Combien coûte une reprise plus rapide ?

Après la cyberattaque, qui paie ? · Volet 8/8

Éprouver une reprise engage déjà une part de l’activité, tandis que la hausse des budgets laisse encore à mesurer les heures gagnées. Les documents de TSB, les tests bancaires européens et une évaluation britannique éclairent les arbitrages qui précèdent la crise, avec leurs preuves et leurs inconnues.

Avant la migration informatique de TSB, quelques heures de disponibilité des distributeurs entrent dans le choix d’un test. Pour éprouver l’application sous charge dans la configuration prévue, il faudrait mobiliser les deux centres informatiques de production de la banque et interrompre certains services déjà actifs. Les distributeurs seraient notamment indisponibles pendant environ trois à quatre heures. TSB accepte finalement un essai sur un seul centre, l’autre continuant à servir les clients. Ce choix, reconstitué par le régulateur britannique dans sa décision de décembre 2022, fournit une entrée très concrète dans l’économie de la préparation. 1

Après la migration du 22 avril 2018, la configuration à deux centres contribue aux difficultés rencontrées par les clients. Une connexion peut arriver dans un centre et l’opération suivante dans l’autre, où la session correspondante manque. Une partie du service dépend donc d’une relation entre les équipements que l’essai limité avait laissée sans épreuve représentative. La Prudential Regulation Authority, la PRA, conclut que la banque a perdu une occasion de découvrir certains défauts. Elle conserve la prudence nécessaire sur ce que le test aurait effectivement révélé. 1

TSB sert ici de cas comparatif : l’incident réel est une migration informatique défaillante. Son intérêt pour cette série consacrée aux conséquences des cyberattaques tient à une question commune, celle du service que l’organisation saura rendre lorsque ses systèmes ordinaires lui feront défaut. Après avoir suivi les pertes, les fournisseurs, les assureurs et la garantie publique, ce dernier volet remonte avant la crise, au moment où une entreprise choisit les moyens qu’elle engage pour en raccourcir les conséquences.

L’essai engage déjà une part de l’activité

L’arbitrage de TSB possédait une logique immédiate : préserver les services déjà en fonctionnement pendant la préparation du basculement général. Selon la PRA, la banque considérait qu’un centre capable de supporter la charge donnait confiance dans le fonctionnement de l’ensemble. L’architecture faisait pourtant travailler les deux centres simultanément, avec l’exigence de maintenir une session au bon endroit. Des règles de répartition du trafic et une configuration erronée du composant d’authentification OpenAM ont fragilisé ce mécanisme. 1

Cette histoire montre pourquoi compter les équipements de secours renseigne imparfaitement sur leur utilité. Dans un système composé, la difficulté peut se loger dans une interaction : un utilisateur reconnu ici, une opération envoyée ailleurs, une application qui attend une réponse devenue inaccessible. Un essai représentatif doit exposer ces relations. Son coût peut inclure du temps d’ingénieur, un environnement permettant de reproduire la production et, lorsqu’il faut toucher au service réel, une indisponibilité organisée. Le bénéfice recherché est une information exploitable assez tôt pour corriger les défauts.

Un autre passage de la décision révèle une préparation d’une nature différente. L’exercice de direction de mars 2018, dit Gold, simulait notamment un ransomware et supposait le prestataire SABIS occupé à réparer. Les exercices envisageaient une résolution en quelques jours ; la participation du prestataire n’était pas exigée. Cet exercice de gestion de crise doit être lu séparément du test technique sous charge. Il permettait de travailler les décisions de la direction, tandis que la vitesse de réparation dépendait d’opérations confiées à d’autres. 1

Méthode et périmètre

Le dossier TSB distingue deux préparations. Le test de charge avait été limité à un datacenter pour préserver les services déjà actifs ; après migration, des erreurs de routage entre les deux centres ont affecté les sessions et le basculement. L’exercice Gold, consacré à la gestion de crise, supposait de son côté une résolution rapide par SABIS, dont la participation n’était pas exigée. Le ransomware appartenait à cette simulation. L’incident réel d’avril 2018 était lié à la migration informatique. La PRA décrit une occasion perdue de détection ; le coût du test approprié et les pertes qu’il aurait évitées ne sont pas établis.

Polices et licences des figures

Polices des figures : Inter Variable et JetBrains Mono Variable, sous licence SIL Open Font License 1.1. Inter · JetBrains Mono.

Les comptes 2018 donnent l’ordre de grandeur du dommage après migration : 330,2 millions de livres de charges supplémentaires et de revenus abandonnés, avant la récupération contractuelle estimée auprès de Sabis. Ce total comprend 122,4 millions de ressources et de conseils supplémentaires. Il décrit la conséquence comptable d’une crise, avec plusieurs catégories de dépenses et de pertes ; le prix du test écarté et la part des dommages qu’il aurait permis d’éviter restent à établir. 2

La comparaison utile se situe donc entre des options de préparation dont il faudrait connaître le coût complet et la capacité démontrée. Ramener ces charges à un coût par jour donnerait un quotient séduisant, mais laisserait intacte la question du dommage réellement évitable. Dans sa réponse aux régulateurs du 20 décembre 2022, TSB renouvelle ses excuses et son directeur général affirme que la banque a été transformée au cours des quatre années précédentes. Cette position de l’entreprise appartient au dossier historique ; notre collecte porte sur les mécanismes documentés de 2018. 3

