L’essentiel en bref<\/p>\n
- \n
- Le risque pilote le budget, pas une liste d’outils.<\/strong> Le paragraphe 30 du BSIG fait de la proportionnalit\u00e9 l’\u00e9talon et cite explicitement les co\u00fbts de mise en \u0153uvre et l’exposition aux risques comme crit\u00e8res d’arbitrage.<\/li>\n
- Il n’existe pas de montant obligatoire.<\/strong> Bitkom mesure en 2025 en moyenne 18 % de part s\u00e9curit\u00e9 IT dans le budget IT, Bitkom et la pr\u00e9sidente du BSI citent 20 % comme valeur de r\u00e9f\u00e9rence. Un montant minimum l\u00e9gal fixe n’existe pas.<\/li>\n
- L’ordre d\u00e9cide.<\/strong> Analyse des risques, protection des identit\u00e9s, sauvegarde et hygi\u00e8ne de base passent avant un SIEM complet.<\/li>\n
- La phrase qui porte aupr\u00e8s du CFO :<\/strong> Quelle r\u00e9duction de risque achetons-nous avec quel euro ?<\/li>\n<\/ul>\n<\/div>\n
En lien :<\/strong> Cinq indicateurs que le conseil de surveillance comprend vraiment \u00b7 Quels contr\u00f4les ne doivent pas dispara\u00eetre lors de la r\u00e9duction des outils<\/p>\n
Qu’est-ce que la budg\u00e9tisation de la s\u00e9curit\u00e9 bas\u00e9e sur les risques ?<\/h2>\n
Qu’est-ce que la budg\u00e9tisation de la s\u00e9curit\u00e9 bas\u00e9e sur les risques ?<\/strong> La budg\u00e9tisation de la s\u00e9curit\u00e9 bas\u00e9e sur les risques affecte chaque d\u00e9pense \u00e0 un risque document\u00e9 et finance en priorit\u00e9 les mesures qui, par euro investi, r\u00e9duisent le plus le dommage attendu. L’\u00e9talon est la proportionnalit\u00e9 selon le paragraphe 30 du BSIG. Une liste compl\u00e8te d’outils ne remplace pas cet \u00e9talon.<\/p>\n
La diff\u00e9rence devient visible dans l’\u00e9change avec le CFO. Une liste d’outils r\u00e9pond \u00e0 la question \u00ab Que rachetons-nous ? \u00bb. Un financement du risque r\u00e9pond \u00e0 la question \u00ab Quel risque r\u00e9duisons-nous et dans quelle mesure ? \u00bb. La seconde question r\u00e9siste \u00e0 une question critique de retour, la premi\u00e8re rarement.<\/p>\n
\n\n18 %<\/div>\nPart moyenne de la s\u00e9curit\u00e9 IT dans le budget IT, enqu\u00eate Bitkom 2025 (n=1.002)<\/p>\n<\/div>\n
\n20 %<\/div>\nValeur de r\u00e9f\u00e9rence de Bitkom et de la pr\u00e9sidente du BSI Plattner<\/p>\n<\/div>\n
\n\u00a7 30<\/div>\nexige des mesures proportionn\u00e9es, pas un montant minimum fixe<\/p>\n<\/div>\n<\/div>\n
La logique derri\u00e8re l’ordre de priorit\u00e9<\/h2>\n
Trois grandeurs d\u00e9terminent quel poste re\u00e7oit de l’argent en premier. La premi\u00e8re est le dommage attendu, grossi\u00e8rement le produit de la probabilit\u00e9 d’occurrence et de l’ampleur du dommage. La seconde est l’app\u00e9tit au risque, donc le seuil en dessous duquel la direction assume consciemment un risque r\u00e9siduel. Il pilote les mesures au-del\u00e0 de l’\u00e9quipement de base l\u00e9gal. Les dix mesures minimales du paragraphe 30 alin\u00e9a 2 BSIG restent obligatoires et sont mises en \u0153uvre de mani\u00e8re proportionn\u00e9e. La troisi\u00e8me est l’efficacit\u00e9 \u00e9conomique, la r\u00e9duction du dommage par euro investi.<\/p>\n
Il en r\u00e9sulte une r\u00e8gle de priorisation simple : viennent en premier les mesures \u00e0 haute probabilit\u00e9 d’occurrence, \u00e0 fort levier de dommage et \u00e0 faibles co\u00fbts. Cet ordre co\u00efncide avec le cadre l\u00e9gal. Le paragraphe 30 alin\u00e9a 1 BSIG exige des mesures \u00ab appropri\u00e9es, proportionn\u00e9es et efficaces \u00bb et mentionne pour la proportionnalit\u00e9 entre autres l’ampleur de l’exposition au risque, la taille de l’\u00e9tablissement, les co\u00fbts de mise en \u0153uvre ainsi que la probabilit\u00e9 d’occurrence et la gravit\u00e9 des incidents. Le l\u00e9gislateur n’exige donc pas une liste compl\u00e8te d’outils. Il exige une pond\u00e9ration justifi\u00e9e qui ne descend pas sous l’\u00e9quipement de base l\u00e9gal.<\/p>\n
Cinq postes qui n\u00e9cessitent un budget avant le SIEM<\/h2>\n
1. Analyse des risques et besoin de protection document\u00e9s<\/h3>\n
