Analyse · Organisation · Juridique ✳ mise à jour le 8 septembre 2026

Analyste risques cyber

Aussi appelé : Risk manager cybersécurité, Analyste en gestion des risques SI, Chargé de gestion des risques cyber, Cyber risk analyst, Responsable des risques numériques, Analyste risques et assurance cyber.

Il identifie et évalue les risques cyber de l'entreprise, les traduit en impacts compréhensibles par la direction, et suit les décisions prises pour les réduire.

Ce que fait vraiment un analyste risques cyber

• Mener les analyses de risques : périmètre, actifs, menaces, vulnérabilités, impacts
• Quantifier quand c'est possible : coût d'un arrêt, d'une fuite, d'une sanction
• Tenir le registre des risques et le plan de traitement, et le faire vivre
• Évaluer les fournisseurs, les projets et les nouveaux usages avant qu'ils ne créent un risque
• Préparer les scénarios de crise et les exercices
• Faire le lien avec l'assurance cyber : questionnaire, couverture, exclusions
• Rendre compte à la direction et au comité des risques
• Suivre les incidents et en tirer des enseignements pour la cartographie

Journée type

9 h : atelier EBIOS avec les métiers de la logistique sur le scénario d'un blocage des expéditions. 11 h : évaluation sécurité d'un nouveau fournisseur SaaS demandé par le marketing. Déjeuner. 14 h : préparation du questionnaire de renouvellement de l'assurance cyber avec la DSI. 15 h 30 : mise à jour du registre des risques après un incident de la semaine. 16 h 30 : rédaction de la synthèse trimestrielle pour le comité des risques.

Faut-il savoir coder ?

Non. Il faut comprendre comment une attaque se déroule et ce qu'elle touche, pour évaluer un impact avec justesse. La méthode d'analyse, la rigueur et la capacité à faire décider sont le cœur du métier. Les profils venus de l'audit, du contrôle interne, de l'assurance ou de la finance y trouvent leur place.

Les profils qui réussissent

Les contrôleurs internes, auditeurs et risk managers d'autres domaines (financier, opérationnel, industriel) : la méthode est la même, le sujet change. Les souscripteurs et gestionnaires de sinistres en assurance. Les contrôleurs de gestion à l'aise avec la quantification. Les consultants en organisation. Traits utiles : esprit d'analyse, rigueur, capacité à simplifier sans trahir, fermeté pour faire acter des décisions.

Compétences transférables

• Méthodes de gestion des risques : identification, évaluation, traitement, suivi
• Cartographie et registre des risques
• Quantification et modélisation d'impacts
• Audit et contrôle interne
• Présentation à une direction ou à un comité
• Analyse de contrats et de couvertures d'assurance

Compétences à acquérir

• EBIOS Risk Manager, la méthode de l'ANSSI, et la logique d'ISO 27005
• Les scénarios d'attaque courants et leurs conséquences réelles : rançongiciel, fraude, fuite de données, indisponibilité
• Le vocabulaire technique minimal pour dialoguer avec la DSI et le RSSI
• Le cadre réglementaire qui impose l'analyse de risques : NIS 2, DORA, RGPD
• Le marché de l'assurance cyber et ses questionnaires

Voies d’accès et certifications

• Depuis le contrôle interne, l'audit ou le risk management d'un autre domaine : prendre le périmètre cyber
• Depuis l'assurance : rejoindre un courtier, un assureur ou un cabinet sur les risques cyber
• Cabinet de conseil GRC comme analyste junior, puis poste en entreprise
• Depuis la conformité ou la qualité : évoluer vers l'analyse de risques
• Reconversion : formation aux fondamentaux, certification EBIOS Risk Manager, puis candidature dans les ETI et les groupes soumis à NIS 2 ou DORA

Certifications utiles

EBIOS Risk Manager (formation labellisée par l'ANSSI) · ISO 27005 Risk Manager · CRISC de l'ISACA pour les profils confirmés · ISO 27001 Foundation pour le lien avec le système de management · ISC2 CC ou Microsoft SC-900 pour les fondamentaux

Salaire indicatif

Aucune source suffisamment fiable n’a été trouvée pour ce métier ; nous préférons ne rien afficher plutôt qu’un chiffre invérifiable. La fiche sera complétée dès qu’une source institutionnelle ou un guide de cabinet daté le permettra.

L’idée reçue

« L'analyse de risques, c'est une matrice de couleurs qu'on remplit une fois. » Non. C'est ce qui permet à une direction de décider où mettre l'argent et l'effort, et de prouver qu'elle l'a fait. Bien faite, elle change les priorités de l'entreprise ; mal faite, elle rassure à tort.