Budget cyber 2026
Comment les RSSI de PME et d'ETI défendent — et obtiennent — les ressources qu'ils méritent
Présenter un budget cyber à votre direction n'est pas un exercice technique. C'est un exercice stratégique. Voici le cadre que les RSSI qui obtiennent des budgets utilisent vraiment.
Ce qu'il faut retenir
- Défendre un budget cyber est un exercice stratégique, pas technique : parlez risque, exposition et création de valeur, pas CVE.
- Le cadre des 3 scénarios (A/B/C) permet à la direction de décider du niveau de risque qu'elle accepte — pas seulement d'un montant.
- Un RSSI outillé (posture temps réel, reporting board) défend un budget chiffré et priorisé bien plus facilement.
Le RSSI qui a obtenu 40 % de budget en plus — et celui qui n'a rien eu
Deux RSSI. Deux PME françaises du même secteur. Même taille, environ 800 salariés. Même niveau d'exposition réglementaire, NIS2 en approche.
Le premier RSSI arrive en comité de direction avec un tableur de 12 lignes. Licences, matériel, prestataires. Total : 380 000 €. La direction demande pourquoi c'est plus élevé que l'année dernière. Il explique que les menaces augmentent. La direction répond qu'il faudra faire avec 300 000 €. Fin de la réunion.
Le deuxième RSSI arrive avec trois slides. Il commence par les risques actuels non couverts — avec un chiffrage de l'impact si l'un d'eux se matérialisait. Il montre l'écart entre posture actuelle et ce qu'exige NIS2 d'ici fin 2026. Il propose deux scénarios : 320 000 € (couverture minimale, risques résiduels listés) ou 410 000 € (couverture cible, risques résiduels acceptables). La direction choisit le scénario à 410 000 €. Et elle valide.
La différence n'était pas dans les chiffres. C'était dans le cadre.
Étape 1 — Traduire les risques cyber en risques business
| Risque cyber | Traduction business | Impact estimé |
|---|---|---|
| Ransomware sur les systèmes de production | Arrêt d'activité partiel ou total | 50 000 à 500 000 € selon la durée |
| Fuite de données clients | Sanction RGPD + perte de confiance | 4 % du CA mondial ou 20 M€ (RGPD) |
| Compromission d'un prestataire critique | Interruption de service + responsabilité contractuelle | Variable selon les SLA |
| Incident NIS2 non déclaré dans les délais | Sanction ANSSI | Jusqu'à 10 M€ ou 2 % du CA global |
Étape 2 — Présenter des scénarios, pas une demande
Une seule demande budgétaire met votre direction en position de négocier le chiffre. Deux ou trois scénarios la mettent en position de choisir un niveau de risque.
Budget actuel maintenu. Voici les risques ouverts et leur probabilité d'impact estimée sur les 12 prochains mois.
Conformité NIS2 + couverture des risques les plus critiques. Risques résiduels explicitement listés.
Posture cyber robuste alignée sur le profil de risque. Exposition globale significativement réduite.
Étape 3 — Quantifier le coût de l'inaction
- Coût d'un incident ransomware pour une PME de 500 à 1 000 salariés : 250 000 € à 1,2 M€ (coûts directs + indirects, ANSSI et Hiscox 2025)
- Coût moyen d'une violation de données pour une PME : 4,5 M€ selon IBM (2025), dont 60 % de coûts indirects
- Durée moyenne d'interruption après ransomware : 21 jours pour une PME sans plan de reprise formalisé
La question devient : "Est-ce qu'on accepte un risque de 800 000 € pour économiser 80 000 € ?" C'est une tout autre conversation.
Les 5 erreurs qui font couler un budget cyber en COMEX
Erreur 1 — Présenter en termes techniques
"Renouvellement de l'EDR, upgrade du SIEM" n'a aucun sens pour un DAF. Traduisez : "Protection renforcée contre les ransomwares — détection en 4h au lieu de 48h."
Erreur 2 — Mettre la conformité en avant
"On a besoin de ça pour être conformes NIS2" est une pression externe. Les directions répondent mieux à "voici le risque que ça couvre pour notre organisation."
Erreur 3 — Ne pas anticiper les objections
Votre DAF va demander pourquoi c'est plus élevé que l'année dernière. Préparez des réponses factuelles aux 3 objections les plus fréquentes avant la réunion.
Erreur 4 — Pas de données sur l'année écoulée
Avant de demander le budget de l'année à venir, montrez ce que vous avez fait de celui de l'année passée. Si vous ne pouvez pas le montrer, c'est le signal d'un problème de pilotage.
Erreur 5 — Ne pas demander une décision documentée
Assurez-vous que le choix de la direction est documenté (PV de réunion, email). Si un incident survient sur un risque résiduel assumé, cette documentation est votre protection — et celle de l'organisation.
Questions fréquentes
Comment présenter un budget cyber à sa direction ?+
Quel est le budget cyber recommandé pour une PME/ETI ?+
Quel est le coût moyen d'un ransomware pour une PME française ?+
Préparez votre budget cyber 2026
Téléchargez le template de présentation budgétaire COMEX d'Eyako — ou demandez un accompagnement de 30 minutes pour structurer votre demande.
Demander une démo