RSSI : rôle, missions, rattachement et quand externaliser
la fonction

Si vos serveurs étaient chiffrés cette nuit, qui, demain à 9 h, serait capable de dire à votre direction ce qui est exposé, ce qui est sauvegardé, et à qui il faut notifier l'incident avant la fin de la journée ? Si la réponse est "le prestataire informatique" ou "le DSI, entre deux tickets", vous n'avez pas de RSSI. Vous avez une fonction que tout le monde suppose tenue par quelqu'un d'autre.

Le responsable de la sécurité des systèmes d'information est le métier le plus exercé du secteur cyber en France, et l'un des plus mal définis. Autant l'annoncer tout de suite, puisque ça conditionne le ton de ce qui suit : own2pwn ne vend pas de RSSI externalisé, je n'ai donc rien à vous placer sur ce terrain-là et je peux me permettre d'être franc sur la formule.

Ce que fait un RSSI, mission par mission

La fiche de l'ANSSI dans son focus RSSI de l'observatoire des métiers tient en quelques lignes : le RSSI pilote la démarche de cybersécurité sur un périmètre, définit ou décline la politique de sécurité, s'assure que les solutions et processus sont en place, suit les évolutions réglementaires et techniques, conseille et alerte la direction, et selon la taille de la structure, encadre une équipe ou met lui-même les mains dedans. Derrière chacun de ces verbes se cache une charge de travail que la fiche, elle, ne chiffre pas.

La gouvernance est la mission la plus visible et la moins coûteuse en compétence technique. Elle se matérialise dans une politique de sécurité des systèmes d'information que le dirigeant approuve, puis dans des politiques thématiques (chiffrement, contrôle d'accès, gestion des comptes). L'analyse de risques vient ensuite, et c'est elle qui justifie chaque euro dépensé : sans elle, le RSSI achète des produits parce qu'un commercial a fait peur au comité de direction. Le cadre méthodologique le plus courant en France est EBIOS RM, la norme de référence reste l'ISO 27005 pour la gestion des risques, et le tout s'inscrit dans ce qu'on appelle la GRC en cybersécurité, gouvernance, risques et conformité, dont le RSSI est l'opérateur au quotidien.

La gestion des incidents, ou la mission qu'on découvre trop tard

Une organisation soumise à NIS2 devra, en cas d'incident important, soumettre au CSIRT ou à l'autorité compétente une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures, et un rapport final au plus tard un mois après cette notification. C'est l'article 23, paragraphe 4, de la directive (UE) 2022/2555. Si l'incident constitue une violation de données personnelles susceptible d'engendrer un risque pour les personnes, l'article 33 du RGPD ajoute une notification à la CNIL, si possible sous 72 heures, portée par le responsable de traitement avec l'appui du DPO. Deux autorités, deux horloges qui démarrent au même instant, et un RSSI qui n'a pas dessiné ce circuit avant l'incident le dessinera pendant, à 3 h du matin.

Rattachement du RSSI : DSI ou direction générale, et le conflit d'intérêts

Les chiffres de l'ANSSI sont sans ambiguïté sur la pratique française. Dans le focus RSSI de l'enquête 2025 de l'observatoire des métiers (518 RSSI répondants, soit 30 % de l'échantillon), 53 % déclarent être rattachés au service ou à la direction informatique, 27 % à la direction générale, au secrétariat général ou au comité exécutif, et 6 % à une direction conformité, risques ou qualité. Une majorité de RSSI rend donc compte à la personne dont elle est censée contrôler les choix.

Le conflit est structurel, pas personnel. Un DSI est évalué sur la disponibilité, les délais de livraison et le budget. Un RSSI est la personne qui demande de retarder une mise en production parce que le pentest a remonté une injection, qui refuse un accès administrateur permanent à un prestataire, qui exige un budget pour un MFA que personne n'a demandé. Quand cette personne dépend du DSI, ses alertes passent par le filtre de celui qui a le plus à perdre à les entendre. Le règlement DORA, à son article 6, paragraphe 4, impose d'ailleurs aux entités financières, hors microentreprises, de confier la gestion et la surveillance du risque informatique à une fonction de contrôle dotée d'un niveau d'indépendance approprié "afin d'éviter les conflits d'intérêts", selon le modèle des trois lignes de défense ou un modèle interne équivalent. Le droit européen a donc déjà nommé ce conflit, au moins pour les banques et les assureurs, ce qui n'empêche personne d'autre de s'en inspirer.