Des systèmes restaurés au service utilisable

Pour déterminer ce qu’une préparation achète, il faut d’abord choisir le moment auquel la reprise sera considérée comme acquise. Le guide de continuité du NIST distingue un objectif de temps de reprise pour une ressource informatique, le Recovery Time Objective ou RTO, et la durée totale de perturbation tolérable pour l’activité, la Maximum Tolerable Downtime ou MTD. Le RTO doit normalement laisser, dans cette durée totale, une marge pour retraiter les données. Le Recovery Point Objective, le RPO, désigne de son côté le point dans le passé jusqu’auquel on vise à récupérer les données. Ces concepts permettent de poser des questions différentes à la même sauvegarde. 4

Une application revenue avec des données anciennes peut ouvrir correctement et laisser des opérations récentes à reconstituer. Pendant l’interruption, les équipes peuvent également avoir continué une partie de leur travail par des procédures manuelles. Le guide publié par le National Cyber Security Centre le 1er octobre 2026 décrit précisément cette difficulté : les données restaurées doivent être rapprochées de celles produites dans le fonctionnement dégradé. Il demande aussi de préparer l’ordre de redémarrage des services, qui dépendent de ressources communes comme les identités, le réseau ou le stockage. 5

Imaginons, pour comprendre ce mécanisme, un service qui enregistre provisoirement ses opérations dans un registre séparé. La restauration de la base principale rend de nouveau possible le traitement informatique, puis vient le travail de rapprochement : retrouver les opérations manquantes, repérer les doubles saisies et vérifier les totaux utiles. Cet exemple pédagogique décrit une dépendance de la reprise ; aucune durée particulière ni procédure propre à JLR ne lui est attribuée.

Méthode et périmètre

Le RPO fixe le point de données visé avant l’interruption. Le RTO concerne la reprise d’une ressource informatique ; l’activité doit aussi disposer du temps nécessaire au retraitement des données. Le mécanisme réunit les sauvegardes et les données produites pendant les procédures manuelles, avec contrôle des dépendances et validation. Les positions sont qualitatives : aucun délai propre à JLR ni aucune durée obtenue n’est supposé. Un essai daté, avec son périmètre et ses critères de validation, permet de confronter les cibles aux capacités démontrées.

La mesure devient alors beaucoup plus instructive. Un compte rendu d’essai peut préciser le volume réellement restauré, les accès dont disposaient les opérateurs, les dépendances incluses et les vérifications qui ont permis d’accepter le résultat. L’objectif écrit prend son sens lorsqu’une équipe le confronte à ce travail. Le NIST prévoit des validations de données et de fonctionnalités avant de déclarer la remise en service achevée. 4

Cette exigence reste actuelle. Dans ses observations du 27 mars 2026, la Financial Conduct Authority constate des progrès et des investissements dans la résilience, tout en relevant que certaines entreprises affirment pouvoir reprendre dans tous les scénarios sans présenter des essais assez sévères pour étayer cette assurance. Le document donne une observation de supervision, sans publier d’effectif permettant d’en mesurer la fréquence. Il rappelle surtout que l’ambition d’un objectif et la force de sa démonstration méritent deux lectures distinctes. 14

Le superviseur fait bouger les budgets

La Banque centrale européenne a précisément soumis cette capacité à un examen collectif en 2024. Son scénario supposait une attaque réussie, avec des bases de données centrales gravement touchées. Les protections préventives étaient considérées comme contournées afin de concentrer l’évaluation sur la réponse et la reprise. Sur les 109 banques participantes, 28 devaient mener un test informatique dédié selon ce scénario, dans le cadre d’une évaluation approfondie comprenant une visite sur place. Les 81 autres remettaient des questionnaires et des pièces, dont les résultats de tests antérieurs similaires. 6 7

Les deux groupes décrivent la profondeur du contrôle. La BCE précise que la sélection des 28 cherchait une diversité de pays et de modèles économiques, plutôt qu’un classement selon le risque cyber. Dans sa synthèse publiée le 26 juillet 2024, elle observe l’existence de cadres de réponse et de reprise, puis demande des améliorations pour atteindre les objectifs propres aux établissements et mieux évaluer les pertes. Les résultats publics renseignent ces exigences ; ils ne donnent aucune moyenne de délai que l’on pourrait transformer en coût par heure gagnée. 6 7

Un document de travail publié par la Banque des règlements internationaux le 26 mai 2026 permet d’observer une autre conséquence de cette intervention : la réaction des dépenses. Les chercheurs utilisent des données prudentielles et retiennent un panel de 96 banques participantes. Ils comparent les années 2019–2021 à 2023–2024, autour de l’annonce du test, intervenue en mars 2023. L’année 2022 est écartée parce que les déclarations correspondantes ont été remises autour de cette annonce. Leur variable financière recouvre les dépenses annuelles de fonctionnement en sécurité informatique. 8

