No 039 — 26 septembre 2026
Le CISO stratège, de la salle serveur au COMEX
Rattachement, langage, posture, leviers : comment le CISO passe de l'avis technique à l'arbitrage en comité de direction. Grille de maturité incluse.
Plan R
Chronique sur la résilience organisationnelle, la cybersécurité, la continuité d'activité et la gestion de crise.
Des chroniques depuis le 8 janvier 2025, des cadres de référence et des études en accès libre. Continuité d'activité, gestion de crise, réglementation, risque tiers, intelligence artificielle. 91 chroniques et 3 publications à ce jour.
La dernière chronique
Publications en accès libre
- Cadre de référence Mesures d'Isolation Rapide Un cadre de référence pour décider de couper — segment, site ou système d'information entier — assez vite pour enrayer une propagation, et pour savoir rallumer ensuite.
- Cadre de référence Construire une stratégie de sauvegarde : la méthode et le modèle Une méthode en huit étapes pour bâtir une stratégie de sauvegarde tenable, adossée à l'analyse d'impact et alignée sur l'état de l'art, et un modèle de document prêt à adapter.
- Guide Ce que les mots engagent — lexique de la résilience opérationnelle Cinquante-sept termes pour dire ce qu'est la résilience opérationnelle, et ce qu'elle n'est pas : une prise de position adossée aux chroniques Plan R, confrontée aux référentiels.
Les chroniques récentes
- 038 Auditer la résilience de ses tiers sans rupture DORA, NIS2 : comment évaluer la robustesse de vos tiers critiques sans casser la relation, tester les interfaces et préparer leur défaillance comme une crise.
- 037 Le reporting ESG Cyber, valoriser la résilience auprès des investisseurs CSRD allégée, ESRS révisés : où loger la cyber dans un état de durabilité, ce que le marché price vraiment, et huit indicateurs crédibles face aux investisseurs.
- 036 Responsabilité du dirigeant, ce que le nouveau cadre change vraiment NIS2, DORA, droit français : ce que le cadre change réellement pour la responsabilité personnelle des décideurs. Grille d'imputation et dossier de preuve.
- 035 Communication de crise, ce que 2026 nous a appris Vitesse de propagation, obligations NIS2, risque deepfake : ce qui a changé en 2026. Grille des 4 fenêtres de parole et checklist d'authenticité à activer.
- 034 Désinformation et cyber, quand l'attaque vise la confiance La désinformation vise le capital confiance, pas les serveurs. Typologie des attaques, matrice d'arbitrage de la réponse et gouvernance du risque.
- 033 Préparation à l'audit NIS2 - preuves, documentation, posture Transposition NIS2 en retard, mais contrôle inévitable. Grille de 8 dossiers de preuve pour documenter sa conformité et tenir face à un audit ANSSI.
Qui écrit
Sébastien, une vingtaine d'années en production informatique, cybersécurité, gestion de crise et continuité d'activité. Plan R est une chronique indépendante : les analyses n'engagent aucun employeur ni client.
- Gouvernance et gestion des risquesdepuis 2018 Construire un cadre de groupe, et obtenir qu'il soit appliqué sans autorité hiérarchique.
- Résilience opérationnelledepuis 2019 Des plans de continuité éprouvés par l'exercice, pas par la relecture.
- Gestion de crisedepuis 2019 Décider vite, à plusieurs niveaux, et s'entraîner avant d'en avoir besoin.
- Conformité réglementairedepuis 2019 NIS2, CRA et AI Act ramenés à une trajectoire exécutable.
- Économie du risquedepuis 2019 Faire arbitrer plutôt que faire peur.
- Chaîne d'approvisionnementdepuis 2020 Le risque qui entre par le contrat du fournisseur.
- Sécurité opérationnelle2007 – 2015 Huit ans de production avant la gouvernance : savoir ce qu'une exigence coûte.
- Souveraineté numériquedepuis 2022 Une dépendance s'instruit comme un risque, pas comme une opinion.