Management · Organisation · Business · Communication ✳ mise à jour le 8 septembre 2026

RSSI

Aussi appelé : CISO (Chief Information Security Officer), Responsable sécurité SI, Directeur cybersécurité, RSSI adjoint, Responsable cybersécurité, RSSI à temps partagé.

Le RSSI porte la sécurité d'une organisation : il définit la stratégie, arbitre les risques, obtient les budgets et répond de la situation devant la direction.

Ce que fait vraiment un rssi

• Définir la stratégie et la politique de sécurité, alignées sur les enjeux de l'organisation
• Piloter la gestion des risques et proposer les arbitrages à la direction
• Construire et suivre le plan de sécurité : projets, budget, prestataires, indicateurs
• Encadrer l'équipe sécurité (ou, dans une structure plus petite, faire beaucoup seul)
• Superviser la gestion des incidents et la préparation à la crise
• Assurer la conformité réglementaire (NIS 2, DORA, RGPD selon les cas) et répondre aux auditeurs
• Convaincre : direction générale, métiers, DSI, partenaires, parfois le conseil d'administration
• Suivre la menace et l'évolution des technologies pour anticiper

Journée type

8 h 30 : point avec le SOC externalisé sur les incidents de la nuit. 9 h 30 : comité projet avec la DSI sur la migration vers le cloud, où le RSSI impose l'authentification multifacteur avant la bascule. 11 h : entretien avec un assureur cyber qui demande des preuves de sauvegardes testées. Déjeuner avec le directeur juridique pour parler NIS 2. 14 h : arbitrage budgétaire, il faut choisir entre un outil de détection et un audit du fournisseur principal. 16 h : préparation d'une présentation de dix minutes au comité de direction, sans jargon, avec trois risques et trois décisions. 17 h 30 : un courriel de phishing a touché la comptabilité ; vérification que la procédure a été suivie, message de rappel à l'équipe. Le téléphone reste allumé le soir.

Faut-il savoir coder ?

Non. Le RSSI ne code pas et n'administre pas. Mais il doit comprendre la technique suffisamment pour challenger ses équipes et ses prestataires, et ne pas se faire raconter d'histoires. La plupart des RSSI ont un passé technique ou de conseil.

Les profils qui réussissent

Ce n'est pas un poste d'entrée. Le RSSI a en général une dizaine d'années de parcours derrière lui : ingénieur sécurité, consultant GRC, chef de projet sécurité, auditeur, parfois DSI. Ceux qui réussissent savent parler argent et risque avec une direction, tenir une position impopulaire, prioriser sans tout bloquer, et garder leur calme pendant une crise. Les personnes en reconversion peuvent viser ce poste comme horizon : passer par le conseil GRC ou la gestion de projet sécurité, prendre un poste de RSSI adjoint ou de RSSI dans une PME, puis grandir. Les anciens managers, officiers ou directeurs de projet apportent déjà une partie du métier : le leadership et la lecture politique d'une organisation.

Compétences transférables

• Ancien manager ou directeur de projet : pilotage, budget, arbitrage, reporting à une direction
• Ancien officier ou cadre de la sécurité publique : gestion de crise, chaîne de décision, discipline d'exécution
• Ancien DSI ou responsable infrastructure : connaissance du système d'information, des fournisseurs, des contraintes d'exploitation
• Ancien consultant GRC ou auditeur : référentiels, analyse de risques, conformité
• Ancien commercial grands comptes ou avocat : négociation, conviction, lecture des enjeux d'un interlocuteur

Compétences à acquérir

• Gestion des risques et référentiels (ISO 27001, EBIOS RM, NIST CSF) au niveau stratégique
• Réglementation et responsabilités : NIS 2, DORA, RGPD, LPM, et ce que la direction risque personnellement
• Architecture de sécurité et technologies clés (identité, cloud, détection, sauvegarde) au niveau des choix, pas de la configuration
• Gestion de crise cyber : cellule de crise, communication, continuité d'activité
• Pilotage financier : budget, contrats, évaluation de prestataires, assurance cyber
• Communication au comité de direction et au conseil d'administration

Voies d’accès et certifications

• Progression depuis un poste d'ingénieur sécurité, de consultant GRC, de chef de projet sécurité ou d'auditeur, après plusieurs années
• Poste de RSSI adjoint ou de responsable sécurité opérationnelle dans un grand groupe
• Premier poste de RSSI dans une PME, une ETI ou une collectivité, où le périmètre est plus large mais l'équipe réduite
• RSSI à temps partagé ou externalisé via un cabinet, une façon d'apprendre sur plusieurs organisations
• Mastère spécialisé ou executive master en management de la cybersécurité pour formaliser le passage

Certifications utiles

CISSP (référence internationale généraliste) · CISM (management de la sécurité, ISACA) · ISO 27001 Lead Implementer · EBIOS Risk Manager · Formations de gestion de crise cyber (ANSSI, CLUSIF, organismes sectoriels)

Salaire indicatif

Moyenne 95 000 € brut annuel, médiane environ 85 000 € (étude de rémunération Robert Half 2025, chiffres relayés par des sources secondaires dans les extraits consultés). Premier poste de RSSI : 55 000 à 75 000 € ; plus de 120 000 € au-delà de quinze ans d'expérience (sources secondaires 2025, non vérifiées auprès du cabinet). Robert Walters publie une page dédiée pour 2026, sans chiffre visible dans l'extrait.

Source ✳ Robert Half, étude de rémunération 2025 (citée par des sources secondaires) ; Robert Walters, étude 2026 (page dédiée, chiffres non visibles) · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

Idée reçue : le RSSI est le meilleur technicien de la boîte. Réalité : c'est d'abord un gestionnaire de risques et un négociateur. Son travail consiste à faire prendre des décisions à des gens qui n'ont pas envie de les prendre, avec un budget qu'il doit justifier. La technique, il la comprend ; il la délègue.