DAF : pourquoi la cybersécurité est aussi votre responsabilité

Les cyberattaques, un risque financier sous-estimé

Avec la montée en puissance des cyberattaques – ransomwares, fraude au président, vol de données – les conséquences financières peuvent être désastreuses : pertes directes, interruptions d’activité, atteinte à la réputation, voire sanctions réglementaires. 

Les Directeurs Administratifs et Financiers (DAF) ne peuvent pas laisser la gestion de ces risques aux seuls Responsables de la Sécurité des Systèmes d’Information (RSSI). Ils doivent s’impliquer activement pour intégrer le risque dans leur stratégie financière et de gestion des risques.

Cybersécurité : un enjeu financier majeur pour les directions financières

Une attaque peut entraîner des pertes financières directes (rançon, remédiation, chiffre d’affaires), une atteinte à la réputation impactant clients, fournisseurs et investisseurs, des sanctions réglementaires en cas de non-conformité (RGPD, NIS2), et une hausse des primes d’assurance cyber, de plus en plus scrutées par les assureurs.

Comment chiffrer l’impact financier d’une cyberattaque

Chiffrer un risque qui n’est pas encore survenu est l’exercice le plus difficile pour un DAF et pourtant celui qui justifie ou non un investissement en prévention. La méthode la plus robuste distingue deux familles de coûts, détaillées dans notre article Cyberattaque, combien ça coûte concrètement : 

• Les coûts directs, les plus faciles à provisionner : intervention d’un prestataire en réponse à incident, restauration des données, remplacement de matériel, rançon éventuelle. 
• Les coûts indirects, souvent sous-estimés dans les premiers arbitrages budgétaires : perte d’exploitation pendant l’interruption d’activité, temps de direction mobilisé sur la gestion de crise plutôt que sur l’activité, hausse de la prime d’assurance l’année suivante, attrition client, et sanctions CNIL en cas de fuite de données mal gérée. 

En pratique, un DAF construit ce chiffrage en croisant deux données : la valeur des actifs critiques identifiés avec le RSSI (chiffre d’affaires dépendant d’un système, coût de remplacement, données sensibles exposées) et des références sectorielles sur le coût moyen des incidents comparables. Ce chiffrage sert ensuite de base à deux décisions : le niveau de budget de prévention à allouer, et le niveau de couverture assurantielle à souscrire.

Pourquoi les DAF doivent collaborer étroitement avec les RSSI

1. Évaluer l’impact financier des cyberattaques. Les DAF doivent travailler avec les RSSI pour chiffrer le coût potentiel des incidents et justifier les investissements en cybersécurité.
2. Intégrer la cybersécurité dans la gestion des risques d’entreprise. L’intégrer aux scénarios d’anticipation et de continuité d’activité.
3. Optimiser le budget cybersécurité. L’ANSSI et le CESIN recommandent d’allouer entre 5 et 10 % du budget IT à la cybersécurité pour une entreprise exposée (données clients, paiements en ligne). Un dialogue régulier entre DAF et RSSI aide à prioriser ces dépenses selon les menaces réelles plutôt que selon une enveloppe forfaitaire, et à arbitrer entre prévention et assurance cyber.
4. Sensibiliser les collaborateurs aux risques cyber. Le facteur humain étant la principale porte d’entrée, les DAF peuvent impulser une politique de formation. 
5. Structurer la séparation des tâches sur les opérations financières sensibles. Ce principe protège autant contre les tentatives externes (fraude au président, faux fournisseur) que contre le risque de fraude interne, un risque dont la responsabilité de prévention revient largement à la direction financière, pas seulement au RSSI.

Quels risques cyber sont réellement couverts par une assurance ?

C’est une question que tout DAF doit trancher avant de considérer son entreprise “couverte" : une assurance cyber ne couvre jamais l’ensemble du risque, et le périmètre exact varie fortement d’un contrat à l’autre. 

• Généralement couverts : les coûts d’intervention en réponse à incident, la restauration des données et systèmes, la responsabilité civile en cas de fuite de données clients, l’assistance juridique et la gestion de crise, et selon les contrats, la perte d’exploitation liée à l’interruption d’activité. 
• Souvent exclus ou soumis à condition : les attaques liées à un défaut de mise à jour ou à une négligence caractérisée, les sanctions administratives elles-mêmes (une amende CNIL n’est jamais assurable, seuls les frais de défense peuvent l’être), et le remboursement d’une rançon, conditionné par la loi Lopmi au dépôt d’une plainte dans les 72 heures. 

