan de sécurité informatique est la liste des mesures qu'une organisation s'engage à mettre en œuvre pour réduire ses risques cyber, chacune avec un responsable, une échéance, un budget et un statut. On le confond souvent avec la PSSI, qui fixe les règles. Le plan, lui, dit comment on les applique et comment on comble les écarts, trimestre après trimestre. Voici son contenu type, la méthode pour le construire, un exemple et les outils pour le suivre.

Le plan de sécurité informatique (on parle aussi de plan d'action sécurité ou de plan de sécurisation) traduit en actions concrètes les conclusions de trois démarches : l'analyse de risques, les audits de cybersécurité et les obligations qui s'appliquent à l'organisation. Il porte en général sur un à trois ans, découpés en trimestres.

Les référentiels le demandent sous d'autres noms. ISO 27001 exige un plan de traitement des risques (clause 6.1.3) et, pour chaque objectif de sécurité, de préciser ce qui sera fait, avec quelles ressources, par qui, pour quand et comment le résultat sera évalué (clause 6.2). La méthode EBIOS Risk Manager conclut son cinquième atelier par un plan d'amélioration continue de la sécurité (voir notre chapitre sur l'atelier 5). NIS 2 attend des mesures de gestion des risques et l'évaluation de leur efficacité (article 21).

La feuille de route fixe le cap ; le plan de sécurité en est le détail opérationnel, souvent pour l'année en cours. La PSSI dit « tout accès distant passe par une authentification multifacteur » ; le plan dit « authentification multifacteur sur le VPN pour tous les prestataires, responsable DSI, fin du premier trimestre ».

1. Périmètre et objectifs : entités, sites, systèmes couverts ; objectifs chiffrés quand c'est possible.
2. État des lieux : résultats d'audit, écarts au référentiel choisi, incidents récents.
3. Risques prioritaires : les scénarios retenus par l'analyse de risques, avec leur niveau actuel et visé (voir risque inhérent et risque résiduel).
4. Liste des actions : pour chacune, une description, le risque ou l'exigence couvert, un responsable, une échéance, un budget ou une charge, une priorité et un statut.
5. Dérogations : les écarts acceptés en connaissance de cause, avec leur justification, leurs mesures compensatoires et leur date de fin.
6. Indicateurs : avancement, actions en retard, évolution des risques, à reprendre dans le tableau de bord de la sécurité.
7. Gouvernance : qui valide le plan, à quel rythme il est revu, comment il est présenté à la direction.

1. Fixer le périmètre et le mandat. La direction désigne un pilote, souvent le RSSI, et valide l'horizon du plan.
2. Choisir un référentiel de comparaison. Le guide d'hygiène informatique de l'ANSSI pour une première démarche ; le ReCyF, version 2.5 publiée en mars 2026, pour les entités visées par NIS 2 ; le guide de la sécurité des données personnelles de la CNIL, réorganisé en 25 fiches dans son édition 2024 ; l'annexe A d'ISO 27001 ou le NIST CSF pour une approche plus large.
3. Faire l'état des lieux par entretiens et preuves : ce qui est en place, partiellement en place, absent.
4. Relier les écarts aux risques. Un écart qui ne correspond à aucun risque important attendra ; un écart sur un scénario grave passe en tête.
5. Prioriser. Croiser la réduction de risque et l'effort : les mesures fortes et peu coûteuses d'abord, les grands chantiers découpés en étapes.
6. Planifier et chiffrer : un responsable nommé (pas un service), une échéance réaliste, une estimation de budget et de charge.
7. Faire valider et suivre. Validation par la direction, revue mensuelle de l'avancement, bilan trimestriel, mise à jour après chaque incident ou audit.

Pour une organisation qui démarre, le service MonAideCyber de l'ANSSI propose, à l'issue d'un diagnostic gratuit mené avec un aidant, six mesures prioritaires à mettre en œuvre en six mois. Le guide d'hygiène et le ReCyF permettent d'aller plus loin. Les domaines qui reviennent dans tous ces référentiels :

Exemple fictif : une entreprise industrielle de 150 salariés, deux sites, un informaticien et un prestataire d'infogérance. Après un diagnostic sur le guide d'hygiène de l'ANSSI et une analyse de risques simplifiée, elle retient le plan suivant pour l'année :

Le cloisonnement, trop lourd pour un seul trimestre, est découpé : étude au troisième trimestre, réalisation l'année suivante, dans la feuille de route à trois ans. En attendant, une dérogation documentée accepte l'écart avec une mesure compensatoire (surveillance renforcée des accès au réseau de production).