Méthode et périmètre

Les 109 banques de la campagne BCE se répartissent entre 28 évaluations approfondies et 81 standard : ces effectifs décrivent des protocoles, sans constituer un taux de réussite. Une recherche distincte utilise 96 participantes. Les auteurs estiment une hausse relative d’environ 81 % des dépenses de fonctionnement en sécurité des banques classées en retrait, par rapport à l’évolution des autres après l’annonce. Le classement dépend d’un modèle de dépenses prédites ; l’interprétation dépend des hypothèses de la méthode. Le graphique ne déduit aucune heure de reprise gagnée. Calcul : 100 × (exp(0,596) − 1) = 81,4845 %, arrondi à environ 81 %. Tableau 6, colonne 5 : estimation PPML sur 465 observations ; groupe défini par un résidu moyen inférieur ou égal à la médiane avant annonce. Il s’agit des résultats des auteurs, soumis aux hypothèses d’identification du modèle.

Le résultat principal concerne les banques que le modèle classe en retrait avant l’annonce, au regard de dépenses prédites selon leurs caractéristiques. Les auteurs estiment pour ce groupe une hausse relative d’environ 81 % des dépenses après l’annonce, par comparaison avec l’évolution des autres banques. La méthode cherche ainsi à distinguer un rattrapage particulier d’une hausse générale des budgets. Son interprétation dépend notamment de l’hypothèse que les groupes auraient suivi des tendances comparables en l’absence de l’intervention étudiée. 8

Ce résultat est substantiel pour comprendre l’effet d’un superviseur : l’annonce d’une épreuve peut modifier les arbitrages budgétaires avant même sa réalisation. Sa portée financière demande cependant de conserver la définition de la variable. Les dépenses de fonctionnement en sécurité couvrent un ensemble d’activités ; la part consacrée exclusivement à restaurer un service plus vite demeure inconnue dans cette estimation. Dans leur comparaison descriptive avant/après, plusieurs indicateurs opérationnels livrent des résultats plus imprécis. Les durées de reprise proviennent du questionnaire annuel de risque informatique et portent sur les incidents déclarés ; elles sont publiées sous forme d’indices. Ces données ne permettent d’en déduire ni des jours de reprise gagnés ni un tarif de ces jours. 8

Pour un dirigeant, cette distinction ouvre un travail de suivi. Si l’on finance davantage de sécurité, il devient utile de préciser les résultats attendus de chaque effort : des intrusions rendues plus difficiles, une propagation mieux contenue ou une activité rétablie plus rapidement. Ces résultats peuvent se renforcer mutuellement, mais chacun demande une observation adaptée. La hausse de budget constitue le début de cette évaluation.

Une demande d’indemnisation raconte une autre histoire

Cyber Essentials, le dispositif britannique de certification, illustre la difficulté de passer d’un indicateur favorable à une promesse de résultat. Dans sa revue annuelle 2025, le NCSC relaie une probabilité de demande d’indemnisation inférieure de 92 % pour les organisations certifiées, d’après les données de l’assureur. Les pièces consultées laissent indéterminés la période précise de comparaison, les effectifs et les ajustements entre groupes. Elles rapportent une statistique de demandes d’assurance, à conserver dans ce périmètre. 13

L’évaluation du programme publiée en octobre 2024 expose plus largement les difficultés d’attribution. Elle s’appuie notamment sur 606 utilisateurs actuels ou anciens et 516 organisations jamais certifiées, interrogés à l’automne 2023. Les auteurs examinent les pratiques, les perceptions et les usages contractuels, tout en discutant la sélection des participants et la difficulté de mesurer des incidents rares ou sous-déclarés. Ils concluent à une valeur du programme dont la traduction monétaire demeure difficile. 12

Ces observations peuvent soutenir une décision de prévention. Pour répondre à la question d’une reprise plus rapide, il faudrait les compléter par une autre mesure : parmi les organisations réellement interrompues, quelle activité a repris, dans quelles conditions et après combien de temps ? La fréquence d’une demande à l’assureur dépend en outre de la couverture et de la déclaration du sinistre. Un acheteur qui distingue ces étapes peut accueillir un résultat favorable sans lui faire porter toutes les promesses de son programme de sécurité.

Le seuil qui met l’hypothèse à nu

Le gouvernement britannique rencontre une difficulté analogue lorsqu’il chiffre un projet de réglementation. L’étude d’impact du Cyber Security and Resilience Bill actualisée en mai 2026 expose des coûts de conformité et des bénéfices attendus, tout en laissant ces derniers hors de la monétisation principale. Pour un ensemble comprenant les prestataires informatiques gérés et les centres de données nouvellement couverts, elle pose une question inversée : combien d’attaques faudrait-il éviter chaque année pour compenser la dépense ? 9

Le calcul central rapproche environ 120 millions de livres de coûts directs annualisés d’un coût d’incident de référence de 1 101 588 livres. La division donne environ 109 attaques supplémentaires évitées par an, seuil publié dans le tableau 8.4. Ce nombre rend l’hypothèse discutable : la politique devrait produire un bénéfice de cette ampleur, sous les conventions retenues, pour absorber le coût considéré. Il demeure un seuil illustratif, dont la réalisation future reste à mesurer. 9

