La méthode
Publiée par l’ANSSI en 2018 avec le Club EBIOS, la méthode s’organise en cinq ateliers. Elle combine une approche par conformité — un socle de sécurité fondé sur les référentiels applicables — et une approche par scénarios, centrée sur les menaces ciblées.
Elle s’intéresse à l’écosystème : fournisseurs, partenaires et prestataires sont souvent le chemin d’attaque le plus probable. Les scénarios stratégiques décrivent ces chemins à haut niveau ; les scénarios opérationnels détaillent les modes opératoires techniques.
La méthode est compatible avec l’ISO/IEC 27005 et sert de base à l’homologation de sécurité des systèmes d’information. L’ANSSI délivre un label aux logiciels qui la mettent en œuvre.
Quand l’utiliser
- Homologation d’un système d’information ou d’un projet numérique.
- Analyse de risques exigée par un référentiel (NIS2, secteur public, opérateurs d’importance vitale).
- Cartographie des menaces ciblant une organisation et son écosystème.
Points d’attention
- Impliquer les métiers dès l’atelier 1 : les valeurs métier ne se définissent pas depuis la seule DSI.
- Limiter le nombre de couples sources de risque / objectifs visés pour garder des scénarios exploitables.
- La méthode est itérative : prévoir des cycles de mise à jour, pas une analyse figée.
Les cinq ateliers
- Atelier 1 — Cadrage et socle de sécurité : périmètre, valeurs métier, biens supports, événements redoutés, référentiels applicables.
- Atelier 2 — Sources de risque : qui pourrait attaquer, avec quels objectifs, et quels couples sont les plus pertinents.
- Atelier 3 — Scénarios stratégiques : chemins d’attaque de haut niveau, y compris par l’écosystème.
- Atelier 4 — Scénarios opérationnels : modes opératoires techniques et vraisemblance.
- Atelier 5 — Traitement du risque : stratégie, mesures de sécurité, risques résiduels et suivi.
Logiciels EBIOS RM
Liste issue du catalogue Aurorisk, liens contrôlés le 2026-09-26. Les accès gratuits établis sont listés en premier ; les informations inconnues sont indiquées.
| Outil | Source · licence · accès | Portée | Description |
|---|---|---|---|
| CISO Toolbox — analyse de risques ↗ | Open sourceGratuit | France | Outil EBIOS RM (cinq ateliers) dans le navigateur ; données stockées localement ; gratuit, licence MIT. |
| EBIOS-RM-Graph ↗ | Gratuit | France | Page HTML autonome pour construire les graphes de scénarios EBIOS RM ; export JSON ; licence non précisée. |
| Polyodos ↗ | Éditeur commercialGratuit pour l’enseignement | International | EBIOS RM en cinq ateliers, avec IEC 62443. |
| risk.mlab.sh ↗ | Éditeur commercialGratuit sur inscription | France | Plateforme en ligne (Cyber Dream) couvrant les cinq ateliers ; offre gratuite sur inscription, fonctions avancées payantes ; hébergement UE. |
| Agile Risk Manager ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v2.6.2, client-serveur). Éditeur : ALL4TEC. |
| ARIMES ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v1.2, poste autonome). Éditeur : ADACIS. |
| BlueKanGo IRM — méthode EBIOS RM ↗ | Éditeur commercial | France | Module EBIOS RM d’une plateforme SaaS de gestion des risques ; démonstration sur demande. |
| C2R — Cyber Risk Review ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v1.0, client-serveur). Éditeur : Sia Partners. |
| Digi-IT — EBIOS Risk Manager pour Odoo ↗ | Éditeur commercialOpen source | International | Module Odoo couvrant les cinq ateliers ; licence LGPL-3 ; éditeur DIGI-ERP (Tunisie). |
| EGERIE Risk Manager ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v4.0, poste autonome et client-serveur). Éditeur : EGERIE Software. |
| Fence ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v3.16, poste autonome et client-serveur). Éditeur : Airbus Protect. |
| Oligo Risk Manager ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v2.1.0 poste autonome, v1.0.0 client-serveur). Éditeur : RECIPROC-IT. |
| Phinasoft Risk Manager ↗ | Éditeur commercial | France | Labellisé EBIOS RM par l’ANSSI (v2.0, client-serveur et SaaS). Éditeur : Phinasoft. |
Normes et références
- ANSSI — EBIOS Risk Manager (2018)
- ISO/IEC 27005 — Gestion des risques de sécurité de l’information