Mon avis, après des années à présenter des rapports de pentest à des RSSI qui n'avaient pas le pouvoir d'en faire appliquer les conclusions : le rattachement à la direction générale est la bonne réponse dès que l'organisation a un comité de direction. Dans une PME où ce n'est pas tenable, un rattachement DSI reste acceptable à une condition écrite dans la PSSI, un droit d'alerte direct du RSSI auprès du dirigeant, et une présentation au moins annuelle de l'état des risques devant lui. Le ReCyF de l'ANSSI va dans ce sens en posant que le dirigeant exécutif est responsable de la sécurité numérique de son entité (mesure 2.A.1) et qu'il désigne, pour une entité essentielle, au moins une personne qui le conseille et sert de point de contact avec l'Agence (mesure 2.A.2). Une personne qui conseille le dirigeant lui parle directement, ou ne le conseille pas.

Ce que NIS2 change pour le RSSI, et pour sa direction

La directive NIS2 ne nomme jamais le RSSI, et elle obtient malgré tout un effet sur le poste, par un détour : elle déplace la responsabilité vers le haut. Son article 20, paragraphe 1, demande aux États membres de veiller à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et puissent être tenus responsables des violations de l'article 21. Le paragraphe 2 rend la formation des membres des organes de direction obligatoire, pour qu'ils sachent "déterminer les risques et évaluer les pratiques de gestion des risques". Pour un RSSI, cela change deux choses. La signature du dirigeant sur la PSSI cesse d'être une formalité, puisqu'elle engage. Et le RSSI devient le formateur naturel de son comité de direction, ce qui lui donne une heure par an, au minimum, où l'on est obligé de l'écouter.

Le texte va plus loin pour les entités essentielles. L'article 32, paragraphe 5, permet aux autorités de demander l'interdiction temporaire, pour toute personne physique exerçant des responsabilités dirigeantes au niveau de directeur général ou de représentant légal, d'exercer ces responsabilités tant que l'entité n'a pas corrigé les insuffisances constatées. Les amendes de l'article 34 plafonnent à au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante.

Le ReCyF et son objectif 2 : le cadre de gouvernance

L'ANSSI diffuse le ReCyF, référentiel de cybersécurité France dans une version 2.5 datée du 17 mars 2026, au statut de document de travail. Il décline NIS2 en vingt objectifs de sécurité, les quinze premiers pour toutes les entités, les cinq derniers pour les seules entités essentielles. L'objectif 2, "mise en œuvre d'un cadre de gouvernance de la sécurité numérique", est le portrait-robot du poste de RSSI sans jamais employer le mot. Il attend une organisation, des rôles et responsabilités, des processus de gestion de la conformité, et une PSSI approuvée par le dirigeant exécutif, revue au moins une fois par an, déclinée en politiques sur le chiffrement, le contrôle d'accès physique et logique, la revue des mesures et la gestion des comptes. Il demande aussi, pour chaque système d'information, une analyse de conformité avec un plan d'action portant une échéance et un responsable par écart.

Deux détails du texte méritent l'attention d'un RSSI. D'abord, la mesure 2.A.3 cite explicitement "la désignation d'un responsable de la sécurité numérique, l'établissement d'un RACI, la mise en place d'une comitologie" comme exemples d'organisation attendue. Ensuite, le référentiel admet qu'un SMSI certifié ISO/IEC 27001:2022 puisse être invoqué lors d'un contrôle pour démontrer le respect de cet objectif sur les systèmes couverts par la certification. Une organisation déjà certifiée a donc un raccourci pour l'objectif gouvernance, et pour l'approche par les risques de l'objectif 16 si elle est une entité essentielle. Pas pour les objectifs techniques.