Méthode et périmètre

L’étude d’impact mise à jour le 13 mai 2026 utilise £120 millions de coûts annuels pour les MSP et centres de données nouvellement couverts, puis les divise par un coût d’incident de référence de £1 101 588. Elle publie un seuil central d’environ 109 attaques supplémentaires évitées chaque année. Les courbes montrent cette arithmétique et les sensibilités publiées de ±20 % du coût par incident, sans probabilité attribuée. Le proxy KPMG provient principalement de données américaines, converties en livres en PPA et modélisées pour les grandes entreprises du secteur information, avec un chiffre d’affaires supérieur à £65 millions. Les coûts réglementaires sont en prix 2025, le proxy en prix 2024 ; le seuil est reproduit avec cette différence, sans ajustement ajouté. Il renseigne une condition de rentabilité, tandis que l’effet propre des mesures et le temps de reprise restent à mesurer. Calcul central : 120 000 000 ÷ 1 101 588 = 108,9336, arrondi à environ 109 ; sensibilités publiées : 120 000 000 ÷ 881 270 = 136,1671 et 120 000 000 ÷ 1 321 906 = 90,7780. Les valeurs 136, 109 et 91 sont les arrondis du tableau, sans prétendre constituer des minima entiers exacts.

L’origine du coût d’incident mérite que l’on s’y attarde. Le rapport KPMG utilisé par l’administration repose principalement sur des données américaines, converties en livres à parité de pouvoir d’achat et portées en prix de 2024. Le montant choisi correspond à une grande entreprise du secteur de l’information, la taille étant définie par le chiffre d’affaires. Il fournit un proxy économique pour une population réglementaire dont les caractéristiques diffèrent. Sa construction emploie des moyennes géométriques, qui réduisent le poids des sinistres extrêmes par rapport à une moyenne arithmétique. 11

Une autre convention reste visible dans notre illustration : les coûts de conformité sont exprimés en prix de 2025, tandis que le coût d’incident repris du modèle demeure en prix de 2024. Nous reproduisons le ratio publié avec cette différence, sans inventer le raccordement que le document ne rend pas explicite. La précision affichée du dénominateur permet une vérification arithmétique ; elle ne transforme pas le seuil en prévision exacte. 9 11

L’avis du Regulatory Policy Committee aide à comprendre le statut de l’exercice. Daté du 18 juillet 2025 et publié en novembre, il concerne une version antérieure de l’étude. Le comité accepte une analyse reposant sur des bénéfices qualitatifs et des seuils, tout en relevant l’impossibilité d’estimer le nombre d’attaques évitées et en demandant d’expliciter certaines hypothèses. Cette appréciation porte sur la qualité de l’évaluation proposée, avec ses limites, et non sur un rendement déjà observé des dispositions de mai 2026. 10

Le raisonnement peut inspirer une entreprise à condition de conserver sa question propre. Pour une mesure destinée à accélérer la reprise, le bénéfice recherché correspond à la différence de dommages entre deux trajectoires de retour à l’activité, pondérée par les scénarios d’incident retenus. Une attaque évitée dans son ensemble et une interruption raccourcie à la suite d’une attaque réussie représentent deux effets économiques différents. Le seuil public de 109 fournit une méthode de discussion des hypothèses ; il laisse entière l’estimation des pertes qu’une reprise plus rapide permettrait effectivement d’éviter.

Acheter une capacité que l’on pourra constater

Le premier objet à définir est le service que l’on souhaite conserver ou retrouver. Une activité peut redevenir utilisable à un niveau réduit avant le retour de l’ensemble des fonctions. Pour rendre ce niveau observable, l’organisation doit préciser les opérations acceptées, les volumes qu’elle saura traiter et les contrôles indispensables. Le travail peut ensuite remonter de ce résultat vers les ressources nécessaires, suivant la logique d’analyse d’impact et de dépendances décrite par les guides de continuité. 4 5

Cette démarche change la conversation avec un prestataire. Une promesse de restauration gagne à être accompagnée d’un protocole d’essai : quelles données seront remises en place, quels composants seront disponibles, quelles équipes participeront et qui acceptera la remise en service ? Le cas TSB montre l’importance de cette dernière chaîne de responsabilités. La direction peut exercer ses décisions pendant que la résolution technique reste une hypothèse du scénario. Associer les opérateurs concernés permet de confronter cette hypothèse à leurs contraintes. 1

Il faut aussi regarder l’activité qui continue pendant l’arrêt. Les résultats de l’exercice sectoriel CST24, publiés par la Banque d’Angleterre en juillet 2025, décrivent le dilemme de certains participants face aux modes de traitement provisoires : ceux-ci pouvaient maintenir des opérations, mais compliquer leur réconciliation ultérieure. Les échanges relevaient également le temps nécessaire pour obtenir d’un tiers des assurances suffisantes avant une reconnexion. Il s’agit d’un exercice exploratoire, avec données et ateliers, dont les conclusions éclairent des dépendances plutôt qu’un délai constaté lors d’une panne commune. 15

Une option apparemment plus rapide au premier jour peut ainsi déplacer du travail vers la phase suivante. Pour comparer deux préparations, l’évaluation doit suivre la chaîne jusqu’au résultat qui compte pour l’activité. Le calcul économique devra distinguer les opérations rattrapées de celles définitivement perdues, puis examiner la marge préservée, les coûts supplémentaires et les conséquences contractuelles propres au scénario. Cette logique évite de traiter chaque heure d’indisponibilité comme une tranche identique de chiffre d’affaires disparu.

