Votre premier registre des risques : une méthode proportionnée, alignée EBIOS RM et ISO 27005

L'appréciation des risques figure dans la plupart des cadres qui s'appliquent aux PME européennes. La clause 6.1.2 d'ISO/IEC 27001 exige un processus d'appréciation défini, appliqué et documenté. L'article 21 de la directive NIS2 place « les politiques relatives à l'analyse des risques » en tête des mesures attendues. Et les questionnaires de sécurité clients demandent régulièrement la date de la dernière analyse de risques et son périmètre.

Dans une PME, ce chantier revient au référent sécurité, dont le temps est compté. La question n'est donc pas de savoir s'il faut un registre des risques, mais quel niveau de profondeur est défendable pour un premier cycle, et comment l'enrichir ensuite. Les méthodes de référence, EBIOS Risk Manager et ISO/IEC 27005, décrivent toutes deux un processus itératif. Un premier registre proportionné, revu à intervalles planifiés, est conforme à leur logique. Un registre exhaustif produit une fois puis abandonné ne l'est pas.

Ce que les textes demandent réellement

La clause 6.1.2 d'ISO/IEC 27001:2022 demande de définir des critères de risque, d'identifier les risques liés à la perte de confidentialité, d'intégrité et de disponibilité, d'analyser leurs conséquences et leur vraisemblance, puis de les évaluer et de les prioriser. Les résultats sont conservés comme information documentée : c'est ce rôle que tient le registre. La clause 8.2 ajoute que l'appréciation est répétée à intervalles planifiés ou lors de changements significatifs.

Aucune méthode n'est imposée. ISO/IEC 27005:2022, le guide d'application, décrit deux approches d'identification : par événements (construire des scénarios de risque sans inventaire préalable détaillé) et par actifs (partir de l'inventaire et examiner menaces et vulnérabilités). Côté NIST CSF 2.0, l'appréciation des risques correspond à la catégorie ID.RA et la stratégie de gestion des risques à GV.RM, ce qui permet de raccorder le registre au reste de l'évaluation de sécurité.

EBIOS RM : cinq ateliers, et un premier palier utilisable

EBIOS Risk Manager, la méthode de l'ANSSI, structure l'analyse en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Sa version 1.5, publiée en mars 2024, aligne le vocabulaire et la démarche sur ISO/IEC 27005:2022.

La méthode repose sur deux piliers complémentaires. Le socle de sécurité, établi par une démarche de conformité à des référentiels existants, couvre les risques courants, y compris accidentels et environnementaux. L'approche par scénarios, déroulée dans les ateliers suivants, traite les menaces intentionnelles et ciblées.

Pour un premier registre, l'atelier 1 constitue le palier de départ : délimiter le périmètre, identifier les valeurs métier et les événements redoutés, évaluer le socle par rapport à un référentiel (guide d'hygiène de l'ANSSI, NIST CSF 2.0) et consigner les écarts. Ce travail produit déjà une vue documentée et priorisée des risques courants. Les ateliers 2 à 5 approfondissent les scénarios intentionnels lors des cycles suivants, quand le périmètre ou l'exposition le justifient.

La structure du registre

Une entrée par scénario de risque, dans la logique événementielle d'ISO 27005, avec les colonnes suivantes : description du scénario, vraisemblance, impact, niveau de risque résultant, option de traitement retenue (réduire, maintenir, éviter ou partager, parmi les options décrites par ISO 27005), mesures associées, responsable et échéance, date de la prochaine revue.

L'approche par événements garde le registre lisible : une PME couvre ses événements redoutés avec quelques dizaines de scénarios au plus, là où une approche par actifs produit des centaines de lignes dont la plupart ne portent aucune décision. La décision de traitement est la donnée qui intéresse un auditeur : un registre sans colonne de traitement documente des inquiétudes, pas une gestion des risques.

Les pièges du premier cycle

Trois écueils reviennent dans les premiers registres. L'exhaustivité par actifs d'abord : inventorier chaque poste de travail et chaque application avant de formuler le moindre scénario retarde la première décision de traitement sans améliorer sa qualité. L'approche par événements, admise par ISO 27005, évite ce détour au premier cycle.

Le registre ponctuel ensuite. La clause 8.2 d'ISO 27001 exige des appréciations répétées, et ISO 27005 décrit la surveillance et la revue comme des activités continues. Un registre daté d'il y a deux ans, sans revue tracée, est traité comme un écart en audit et lu comme tel dans une évaluation fournisseur.

La confusion avec la déclaration d'applicabilité enfin. Le registre consigne les risques et les décisions de traitement ; la déclaration d'applicabilité justifie l'inclusion ou l'exclusion de chaque mesure de l'Annexe A. Les deux documents se répondent via le plan de traitement, mais aucun ne remplace l'autre.

Où commencer

Le registre des risques fait partie des documents générés depuis l'évaluation Komplyo : 16 scénarios de menace types PME, pré-remplis à partir de vos réponses. La vraisemblance résiduelle découle de votre maturité NIST CSF 2.0 mesurée ; il reste à ajuster l'impact métier, que vous seul connaissez. Le plan de traitement associé suit le format de l'article 6.1.3 d'ISO 27001 (option de traitement, mesures retenues, responsable par risque) et le registre se met à jour à chaque cycle d'évaluation, ce qui matérialise la revue exigée par la clause 8.2. Le diagnostic gratuit (23 questions, environ 5 minutes) fournit le point de départ.