Est financ\u00e9 l’analyse des risques elle-m\u00eame : un inventaire des actifs et des processus, un app\u00e9tit au risque consign\u00e9 et une feuille de route des mesures qui en d\u00e9coule. Sans cette base, il manque le terrain de donn\u00e9es commun sur lequel se d\u00e9cide tout d\u00e9bat budg\u00e9taire ult\u00e9rieur. Ce poste co\u00fbte avant tout du temps de personnel, mais pilote l’allocation dans son ensemble. Le paragraphe 30 alin\u00e9a 1 phrase 3 BSIG exige en outre de documenter le respect des mesures. Sans une situation de risque document\u00e9e, la proportionnalit\u00e9 ne peut ni \u00eatre justifi\u00e9e ni prouv\u00e9e.<\/p>\n
2. Protection des identit\u00e9s et des acc\u00e8s<\/h3>\n
Font partie de ce poste l’authentification multifacteur, une gestion des identit\u00e9s durcie, une protection s\u00e9par\u00e9e des comptes privil\u00e9gi\u00e9s et des v\u00e9rifications d’acc\u00e8s r\u00e9guli\u00e8res. Le risque adress\u00e9 est l’un des points d’entr\u00e9e les plus fr\u00e9quents : la prise de contr\u00f4le d’un compte via des identifiants vol\u00e9s et le mouvement lat\u00e9ral qui s’ensuit dans le r\u00e9seau. Selon Bitkom 2025, le ransomware, le phishing et les attaques par mots de passe comptent parmi les types d’attaques les plus fr\u00e9quemment responsables de dommages. La protection co\u00fbte peu par utilisateur, mais agit directement sur les comptes les plus critiques. L’authentification multifacteur est explicitement nomm\u00e9e comme mesure au paragraphe 30 alin\u00e9a 2 num\u00e9ro 10 BSIG.<\/p>\n
3. Sauvegarde et restauration test\u00e9e<\/h3>\n
Sont financ\u00e9es les sauvegardes multiples selon le principe 3-2-1, les copies immuables ou maintenues hors ligne et une restauration qui est r\u00e9guli\u00e8rement test\u00e9e. Une sauvegarde qui n’a jamais \u00e9t\u00e9 restaur\u00e9e est une hypoth\u00e8se, pas une preuve. Le risque est l’interruption d’activit\u00e9, selon l’Allianz Risk Barometer 2025 le deuxi\u00e8me risque d’entreprise le plus important au monde, juste apr\u00e8s les incidents cyber. Une sauvegarde fiable r\u00e9duit la pression de ran\u00e7on en cas de ransomware et limite les dommages d’interruption lorsque la pr\u00e9vention \u00e9choue. La base se trouve au paragraphe 30 alin\u00e9a 2 num\u00e9ro 3 BSIG.<\/p>\n
4. Gestion des vuln\u00e9rabilit\u00e9s et de l’exposition<\/h3>\n
Ce poste finance la gestion prioris\u00e9e des correctifs, le durcissement des syst\u00e8mes connect\u00e9s \u00e0 Internet et une surface d’attaque volontairement r\u00e9duite. Le risque est l’exploitation de failles connues depuis longtemps et de services ouverts que personne n’avait \u00e0 l’\u0153il. L’impact par euro est \u00e9lev\u00e9, car des vecteurs d’attaque peu co\u00fbteux sont ferm\u00e9s avant que quelqu’un ne les utilise. L’ordre est choisi consciemment : d’abord r\u00e9duire la surface d’attaque, puis investir dans la surveillance. Un outil de d\u00e9tection sur un paysage non durci signale surtout beaucoup de choses.<\/p>\n
5. R\u00e9ponse aux incidents et base de logging<\/h3>\n
Font partie de l’\u00e9quipement de base un playbook d’urgence, une cha\u00eene de notification exerc\u00e9e incluant la pr\u00e9paration \u00e0 l’obligation de d\u00e9claration dans les 24 heures selon le paragraphe 32 BSIG, une collecte centrale des logs des syst\u00e8mes critiques et une sensibilisation cibl\u00e9e des groupes \u00e0 haut risque. Le risque est la longue persistance d’un attaquant, des co\u00fbts de forensique \u00e9lev\u00e9s et un d\u00e9lai de d\u00e9claration manqu\u00e9. Ce poste se place \u00e0 la fin du top cinq, car son d\u00e9veloppement s’appuie sur les pr\u00e9c\u00e9dents. La cha\u00eene de notification et un logging minimal des syst\u00e8mes critiques devraient toutefois \u00eatre mis en place t\u00f4t ; le centre d’op\u00e9rations externalis\u00e9 et un SIEM complet peuvent suivre ensuite.<\/p>\n
Impact par euro en comparaison<\/h2>\n
La m\u00eame logique peut se lire comme une carte simple. Elle montre pourquoi l’hygi\u00e8ne passe avant les plateformes co\u00fbteuses.<\/p>\n
\n - Il n’existe pas de montant obligatoire.<\/strong> Bitkom mesure en 2025 en moyenne 18 % de part s\u00e9curit\u00e9 IT dans le budget IT, Bitkom et la pr\u00e9sidente du BSI citent 20 % comme valeur de r\u00e9f\u00e9rence. Un montant minimum l\u00e9gal fixe n’existe pas.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>