Le coût à mettre en face doit couvrir une période comparable. Un environnement de test, des exercices répétés et la disponibilité d’équipes spécialisées engagent des ressources selon des calendriers différents. Le dossier d’achat peut présenter ces dépenses avec les essais prévus et les résultats qui déclencheront une correction. Lorsque l’épreuve révèle un défaut, l’information obtenue doit pouvoir modifier le système avant l’incident. C’est à cette condition qu’un test devient un outil de réduction du dommage futur.

L’investissement déborde son financeur

La fin de cette série ramène enfin à ceux qui subissent l’arrêt sans décider du budget de préparation. L’étude d’impact britannique invoque précisément les dommages imposés à des tiers, l’information imparfaite et les défauts de coordination pour justifier l’intervention publique. Une entreprise peut ne capter qu’une partie du bénéfice que sa continuité apporte à ses clients et à leurs propres usagers. Le montant qu’elle accepte spontanément de dépenser peut dès lors différer de celui que justifierait l’ensemble des pertes évitables. 9

Cette dimension donne une raison économique de préparer la reprise même lorsque son rendement exact reste difficile à isoler. Elle oblige aussi à choisir la frontière de l’évaluation. Les comptes de l’acheteur, la continuité de son client et le fonctionnement d’un réseau d’entreprises peuvent présenter des résultats différents. Un investissement utile à l’ensemble mérite une mesure de ses effets au-delà de l’organisation qui en paie la facture.

Les documents réunis pour ce dernier volet permettent de suivre un arbitrage concret chez TSB, un changement de dépenses estimé dans les banques et un seuil explicite dans une politique publique. Le passage entre ces observations et les heures réellement gagnées reste le travail décisif. Il commence par une activité définie, se poursuit dans une épreuve représentative et se vérifie avec les personnes qui pourront remettre le service en état. Pour celui qui paie avant la crise, la question la plus féconde devient alors celle-ci : quelle capacité nouvelle pourra-t-on constater, et quelle part des dommages permettra-t-elle d’éviter ?

Les huit volets de l’enquête

1. JLR : les usines et la trésorerie
2. Le crédit aux fournisseurs
3. La cyberassurance et la panne du client
4. JLR dans les comptes du PIB
5. L’économie de la remise en route
6. Les prestataires communs
7. L’État face au financement de crise
8. Combien coûte une reprise plus rapide ? Vous lisez le dernier volet.

Pour distinguer les cibles de préparation, consulter le RTO, le RPO de reprise des données et la MTD.

Méthode et limites de l’enquête

Ce volet repose sur une collecte documentaire arrêtée au 19 octobre 2026 : décisions de régulateurs, comptes publiés, guides techniques, travaux de recherche et évaluations publiques. Les dates des incidents, des enquêtes de terrain et des publications sont distinguées dans les notices. Les déclarations de TSB et la statistique d’assurance relayée par le NCSC restent attribuées à leurs émetteurs. Aucun entretien ni essai de restauration n’a été réalisé pour cet article.

Les notices ci-dessous publient les localisateurs, les dates et les limites des pièces utilisées. Les notes des figures détaillent les périmètres et les calculs reproductibles. L’estimation de dépenses de la recherche BIS, les effectifs des tests et le seuil économique britannique décrivent des objets distincts. Les différences de prix et de populations du modèle britannique restent explicites ; ses agrégats internes de périmètres différents sont écartés du récit chiffré. Les coûts et durées propres à une préparation de JLR restent hors des éléments établis par cette enquête.