Selon le rapport LUCY 2025 de l’Amrae (Association pour le management des risques et des assurances de l’entreprise), le marché français de la cyberassurance représentait 317 millions d’euros de primes en 2024, un marché encore jeune, où les critères de souscription et les exclusions varient sensiblement selon les assureurs. C’est pourquoi la lecture ligne à ligne du contrat, critère par critère, reste indispensable avant de considérer un risque comme couvert. Voir notre article 6 critères pour bien choisir son assurance cyber pour le détail de ces critères.

Exemple concret : un DAF qui prépare son renouvellement de contrat cyber croise trois éléments avant l’arbitrage — le chiffrage de l’impact financier réalisé avec le RSSI (voir méthode ci-dessus), le niveau de franchise proposé par l’assureur au regard de la trésorerie disponible de l’entreprise, et la liste précise des exclusions. Dans de nombreux cas, l’exercice révèle un écart entre ce que la direction pensait couvert et ce que le contrat couvre réellement, notamment sur la perte d’exploitation, souvent plafonnée ou soumise à un délai de carence que peu de dirigeants ont en tête avant un sinistre.

Trois tendances à anticiper

1. Le renforcement des régulations. NIS2 impose des exigences accrues en matière de protection des systèmes et de gestion des risques.
2. L’essor de l’IA dans les cyberattaques et la défense. Utilisée pour détecter et prévenir les menaces, mais aussi par les cybercriminels pour des attaques plus sophistiquées : hameçonnage automatisé, ou voix et visages clonés pour renforcer la crédibilité d’une fraude au président. À l’inverse, l’usage non encadré de l’IA générative par vos propres équipes constitue un risque distinct. Voir notre article Cybersécurité et IA : 6 réflexes pour protéger votre entreprise.
3. L’exigence croissante des assureurs. Les compagnies d’assurance demandent désormais des preuves de protection renforcée (audits, formation, plans de continuité).

La responsabilité du DAF ne s’arrête pas au budget

Au-delà de l’arbitrage financier, la responsabilité personnelle du DAF peut être engagée si une décision budgétaire s’avère avoir sous-estimé un risque connu, un enjeu qui rejoint celui du dirigeant, traité dans notre article Cyberattaque, quelle protection juridique pour le dirigeant ?, qui détaille aussi la distinction entre protection juridique de l’entreprise et assurance RCMS des dirigeants. 

Sur le plan opérationnel, le DAF est aussi directement concerné par la question du paiement d’une rançon en cas d’attaque par rançongiciel : c’est souvent lui qui doit arbitrer entre le coût d’une interruption prolongée et les risques associés au paiement, en lien avec la direction générale.

DAF, faites de la cybersécurité un levier de résilience financière

En s’impliquant activement, en dialoguant avec les RSSI et en intégrant la gestion des cyber-risques dans leurs décisions, les DAF peuvent protéger leur entreprise des menaces numériques et assurer sa pérennité.

Questions fréquentes 

Le DAF doit-il avoir des compétences techniques en cybersécurité ? 

Non. Son rôle n’est pas technique mais stratégique et financier : arbitrer les budgets, évaluer les risques en termes d’impact financier, et s’assurer que les investissements de sécurité sont proportionnés aux enjeux réels de l’entreprise.

Comment un DAF peut-il chiffrer le coût potentiel d’une cyberattaque avant qu’elle ne survienne ? 

En travaillant avec le RSSI sur une cartographie des actifs critiques et de leur valeur, puis en croisant ces données avec des références sectorielles sur le coût moyen des incidents, pour prioriser les investissements de prévention. 

NIS2 concerne-t-elle uniquement les grandes entreprises ? 

Non, la directive élargit son périmètre à de nombreuses PME et ETI, notamment via l’effet de sous-traitance : une entreprise peut être concernée indirectement si un client soumis à NIS2 exige d’elle des garanties de sécurité. 

Quels sont les risques cyber le plus souvent exclus des contrats d’assurance ? 

Les attaques liées à une négligence caractérisée (absence de mises à jour, mots de passe non conformes aux exigences du contrat), les sanctions administratives elles-mêmes, et le remboursement d’une rançon en l’absence de dépôt de plainte dans les délais légaux. Chaque contrat a ses propres exclusions : la vérification ligne à ligne reste indispensable.

Comment un DAF justifie-t-il un budget cyber auprès de la direction générale ? 

En présentant le chiffrage de l’impact financier potentiel (coûts directs et indirects) en regard du coût de la prévention, plutôt qu’en présentant la cybersécurité comme une dépense IT isolée. C’est cette mise en perspective coût du risque / coût de la prévention qui rend l’arbitrage lisible pour une direction générale non technique.