Chaque cadre auquel vous répondez suppose que vous tenez un registre des risques, même quand il n'emploie jamais le mot. L'obligation n'est pas de posséder un outil ; c'est de montrer un enregistrement maintenu, scoré et responsabilisé de vos risques dans le temps. Ce mot, maintenu, c'est là que le tableur échoue en silence.
Ce qu'un registre des risques doit montrer
NIS2, DORA et ISO 27001 n'imposent jamais d'outil, pourtant aucune de leurs obligations ne peut être satisfaite sans un enregistrement maintenu de vos risques. Mettez les textes côte à côte et ils précisent ce que cet enregistrement doit pouvoir montrer.
- Un enregistrement des risques de toute source : projets, audits, évaluations fournisseurs (NIS2 Art. 21(2)(a) ; DORA Art. 6).
- Un responsable nommé et un statut à jour pour chaque risque, car la supervision exige la responsabilité (NIS2 Art. 20).
- Des décisions de traitement et des niveaux résiduels, dont l'acceptation formelle de ce qu'on choisit de ne pas corriger (ISO 27001 cl. 8.3).
- Des dates de revue, un historique et des preuves produisibles pour un superviseur ou un auditeur (NIS2 Art. 32 à 33 ; ISO 27001 cl. 8.2).
Une évaluation scorée, pas une liste
Un registre n'est utile que si les chiffres sont honnêtes. Une évaluation défendable score chaque risque sur une matrice, sépare l'inhérent du résiduel, et relie les risques à la criticité des actifs qu'ils menacent, pour qu'un score élevé signifie une exposition élevée, pas une estimation. La criticité des actifs sur C-I-A-T (confidentialité, intégrité, disponibilité, traçabilité) est ce qui fait que le score reflète ce qui est réellement en jeu.
Le cycle de vie, enregistré
La valeur n'est pas l'instantané ; c'est la trace. Un risque passe par identifié, traité, atténué, accepté ou clôturé, avec niveaux inhérent et résiduel et le chemin entre les deux. L'acceptation formelle vit dans un registre d'exceptions avec justification et date d'expiration, pour qu'un risque accepté ne devienne pas discrètement un risque oublié.
De l'obligation à la preuve
Le même enregistrement répond à trois cadres à la fois. Voici le mapping que nous utilisons en mission.
| OBLIGATION | CE QUE VOUS DEVEZ PRODUIRE | DANS SYNAPSERM |
|---|---|---|
| NIS2 Art. 21(2)(a) | Risques identifiés, scorés, avec responsable et traitement | Registre des risques scoré, échelles configurables |
| DORA Art. 6 | Un cadre documenté, revu au moins une fois par an | Registre avec dates de revue et historique |
| ISO 27001 cl. 8.3 | Décisions de traitement et acceptation formelle | Cycle de vie et registre d'exceptions |
| NIS2 Art. 32 à 33 | Tout ce qui précède, à la demande, lisible par un auditeur | Historique immuable, rôle auditeur en lecture seule, export |
Questions fréquentes
Un tableur suffit-il pour le registre des risques ?
Pour une première évaluation, souvent oui. Il échoue sur deux obligations qui n'apparaissent qu'avec le temps : l'évaluation de l'efficacité (NIS2 Art. 21(2)(f)) et la preuve à la demande (Art. 32 à 33). Un tableur n'a pas d'historique, pas de responsabilité de propriétaire ni de vue auditeur en lecture seule, donc ce qu'un superviseur reçoit est un instantané assemblé la semaine dernière, pas un dossier maintenu.
Quelle différence entre risque inhérent et résiduel ?
Le risque inhérent est l'exposition avant vos contrôles ; le risque résiduel est ce qui reste après. Enregistrer les deux, et le chemin entre eux, est ce qui montre qu'un contrôle a réellement réduit quelque chose. Un registre à un seul chiffre ne peut pas démontrer que votre traitement a marché, ce que l'auditeur vérifie justement.
Qu'est-ce que la criticité C-I-A-T ?
Elle score un actif sur quatre dimensions, confidentialité, intégrité, disponibilité et traçabilité, en langage métier plutôt qu'en jargon technique. Injecter cette criticité dans l'évaluation fait qu'un score élevé signifie une forte exposition métier, pour que le registre reflète ce qui est vraiment en jeu plutôt qu'une intuition.
Comment scorer le risque de façon défendable ?
Sur une échelle cohérente et documentée, appliquée de la même façon à chaque risque, avec l'évaluation enregistrée plutôt que débattue. La défendabilité vient moins des chiffres exacts que du fait que la méthode est écrite et appliquée uniformément, ce que sonde un superviseur ou un auditeur de certification.
Un registre des risques est-il la même chose qu'une analyse de risques ?
Non. L'analyse est l'acte de scorer ; le registre est l'enregistrement maintenu de chaque analyse, son responsable, son traitement et son historique. On mène des analyses ; on tient un registre. Les obligations sont satisfaites par le second.
Aller plus loin
Les obligations, article par article.
Pourquoi le registre dépasse le fichier.
Comment la criticité alimente le score.
Apportez un vrai fournisseur ou un vrai système. En 45 minutes on le passe au mapping et vous gardez le résultat.
Demander une démoCette page résume NIS2 (Directive (UE) 2022/2555), DORA (Règlement (UE) 2022/2554) et ISO/IEC 27001 à titre d'information générale. Ce n'est pas un avis juridique.