Sources documentaires

1. [1] Prudential Regulation Authority / Bank of England · Final Notice to TSB Bank plc · Document: 2022-12-20 ; Publication: 2022-12-20. Annexe A, §§ 4.25–4.43, pp. 53–58 (architecture et tests) ; §§ 7.18–7.23, pp. 75–76 (exercices Gold) ; annexe C § 1.9(2), p. 89 (retour au fonctionnement habituel). Pages imprimées identiques au compteur PDF. Le régulateur décrit la décision de limiter le test de charge à un datacenter, les erreurs de persistance des sessions dans la configuration active-active et les limites des exercices de gestion de crise. Le cas concerne une migration informatique en avril 2018 ; le ransomware appartenait à un exercice de mars 2018. La PRA décrit une occasion perdue de détection, sans garantir que le test écarté aurait révélé la panne. Ses conclusions sur la préparation agrègent plusieurs défaillances. Elles ne chiffrent ni le prix d’un environnement de test approprié ni une perte qui aurait pu être évitée.
2. [2] TSB Banking Group plc · TSB Banking Group plc : Annual Report and Accounts 2018 · Document: 2019-01-31 ; Publication: 2019-02-01. P. 2, tableau de rapprochement et notes 2–3 ; p. 10, Charges arising from post migration service disruption ; p. 17, Operating expenses ; p. 65, approbation. Le compteur PDF est supérieur d’une page. Les comptes distinguent 296,7 M£ de charges d’exploitation supplémentaires et 33,5 M£ de revenus abandonnés, totalisant 330,2 M£ de conséquences reconnues après migration. Une récupération estimée de 153,0 M£ auprès de Sabis compense une partie de ces effets. Les 417,3 M£ de préparation de la migration constituent un poste séparé. Montants nominaux de 2018 reconnus en résultat, incluant des provisions : ils ne représentent ni des décaissements contemporains ni un coût économique exhaustif. Les revenus abandonnés portent sur des intérêts et commissions auxquels TSB a renoncé. La récupération est estimée et présentée avec compensation des dettes envers Sabis. Aucun budget de résilience isolé n’est publié dans ce rapprochement. Comptes approuvés le 31 janvier 2019 (p. 65) ; résultats annoncés le 1er février 2019. Le premier horodatage de mise en ligne de ce PDF n’a pas été établi.
3. [3] TSB Bank plc · TSB responds to the FCA and PRA findings in relation to the 2018 Migration Programme · Document: 2022-12-20 ; Publication: 2022-12-20. Corps du communiqué, daté du 20 décembre 2022. TSB confirme avoir trouvé un accord avec les régulateurs. Son directeur général renouvelle les excuses aux clients et affirme que la banque a transformé son activité depuis les événements. Position de la banque, retenue pour le contradictoire. Le communiqué ne démontre pas indépendamment l’efficacité des mesures de reprise ultérieures.
4. [4] National Institute of Standards and Technology (NIST) · NIST SP 800-34 Revision 1 : Contingency Planning Guide for Federal Information Systems · Publication : mai 2010 ; mise à jour : 11 novembre 2010. § 3.2.1, p. 17–18 imprimées (p. 31–32 du PDF) ; § 3.5.1, p. 27–28 (PDF 41–42) ; § 4.4, p. 41 (PDF 55). Définitions du temps de reprise visé (RTO), du point de restauration des données (RPO) et de la durée maximale tolérable d’interruption (MTD). Le retraitement des données doit tenir dans le délai métier. Tests en environnement représentatif puis validation des données et des fonctionnalités avant retour normal. Guide destiné aux systèmes fédéraux américains, publié en mai 2010 et mis à jour le 11 novembre 2010. Utilisé comme vocabulaire et mécanisme de planification, sans lui attribuer une obligation applicable à JLR. La courbe de coût de la figure 3-3 est conceptuelle et ne chiffre aucun optimum réel. Notice NIST de la version mise à jour.
5. [5] UK National Cyber Security Centre (NCSC) · Preparing for highly disruptive cyber incidents : 3. Prepare your technical recovery capability · Document: 2026-10-01 ; Publication: 2026-10-01. Sections 3.2–3.4 et 3.6 ; cartouche Published / Reviewed : 1 October 2026. La restauration doit réconcilier les données des sauvegardes avec celles générées pendant les procédures manuelles. Le document demande de préparer les dépendances et l’ordre de redémarrage, puis d’obtenir les assurances nécessaires à la reconnexion. Recommandations générales publiées après l’incident JLR de 2025 ; elles éclairent le mécanisme sans diagnostiquer les systèmes de JLR. Aucun délai universel ni gain causal en heures n’est fourni.
6. [6] European Central Bank : Banking Supervision · FAQ on 2024 cyber resilience stress test · FAQ accompagnant les résultats du 26 juillet 2024. Questions « What scenario did the stress test use? », « What kind of information did banks report to the ECB? », « How did you select banks for the enhanced assessment? » et « How will the ECB use the insights gained from the exercise? ». 81 banques ont remis questionnaires, documents et preuves de tests informatiques antérieurs de scénario similaire ; 28 ont dû en plus effectuer un test de reprise dédié et recevoir une visite sur place. L’échantillon approfondi visait plusieurs pays et modèles économiques, sans sélection guidée par leur risque cyber. Le découpage 81/28 décrit les modalités d’évaluation, sans représenter un taux de réussite. L’exercice était principalement qualitatif ; les retours individuels et leurs suivis ne sont pas un jeu public de délais comparables.
