EBIOS Risk Manager a été publiée en 2018. Sa première révision d’ampleur, la version 1.5, est parue en mars 2024. Elle ne bouleverse ni la logique des cinq ateliers ni les livrables attendus, mais elle corrige plusieurs ambiguïtés qui coûtaient du temps en atelier et aligne la méthode sur ISO/IEC 27005:2022. Deux ans plus tard, ces changements se sont installés dans la pratique — et certains méritent d’être regardés de près.

Pourquoi une révision en 2024

L’ANSSI a publié la mise à jour de la méthode le 26 mars 2024, après six années d’usage en France et à l’international. L’agence présente cette version comme une palette d’outils élargie destinée à mieux anticiper les risques, et non comme une refonte.

Le contexte est double. D’un côté, la pratique avait fait apparaître des points de friction récurrents : termes mal compris en atelier, articulation floue entre certains livrables, difficulté à représenter des chemins d’attaque complexes. De l’autre, le paysage normatif et réglementaire a bougé — ISO/IEC 27005 a été révisée en 2022, DORA et NIS2 sont arrivés — et la méthode devait rester interopérable avec ces cadres.

La structure en cinq ateliers reste inchangée : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque.

Trois changements de vocabulaire qui ne sont pas cosmétiques

La v1.5 modifie trois termes. Chacun corrige un malentendu observé sur le terrain.

« Plan de traitement du risque » remplace « PACS ». Le plan d’amélioration continue de la sécurité portait un nom qui suggérait un exercice d’amélioration permanente diffus. Le nouveau terme dit ce que c’est : la décision de traiter, transférer, éviter ou accepter chaque risque, avec un calendrier et un responsable. Il a en outre l’avantage d’être immédiatement reconnaissable par un auditeur ISO 27001 et par un directeur des risques.

« Dangerosité » remplace « menace » pour caractériser les parties prenantes. Dans l’atelier 3, on évalue l’écosystème : fournisseurs, partenaires, filiales, prestataires. Parler de la « menace » que représente un partenaire était source de malaise et de contresens — on ne suppose pas que le partenaire est hostile, on constate qu’il constitue un vecteur exploitable. La « dangerosité » désigne bien cette exposition, indépendamment de toute intention.

« Propriétaire » remplace « responsable » pour les valeurs métier et les biens supports. Le terme aligne EBIOS RM sur le vocabulaire des systèmes de management et clarifie une distinction utile : le propriétaire d’une valeur métier est celui qui arbitre les décisions la concernant, pas nécessairement celui qui l’exploite au quotidien.

Ces trois substitutions paraissent mineures sur le papier. En atelier, avec des participants métier non spécialistes, elles économisent un temps de pédagogie non négligeable.

Chemins d’attaque et opérateurs logiques

La modification la plus utile techniquement concerne l’atelier 4. La v1.5 précise l’identification des chemins d’attaque en distinguant explicitement les cheminements directs et indirects, et en reconnaissant la possibilité de chemins redondants — plusieurs routes menant au même objectif.

Elle introduit surtout l’usage d’opérateurs logiques ET/OU dans la représentation des scénarios opérationnels. Concrètement, on peut désormais exprimer qu’une étape requiert la conjonction de deux conditions, ou qu’elle peut être atteinte par l’une ou l’autre de deux voies. C’est exactement ce dont on a besoin pour modéliser des séquences réalistes alignées sur MITRE ATT&CK, et cela évite la prolifération de scénarios quasi identiques qui alourdissait les analyses.

La version formalise également la notion de mécanismes de surveillance, en soulignant que certaines mesures ne préviennent pas l’attaque mais en réduisent la durée ou l’impact en la détectant. Cette distinction entre prévention et détection est devenue centrale dans les référentiels récents, et il était logique qu’elle apparaisse dans la méthode.

L’alignement sur ISO/IEC 27005:2022

L’ANSSI affirme la conformité de la v1.5 avec ISO/IEC 27005:2022. Ce point a une valeur pratique directe pour toute organisation certifiée ou en cours de certification ISO 27001 : la clause 6.1.2 de la norme impose un processus d’appréciation des risques, et EBIOS RM peut être présentée en audit comme la mise en œuvre de ce processus sans traduction supplémentaire.

C’est également un argument pour les organisations soumises à plusieurs cadres. Une analyse EBIOS RM correctement conduite alimente à la fois la Déclaration d’Applicabilité ISO 27001, la justification des mesures au titre de NIS2, et l’appréciation du risque TIC attendue par DORA. Le travail d’analyse est fait une fois ; ce sont les restitutions qui diffèrent.

Ce que ça change dans une analyse réelle

Faut-il refaire une analyse conduite en v1.0 ? Non. La v1.5 est une consolidation, et les livrables produits sous la version précédente restent valides. Deux précautions suffisent en pratique.

La première est de mettre à jour le vocabulaire lors de la prochaine révision de l’analyse. Un rapport qui parle encore de PACS et de « menace » d’une partie prenante n’est pas faux, mais il crée une dissonance avec les documents de référence actuels, ce qu’un auditeur relèvera.

La seconde est de revoir l’atelier 4 à la lumière des nouveaux outils. Les analyses menées en v1.0 souffrent souvent d’une représentation linéaire des chemins d’attaque, qui sous-estime les scénarios à voies multiples. Reprendre les scénarios majeurs avec les opérateurs logiques permet en général de réduire le nombre de scénarios documentés tout en couvrant mieux la réalité.

Enfin, un rappel qui n’a rien de méthodologique : la principale difficulté d’EBIOS RM n’est pas la méthode, c’est la mobilisation. Cinq ateliers supposent de réunir direction, métiers, DSI et sécurité à plusieurs reprises. C’est le facteur limitant dans la plupart des PME et ETI, bien avant la maîtrise du formalisme.

Pour un RSSI ou un dirigeant confronté à cette contrainte, le levier utile est de réduire le temps passé à produire la matière plutôt que le temps passé à décider. GALEA outille les cinq ateliers de bout en bout et s’appuie sur une base de plus de 1 000 scénarios de référence rattachés à MITRE ATT&CK pour proposer des cheminements candidats ; la validation humaine reste obligatoire avant inscription au registre des risques, ce qui préserve exactement ce que la méthode a de précieux : l’arbitrage collectif.

Sources

Sources consultées le 23 septembre 2026.

Questions fréquentes

Une analyse réalisée en EBIOS RM v1.0 est-elle encore recevable ?

Oui. La v1.5 est présentée par l’ANSSI comme une mise à jour de consolidation, sans rupture de méthode. Il est simplement recommandé d’adopter le vocabulaire actualisé à l’occasion de la prochaine révision.

EBIOS RM est-elle obligatoire pour NIS2 ?

Aucun texte n’impose une méthode d’analyse de risque nommément. NIS2 exige une approche fondée sur les risques ; EBIOS RM, méthode de l’autorité nationale compétente, est le choix le plus lisible en France, mais d’autres méthodes conformes à ISO/IEC 27005 sont recevables.

Combien de temps prend une analyse EBIOS RM sur un périmètre restreint ?

Cela dépend avant tout de la disponibilité des participants. Sur un périmètre bien cadré, les cinq ateliers représentent généralement quelques journées de travail collectif, auxquelles s’ajoute le temps de préparation et de formalisation, souvent supérieur au temps d’atelier lui-même.