Roadmap cybersécurité : bâtir sa feuille de route sur 3 ans

Une roadmap cybersécurité, ou feuille de route cybersécurité, fixe sur deux à trois ans les grands chantiers qui feront passer l'organisation de son niveau de sécurité actuel au niveau qu'elle vise, dans un ordre réaliste et avec un budget validé. Elle répond à la question de la direction (« où en serons-nous dans trois ans, et pour combien ? ») là où le plan de sécurité répond à celle des équipes (« que fait-on ce trimestre ? »). Voici les entrées à réunir, une méthode en six étapes, un exemple, les repères de budget et la façon de la tenir à jour.

Un an est trop court : les chantiers qui changent vraiment le niveau de sécurité (gestion des identités, cloisonnement du réseau, détection, programme de sécurité des fournisseurs) dépassent souvent douze mois, et ceux de l'année deux dépendent de ceux de l'année un. Cinq ans est trop long : les menaces, les outils et les textes changent plus vite. Trois ans laissent le temps d'agir tout en gardant une prévision crédible.

C'est aussi l'horizon que retient l'État pour lui-même. Le 9 avril 2026, l'ANSSI a publié une feuille de route des efforts prioritaires de sécurité numérique de l'État pour 2026-2027 : dix objectifs, que chaque ministère devait décliner dans sa propre feuille de route avant juin 2026, avec des échéances datées, dont la généralisation de l'authentification multifacteur. La logique est celle qu'on attend dans une entreprise : quelques objectifs, des échéances, un responsable par périmètre.

Une feuille de route sérieuse ne part pas d'une liste de produits à acheter, mais de quatre familles d'informations :

Le guide « Maîtrise du risque numérique : l'atout confiance » de l'ANSSI et de l'AMRAE insiste sur ce dernier point : la sécurité numérique est un risque de l'entreprise, à piloter avec les autres, par la direction. Une feuille de route qui ignore la stratégie de l'entreprise sera remise en cause au premier projet imprévu.

1. Mesurer le point de départ. Choisir une grille (NIST CSF, ISO 27001, ReCyF) et noter chaque domaine. Le NIST CSF 2.0 appelle ce résultat le profil actuel et propose quatre niveaux de rigueur de la gouvernance des risques (voir notre article sur les six fonctions et les niveaux du NIST CSF).
2. Définir le niveau visé, et pourquoi. Le profil cible ne vise pas le maximum partout : il dépend des risques, des obligations et de l'appétence au risque fixée par la direction. Le guide de démarrage rapide NIST SP 1301 détaille comment bâtir et comparer ces deux profils.
3. Regrouper les écarts en chantiers. Cinq à huit chantiers lisibles par la direction (« identités et accès », « continuité », « fournisseurs ») plutôt que soixante actions. Le Radar du RSSI que Wavestone publie chaque année classe ainsi plus de 150 sujets par cadrans et par maturité, selon Solutions Numériques : une bonne source d'idées pour nommer et grouper les chantiers.
4. Ordonner. D'abord ce qui réduit le plus le risque pour un effort modéré et ce qu'une échéance réglementaire impose ; ensuite les chantiers qui en dépendent. Un outil de détection sans journaux centralisés ni procédure de réponse ne sert à rien : la séquence compte autant que la liste.
5. Chiffrer par année. Investissement, coûts récurrents (licences, abonnements, prestations) et charge interne, en séparant ce qui est engagé de ce qui reste à arbitrer.
6. Faire valider et décliner. La direction approuve la feuille de route ; NIS 2 rend d'ailleurs les organes de direction responsables de l'approbation des mesures de gestion des risques (article 20, voir notre chapitre sur la responsabilité des dirigeants). Chaque année se traduit ensuite en un plan de sécurité informatique détaillé.

Exemple fictif : une entreprise de services de 800 salariés, probablement entité importante au titre de NIS 2, une équipe sécurité de trois personnes et un centre de services externalisé. Son profil actuel montre une gouvernance faible, des sauvegardes non testées et aucun suivi des fournisseurs.

L'année un pose les bases à fort effet et faible coût ; l'année deux structure ; l'année trois installe la mesure et l'amélioration continue. La transposition de NIS 2 n'étant pas encore votée, les dates exactes de mise en conformité restent à caler : la feuille de route s'appuie sur le ReCyF publié par l'ANSSI et sera réajustée à la parution de la loi et de ses décrets (voir notre chapitre sur la mise en conformité NIS 2).

Il n'existe pas de chiffre universel, mais des repères. L'étude NIS Investments 2024 de l'ENISA, menée auprès de 1 350 organisations de l'Union, situe la part de la sécurité de l'information à 9 % des investissements informatiques, en hausse de 1,9 point sur un an, et la part des effectifs informatiques consacrée à la sécurité à 11,1 %. La dépense médiane de sécurité y passe de 0,7 à 1,4 million d'euros. Ces moyennes masquent de fortes différences selon le secteur et la taille : elles servent à situer un budget, pas à le fixer.

Pour la direction, mieux vaut présenter deux ou trois scénarios (« socle », « recommandé », « accéléré ») avec, pour chacun, les risques réduits, les obligations couvertes et ce qui reste accepté. C'est l'appétence au risque de la direction qui tranche, pas le budget de l'année précédente.

• Revue annuelle : nouveau profil actuel, chantiers terminés, réajustement des années suivantes, budget de l'année d'après.
• Revue exceptionnelle après un incident grave, une acquisition, un texte nouveau ou un changement de menace (un rançongiciel dans le secteur, une faille massive chez un fournisseur).
• Indicateurs simples dans le tableau de bord de la sécurité : avancement par chantier, écart au profil cible, actions en retard, dérogations ouvertes.
• Un seul responsable de la feuille de route, souvent le RSSI, et un responsable nommé par chantier.
• Une grille stable d'une année sur l'autre, pour que les progrès soient comparables. L'article 21 de NIS 2 demande d'ailleurs des politiques et procédures pour évaluer l'efficacité des mesures.