RSSI et DPO : deux fonctions, un seul incident

Le délégué à la protection des données est le voisin de bureau du RSSI, et la tentation de confier les deux casquettes à la même personne est forte dans une structure de deux cents salariés. Le RGPD s'y oppose plus qu'on ne le croit. Son article 37 rend la désignation d'un DPO obligatoire pour les autorités publiques et pour les organismes dont l'activité de base exige un suivi régulier et systématique des personnes à grande échelle, ou consiste en un traitement à grande échelle de données sensibles ou de données relatives à des condamnations pénales. Son article 38, paragraphe 6, autorise le DPO à exercer d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts. Et la Cour de justice de l'Union européenne a tranché ce que ce conflit recouvre, dans l'arrêt X-FAB Dresden du 9 février 2023 (C-453/21) : un DPO ne peut se voir confier des missions qui le conduiraient à déterminer les finalités et les moyens du traitement, appréciation à faire au cas par cas selon l'organisation.

Or décider quel chiffrement, quelle durée de journalisation, quel contrôle d'accès s'appliquent à une base de clients, c'est déterminer une partie des moyens du traitement. C'est le cœur du métier de RSSI. Le cumul RSSI-DPO met donc la même personne en position de contrôler ses propres décisions, et la CNIL rappelle de son côté que les fonctions d'encadrement supérieur sont en général incompatibles avec celles de DPO. Un RSSI qui décide des mesures, un DPO qui vérifie qu'elles protègent les personnes, un circuit d'incident commun comme celui du schéma plus haut : dans une petite structure, un DPO externe mutualisé face à un RSSI interne est souvent le montage le plus sain, et le moins cher.

Taille d'équipe et salaire : ce que les chiffres publics disent, et ne disent pas

On lit partout des grilles de salaire de RSSI au millier d'euros près, sans méthodologie que l'on puisse relire, et l'étude 2025 de l'observatoire des métiers de l'ANSSI, la source publique institutionnelle la plus large sur ces professionnels en France, ne mesure pas la rémunération. Je ne donnerai donc pas de chiffre. Ce que l'étude mesure est plus utile pour dimensionner le poste.

• Le RSSI est rarement seul, mais souvent à temps partiel. 60 % des RSSI répondants travaillent à temps complet sur la cybersécurité, 17 % aux trois quarts, 12 % à mi-temps et 11 % à un quart de temps ou moins. 69 % évoluent dans une équipe qui traite les enjeux de cybersécurité, contre 82 % pour l'ensemble des professionnels interrogés.
• C'est un métier de grande structure. 65 % des RSSI répondants travaillent dans une organisation de 1 000 salariés ou plus, et 89 % dans une structure qui n'est pas spécialisée en cybersécurité.
• La formation ne suit pas. 31 % déclarent n'avoir suivi aucun jour de formation dans l'année, et 66 % jugent leur travail stressant. Pour une fonction dont NIS2 fait le formateur des dirigeants, c'est un signal à prendre au sérieux au moment de négocier le poste.

RSSI externalisé ou à temps partagé : quand ça se justifie

Le RSSI à temps partagé existe depuis longtemps : un article du Journal du Net de juillet 2008 décrivait déjà des PME de 100 à 500 salariés qui s'offraient un RSSI externe "trois à cinq jours par mois". Côté prix, un cabinet qui publie ses tarifs, Invictis, annonce un taux journalier de 800 à 1 500 euros pour un profil expérimenté et donne l'exemple d'une PME à quatre jours par mois pour environ 48 000 euros par an. Ces montants sont la grille affichée par un seul vendeur, sur son propre site, et se lisent comme tels : un ordre de grandeur pour préparer une négociation, rien de plus.

