Une phrase n’est pas une appétence
Beaucoup de déclarations d’appétence se résument à « notre appétence au risque cyber est faible », ce qui ne se mesure pas et n’engage donc personne. Une appétence utilisable est fixée par catégorie de risque (confidentialité des données, disponibilité des services, exposition aux tiers, non-conformité réglementaire) avec l’échelle que le registre utilise déjà, pour que chaque risque résiduel puisse lui être comparé. Elle est approuvée par le conseil ou le comité des risques : c’est ce qui fait d’une acceptation au-dessus de l’appétence une décision gouvernée, et non un défaut silencieux.
Alertes de dépassement et échelle d’acceptation
Une fois les seuils posés, deux mécanismes suivent. D’abord l’alerte de dépassement : quand un score résiduel ou un indicateur clé de risque franchit son seuil, le responsable est notifié et l’élément entre dans la file de traitement. Ensuite l’échelle d’acceptation : qui peut accepter un risque au-dessus de l’appétence, pour combien de temps, avec quels contrôles compensatoires, l’acceptation étant enregistrée, datée et revue à l’échéance. Sans l’échelle, l’appétence est dépassée par celui qui répond en dernier.
Ce que l’on demande désormais aux conseils
NIS2 rend les organes de direction responsables de l’approbation des mesures de gestion des risques cyber et de la supervision de leur mise en œuvre ; DORA demande aux entités financières de fixer et de revoir périodiquement une stratégie de résilience opérationnelle numérique avec une tolérance au risque TIC. Dans les deux cas, le superviseur peut demander à voir l’appétence, les mesures contre elle et les décisions prises quand elle a été dépassée. Un dossier de conseil qui montre les trois répond à la question avant qu’elle soit posée.