7. [7] European Central Bank : Banking Supervision · ECB concludes cyber resilience stress test · Document: 2024-07-26 ; Publication: 2024-07-26. Communiqué du 26 juillet 2024, paragraphes présentant le scénario, les 109 banques, les capacités évaluées et les suites prudentielles. Le scénario supposait le contournement des défenses et une atteinte sévère aux bases de données des systèmes centraux. La BCE constatait l’existence de cadres de réponse et de reprise, avec des améliorations encore nécessaires, notamment pour atteindre les propres objectifs de reprise et estimer les pertes. La synthèse publique ne publie ni délai moyen, ni distribution des durées, ni classement des banques. Les résultats alimentaient le SREP 2024 et ne modifiaient pas la Pillar 2 Guidance. L’absence de chiffres publics ne renseigne pas les résultats individuels confidentiels. Rapport annuel 2025, section 1.2.2.1. Le suivi de 2025 relève une préparation globalement solide et des améliorations encore nécessaires, sans fournir de moyenne de durée de reprise.
8. [8] Nordine Abidi, Leonardo Gambacorta, Christoffer Kok, Leonardo Madio, Ixart Miquel-Flores and Alberto Partida / Bank for International Settlements · Disciplining digital risk: evidence from cyber stress tests : BIS Working Paper No 1351 · Document: 2026-05 ; Publication: 2026-05-26. P. 12–15 : échantillon et dépenses de fonctionnement ; p. 18–20 : identification ; tableau 3 p. 22 ; tableau 5 p. 24 ; tableau 6 p. 25 ; conclusion p. 33. Les pages imprimées correspondent aux pages du PDF. L’analyse exploite les données confidentielles de la BCE ; le panel final annoncé couvre 96 banques. Le résultat principal estime environ 81 % de hausse relative des dépenses annuelles de sécurité informatique des banques classées sous-investisseuses après l’annonce, par rapport à leurs pairs. Le résultat avant/après de 45 % et cette estimation conditionnelle répondent à deux questions différentes. Working paper, avis des auteurs et non position officielle du BIS. Données sous-jacentes inaccessibles au public ; identification conditionnelle aux hypothèses du modèle, pas d’expérience randomisée. « Investment » désigne des dépenses de fonctionnement en euros. Les temps de reprise sont publiés en indices, sans jours absolus ; le tableau 5 montre une différence d’évolution imprécise (p = 0,619), qui ne mesure aucun prix par heure gagnée. Les auteurs déclarent 96 banques et 475 observations avant pertes de régression : ne pas reconstruire un panel exhaustif à partir de ce comptage.
9. [9] Department for Science, Innovation and Technology / UK Parliament · Cyber Security and Resilience (Network and Information Systems) Bill: Final stage impact assessment, updated 13 May 2026 · Document: 2026-05-13 ; Publication: 2026-05-14. Pages imprimées 79–80 : horizon et bénéfices ; p.90–93, tableaux 8.3–8.5 : seuils indicatifs ; p.95–96 : coûts en prix 2025 ; p.122–124 et 134 : scorecard et annexe discordants ; p.133 : signature du 13 mai 2026. Le document calcule le nombre indicatif d’attaques supplémentaires qu’il faudrait éviter pour compenser les coûts de conformité. Pour MSP et centres de données : £120m annuels, proxy de £1,101,588 par incident et seuil central publié d’environ 109 attaques par an. L’impact assessment conserve les bénéfices hors monétisation faute d’effet causal chiffrable. Illustration ex ante, sans prévision d’attaques évitées ni mesure du temps de reprise. Coûts de conformité en prix 2025 ; proxy d’incident en prix 2024, sans raccordement explicite trouvé. ±20 % est une sensibilité choisie, sans probabilité. La p.122 donne -£1,203m en « 2025 present value » ; l’annexe p.134 donne -£1,201m avec base PV 2026. Ces montants sont conservés séparément. Les coûts de certains fournisseurs critiques désignés et de mesures ultérieures restent hors des montants agrégés. Couverture conservant la date initiale du 12 novembre 2025, surmontée de la mention de mise à jour du 13 mai 2026 ; signature le 13 mai ; catalogue parlementaire : publication le 14 mai. Le lien GOV.UK consulté renvoie encore à une version antérieure. Calendrier parlementaire contrôlé le 19 octobre 2026. Le projet reste en cours d’examen aux Lords ; l’examen en rapport est annoncé pour le 26 octobre, date future à la clôture de cette collecte.
10. [10] Regulatory Policy Committee · RPC opinion: Cyber Security and Resilience (Network and Information Systems) Bill impact assessment · Document: 2025-07-18 ; Publication: 2025-11-17. Pages 1–2 : avis vert ; p.3 : réserves de la première soumission ; p.7 : bénéfices non monétisés et hypothèses ; p.8 : EANDCB et répartition des effets ; p.9–10 : évaluation future. Le RPC considère l’évaluation apte à l’usage prévu. Il rappelle l’impossibilité d’estimer les attaques évitées, accepte une justification qualitative et des seuils de rentabilité illustratifs, et demande davantage de détails sur plusieurs hypothèses et calculs. Cet avis du 18 juillet 2025 examine une version préparatoire ; il ne certifie ni le rendement effectif du dispositif ni toutes les modifications de mai 2026. Le site précise que la notation concerne les preuves et l’analyse, et non la politique elle-même. Avis daté du 18 juillet 2025, publié le 17 novembre 2025.