Le temps partagé se justifie dans trois situations : quand l'organisation n'a pas de RSSI et doit produire une PSSI, une analyse de risques et un plan d'action dans les douze mois, parce que NIS2, un assureur ou un grand client l'exige ; quand elle en a un, mais junior, et qu'il lui faut un pair pour arbitrer ; ou quand elle sort d'un incident et doit reconstruire une gouvernance sous le regard d'une autorité. Dans les trois cas, fixez dès le contrat ce que le prestataire laisse derrière lui, documents et registres au format de l'entreprise et sur ses outils, et refusez le montage où le même prestataire vend la fonction RSSI, l'infogérance et les produits de sécurité. Il finirait par auditer ses propres factures.

J'interviens pour ma part à côté de cette fonction et jamais à sa place : je ne rédige pas de PSSI, je n'anime pas de SMSI et je ne loue pas de RSSI au mois. Ce que je livre à quelqu'un qui tient le poste, c'est un pentest web en boîte noire avec son retest, une surveillance continue de la surface exposée, ou le volet technique d'un audit NIS2 quand il faut apporter des preuves à un régulateur. Des consommables, en somme, pour un RSSI interne comme pour un RSSI partagé.

Comment le RSSI prouve son action : les indicateurs qui tiennent

L'article 21, paragraphe 2, point f) de NIS2 exige "des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques". Le mot important est efficacité. Le nombre de politiques rédigées, le nombre de mails de sensibilisation envoyés, le pourcentage d'avancement du plan de conformité mesurent l'activité du RSSI, pas la sécurité de l'organisation. Un auditeur, un assureur ou l'ANSSI en contrôle poseront une seule question à chaque ligne du tableau de bord : "Comment le savez-vous ?" Un indicateur tient s'il se recalcule à partir d'une observation du système réel, de préférence faite par quelqu'un d'autre.

Les quatre premiers indicateurs ont un point commun : aucun ne se produit depuis le bureau du RSSI. Le délai de remédiation se lit dans l'écart entre un rapport de pentest et son retest. La couverture des actifs exposés se lit dans un EASM, qui découvre ce que l'inventaire interne ignore, et c'est précisément ce que fait la surveillance de surface d'attaque externe d'own2pwn. Le taux de MFA se vérifie par un test d'accès réel depuis l'extérieur, pas par un export d'annuaire seul. Un RSSI qui présente ces quatre chiffres, avec leur source et leur date, tient quinze minutes devant n'importe quel comité de direction. Celui qui présente son nombre de politiques en tient trois.

À retenir

• Le RSSI pilote sept missions : gouvernance, risques, conformité, sécurité des projets, incidents, sensibilisation et relation avec les autorités. Chacune produit un livrable et une preuve, et c'est la preuve qui manque le plus souvent.
• En France, 53 % des RSSI sont rattachés à la DSI et 27 % à la direction générale (ANSSI, 2025). Le rattachement DSI crée un conflit d'intérêts que DORA nomme explicitement ; le ReCyF place la responsabilité sur le dirigeant exécutif.
• NIS2 ne nomme pas le RSSI mais rend les organes de direction responsables, les oblige à se former (article 20) et permet, pour les entités essentielles, d'écarter temporairement un dirigeant (article 32). La loi française de transposition n'était toujours pas promulguée en septembre 2026.
• Le cumul RSSI-DPO expose à un conflit d'intérêts au sens de l'article 38 du RGPD, tel que la CJUE l'a défini dans l'arrêt C-453/21.
• Le RSSI à temps partagé se justifie pour démarrer, épauler un junior ou reconstruire après incident ; ordre de grandeur affiché par un cabinet, 800 à 1 500 euros par jour. Il ne transfère jamais la responsabilité du dirigeant.
• Un indicateur tient s'il se recalcule depuis le système réel : délai de remédiation, couverture des scans, taux de MFA, restauration testée. Le nombre de politiques n'en fait pas partie.

Le prochain comité de direction voudra des preuves plutôt que des documents, et il les voudra datées. Un pentest suivi de son retest donne un délai de remédiation mesuré ; une surveillance de surface d'attaque donne une couverture d'inventaire que personne n'a besoin de croire sur parole. Reste à faire le tri entre ce qui est mesurable dès aujourd'hui sur votre périmètre et ce qui ne l'est pas encore, ce à quoi sert un échange de trente minutes.

Questions fréquentes sur le RSSI