Indicateurs
Indicateurs de couverture
Les premiers à regarder : ils disent si le dispositif existe.
| Indicateur | Cible | Source |
|---|---|---|
| Part des produits qualifiés PDE | 100 % | Registre de qualification |
| Part des produits classés | 100 % | Registre de classification |
| Part des produits avec SBOM automatisé | 100 % des produits actifs | Plateforme |
| Part des SBOM au-dessus du seuil de qualité | 100 % | Plateforme |
| Part des produits sous surveillance continue | 100 % des versions livrées | Plateforme |
| Part des produits avec période de support déclarée | 100 % | Registre |
| Part des produits avec dossier technique complet | 100 % avant mise sur le marché | Suivi de conformité |
| Part des produits de classe II ou Critique avec organisme notifié engagé | 100 % | Registre |
Indicateurs de performance
Ils disent si le dispositif fonctionne.
| Indicateur | Cible indicative |
|---|---|
| Délai médian de détection (publication → alerte chez vous) | < 24 h |
| Délai médian de triage (alerte → décision) | < 5 jours |
| Délai médian de remédiation, par niveau de criticité | Selon SLA |
| Part des SLA respectés | > 90 % |
| Âge moyen des vulnérabilités ouvertes | En baisse continue |
| Ratio d’alertes actionnables sur alertes brutes | En hausse continue |
| Délai obtenu lors du dernier exercice de signalement | < 12 h pour l’alerte précoce |
| Délai obtenu lors du dernier exercice de restitution | < 1 jour ouvré |
Indicateurs de risque
Ils disent ce qui reste exposé.
| Indicateur | Signification |
|---|---|
| Nombre de composants en fin de maintenance dans des produits supportés | Dette réglementaire directe |
| Nombre de composants à mainteneur unique dans des produits critiques | Risque de reprise ou d’abandon |
| Nombre de licences en écart de politique, hors exception active | Risque de propriété intellectuelle |
| Nombre d’exceptions expirées non traitées | Défaut de processus |
| Nombre de périodes de support dont un composant limitant s’arrête avant l’échéance | Engagements intenables |
| Exposition financière estimée | Voir Exposition |
Indicateurs de préparation
| Indicateur | Source |
|---|---|
| Jours restants avant chaque échéance légale | Calendrier |
| Avancement du rétroplanning, par vague | Feuille de route |
| Date du dernier exercice de signalement | Comptes rendus |
| Date du dernier exercice de restitution | Comptes rendus |
| Score de diagnostic par module | Auto-évaluation trimestrielle |
Les indicateurs à ne pas suivre
| Indicateur trompeur | Pourquoi |
|---|---|
| Nombre de vulnérabilités détectées | Il augmente quand le dispositif s’améliore. Le présenter à un comité crée une incitation perverse à moins détecter. |
| Nombre de SBOM générés | Sans couverture ni qualité, c’est un compteur de fichiers. |
| Nombre d’alertes fermées | Fermer une alerte sans la traiter la fait disparaître du compteur. |
| Score de sécurité global | Agrégat non actionnable, qui masque les écarts entre produits. |
Maquette du tableau de bord de direction
Une page, quatre blocs.
┌──────────────────────────────┬──────────────────────────────┐
│ COUVERTURE │ ÉCHÉANCES │
│ │ │
│ Produits classés ██ % │ Signalement opérationnel ✓ │
│ SBOM automatisé ██ % │ Application pleine : J-___ │
│ Surveillance active ██ % │ Organismes notifiés __/__ │
│ Dossiers complets ██ % │ Rétroplanning : vague __/6 │
├──────────────────────────────┼──────────────────────────────┤
│ PERFORMANCE │ RISQUES OUVERTS │
│ │ │
│ Remédiation critique __ j │ Composants abandonnés __ │
│ SLA respectés __ % │ Licences en écart __ │
│ Dernier exercice 24 h __ h │ Supports intenables __ │
│ Alertes actionnables __ % │ Exposition estimée __ M€ │
└──────────────────────────────┴──────────────────────────────┘
Décisions attendues du comité : …La règle de tenue
Chaque indicateur a un propriétaire nommé, une source unique et une fréquence de mise à jour. Un indicateur dont la valeur est calculée à la main la veille du comité n’est pas un indicateur : c’est une estimation.