11. [11] KPMG LLP for DSIT / DCMS · Economic modelling of sector specific costings of cyber attacks · Document: 2025-04 ; Publication: 2025-11-12. Pages imprimées 1–4 : méthode et unités ; p.9–10 : limites ; p.15–17 : données Cyentia ; p.25–30 : moyenne géométrique et ventilation ; tableau 4.11 p.30 (PDF p.36) : £1,101,588 pour les grandes entreprises du secteur information. Le coût utilisé par l’IA provient d’un modèle reposant principalement sur des données américaines Cyentia, converties en livres à parité de pouvoir d’achat puis actualisées en prix 2024. La taille est définie par chiffre d’affaires : la catégorie large dépasse £65m. Les entrées par secteur et taille reposent sur des moyennes géométriques, puis une allocation modélisée. Il ne s’agit ni d’une moyenne arithmétique observée d’incidents britanniques en 2026, ni du coût de reprise d’un constructeur automobile. Hypothèse de coûts comparables Royaume-Uni/États-Unis ; coûts conditionnels à une attaque dite significative. L’échantillon sous-jacent privilégie les incidents rendus publics. Une moyenne géométrique ne se substitue pas automatiquement à une perte attendue arithmétique. Rapport daté avril 2025, travaux achevés le 31 mars 2025 selon la notice, publié par DSIT le 12 novembre 2025. Fenêtre Cyentia sous-jacente 2012–2021 ; publication de données 2022 ; prix de référence 2024.
12. [12] Pye Tait Consulting for the Department for Science, Innovation and Technology · Cyber Essentials impact evaluation · Document: 2024-10-23 ; Publication: 2024-10-23. Sections 2.1–2.4 : comparaison, attribution, terrain, pondération et biais ; section 7.5 : réduction perçue dans la chaîne ; section 10 : valeur et coûts ; annexe 2 : profils des répondants. Enquête auprès de 606 certifiés ou anciens certifiés et 516 organisations jamais certifiées, terrain commun du 2 octobre au 6 décembre 2023, complétée par 33 entretiens. Le rapport observe des perceptions, comportements et usages contractuels, tout en discutant expressément la difficulté de mesurer la fréquence des attaques et d’attribuer une causalité complète. Participation des certifiés non aléatoire via les organismes certificateurs ; taux de réponse inconnu pour ce groupe ; absence d’appariement détaillé ; facteurs confondants. La pondération taille/pays du groupe de comparaison ne neutralise pas toute sélection. Les répondants certifiés sont 532 actuels et 74 anciens. Le rapport affirme une valeur du programme sans démontrer un ROI chiffré ni des jours de reprise économisés. Publication octobre 2024 ; enquêtes octobre–décembre 2023 ; trois études de cas prolongées en décembre 2023–janvier 2024. Les coûts repris en section 10 viennent de l’évaluation de processus publiée en juin 2023.
13. [13] National Cyber Security Centre · NCSC Annual Review 2025: Empowering organisations : NCSC tools and services · Document: 2025-10-14 ; Publication: 2025-10-14. Section Cyber Essentials, paragraphe avant « 10 years of Cyber Essentials » : statistique de 92 % attribuée à l’assureur. Le complément NCSC du 15 novembre 2024 indique que celui-ci fournit l’assurance incluse avec la certification. Le NCSC relaie une probabilité de demande d’indemnisation inférieure de 92 % pour les organisations certifiées, selon des données de l’assureur. L’indicateur concerne une demande d’indemnisation, sans fournir une durée de reprise. La même statistique était déjà publiée en 2024 et figure encore dans la page GOV.UK mise à jour en mars 2026. La période précise de la comparaison, les effectifs, les garanties détaillées et un ajustement des groupes ne sont pas fournis dans les pièces consultées. Le promoteur du dispositif relaie une donnée d’assureur ; nous n’avons pas trouvé de microdonnées publiques permettant d’isoler l’effet causal. La période de l’Annual Review ne doit pas être attribuée automatiquement à ce chiffre. Annual Review couvrant septembre 2024–août 2025, publiée le 14 octobre 2025 ; période statistique du 92 % non précisée. Un relais NCSC du 15 novembre 2024 contient déjà la même valeur.
14. [14] Financial Conduct Authority (FCA) · Operational resilience: insights and observations one year on · Document: 2026-03-27 ; Publication: 2026-03-27. Introduction ; « Operational resilience and boards’ decision-making » ; § 3 « Scenario testing », surtout « Areas for improvement » ; glossaire « Impact tolerance ». Après la fin de la transition du 31 mars 2025, la FCA relève des progrès et des investissements, mais observe aussi des entreprises qui disent pouvoir surmonter tout scénario sans documenter des essais suffisamment sévères. Elle valorise l’explicitation des méthodes, hypothèses, temps de reprise et degrés de confiance dans les résultats. Observations issues de certaines autoévaluations, sans taille d’échantillon ni fréquence chiffrée des insuffisances. Cette appréciation ne permet pas de dénombrer les entreprises fragiles. Le périmètre réglementaire est financier, pas l’ensemble des industriels.
15. [15] Bank of England / Prudential Regulation Authority · Thematic findings from the 2024 Cyber Stress Test · Document: 2025-07-09 ; Publication: 2025-07-09. P. 1–2 : protocole et trois variantes ; p. 3–4 : arbitrage entre contournements manuels, transactions prioritaires et réconciliation ; p. 6 : reconnexion. CST24 était volontaire et exploratoire : données et ateliers pour modéliser une atteinte à l’intégrité des transactions. Certains participants préféraient suspendre les transactions pour éviter une réconciliation plus difficile ; les assurances nécessaires à une reconnexion sûre pouvaient dépasser leurs propres seuils de tolérance. Résultats de scénario, sans durée réelle d’interruption d’une entreprise ni moyenne sectorielle. La source ne démontre pas que tous les contournements ralentissent la reprise : elle décrit un arbitrage et recommande de tester les capacités disponibles. La lettre est publique malgré son avertissement de classification standard.

Textes et illustrations originales : l0g · CC BY 4.0. Les documents cités conservent les droits de leurs éditeurs.