Le RSSI (Responsable de la Sécurité des Systèmes d'Information), ou CISO en anglais, est le cadre qui pilote la stratégie de cybersécurité d'une organisation. Il est difficile à recruter car il combine une expertise technique pointue, une vision de la gouvernance des risques et une vraie aisance relationnelle avec la direction, un profil rare sur le marché.
Le rôle du RSSI (CISO) : missions et périmètre
Le RSSI définit et fait appliquer la politique de sécurité de l'information. Son périmètre dépasse largement la technique : il pilote la gouvernance, arbitre les priorités et porte la culture sécurité auprès de l'ensemble des métiers. C'est un rôle transversal, à la frontière entre l'informatique, le juridique et la stratégie d'entreprise.
Ses missions principales couvrent généralement :
- la définition de la politique de sécurité et des règles internes ;
- l'analyse et la gestion des risques liés au système d'information ;
- le pilotage de la conformité réglementaire et des audits ;
- la coordination de la réponse aux incidents et la gestion de crise ;
- la sensibilisation des collaborateurs et le reporting auprès de la direction.
Selon la taille de l'entreprise, le RSSI peut être rattaché à la DSI, à la direction des risques ou directement à la direction générale, un point à clarifier dès la définition du poste.
Les compétences clés d'un bon RSSI
Un bon RSSI se reconnaît à un équilibre entre solidité technique et capacité à embarquer les équipes. Comme pour d'autres recrutements de profils Tech, l'erreur consiste à survaloriser un seul de ces deux versants.
Compétences techniques et de gouvernance
- Gouvernance de la sécurité : capacité à construire une politique cohérente et à la faire vivre dans le temps ;
- Gestion des risques : savoir cartographier, prioriser et traiter les risques de façon pragmatique ;
- Conformité : maîtrise des cadres comme ISO 27001, la directive NIS2 et le RGPD, avec une vraie compréhension de leurs implications opérationnelles ;
- Réponse à incident : aptitude à organiser la détection, la remédiation et le retour d'expérience après une attaque.
Soft skills indispensables
- Communication au COMEX : traduire des risques techniques en enjeux business compréhensibles par la direction ;
- Leadership : fédérer des équipes et des interlocuteurs qui ne lui sont pas toujours rattachés hiérarchiquement ;
- Pédagogie : sensibiliser sans culpabiliser, pour ancrer durablement les bons réflexes.
Cette double exigence rapproche le RSSI des autres profils cybersécurité, tout en s'en distinguant nettement par sa dimension de pilotage.
RSSI vs autres profils cyber
La confusion la plus fréquente consiste à recruter un RSSI comme on recruterait un expert technique. Or le RSSI est un poste de pilotage, pas un poste opérationnel. Voici les principales différences avec les rôles voisins :
- l'analyste SOC surveille les alertes en temps réel et qualifie les incidents au quotidien ;
- le pentester cherche activement des vulnérabilités en simulant des attaques ;
- l'ingénieur sécurité conçoit, déploie et maintient les dispositifs techniques de protection.
Ces trois profils produisent de la sécurité au niveau opérationnel. Le RSSI, lui, définit le cap, arbitre les moyens et porte la responsabilité globale. Attendre d'un RSSI qu'il réalise lui-même les tests d'intrusion ou administre les outils est généralement le signe d'un besoin mal qualifié.
Où et comment sourcer un RSSI
Le vivier de RSSI confirmés est restreint et rarement en recherche active. Le sourcing repose donc sur l'approche directe plus que sur la simple publication d'une offre. Les canaux les plus efficaces sont :
- les réseaux professionnels spécialisés et les communautés cybersécurité ;
- les associations et clubs de RSSI, lieux d'échange entre pairs ;
- la cooptation et les recommandations au sein de l'écosystème sécurité ;
- les conférences et événements dédiés à la cyberdéfense.
Pour évaluer un candidat, une scorecard structurée aide à comparer objectivement les profils. Elle peut s'articuler autour de plusieurs axes :
- Gouvernance et stratégie : a-t-il déjà construit une politique de sécurité de bout en bout ?
- Gestion des risques : sait-il prioriser sans tout bloquer ni tout autoriser ?
- Conformité : a-t-il piloté des audits ou des mises en conformité concrètes ?
- Gestion de crise : comment a-t-il géré un incident majeur réel ?
- Influence : parvient-il à faire adhérer le COMEX et les métiers ?
Les signaux d'un bon candidat tiennent moins aux certifications qu'à la capacité à raconter des décisions difficiles, des arbitrages assumés et des résultats mesurables dans la durée.
La scorecard d'évaluation d'un RSSI
Pour fiabiliser la décision, il est utile de cadrer une scorecard avant les premiers entretiens. Elle aligne le manager, la direction et les parties prenantes sur ce qui sera réellement évalué, plutôt que sur une impression globale en fin de processus.
- Vision et stratégie : capacité à définir une feuille de route sécurité alignée sur les enjeux business, et a la défendre devant un comité de direction.
- Gouvernance et conformite : maîtrise des cadres normatifs (ISO 27001, NIS2, RGPD) et expérience concrète d'un audit ou d'une certification menée à son terme.
- Gestion de crise : posture et méthode face à un incident réel, capacité à coordonner les équipes techniques, juridiques et la communication sous pression.
- Influence et pedagogie : aptitude à embarquer des équipes non techniques, a arbitrer entre sécurité et vitesse, et a faire de la sécurité un sujet partagé plutôt qu'un frein.
- Leadership d'équipe : capacité à structurer, recruter et faire monter en compétence une équipe sécurité, meme réduite au départ.
Une option à considérer selon la maturité de l'entreprise est le RSSI a temps partagé ou externalisé (RSSI as a service) : pour une structure qui n'a pas encore le volume justifiant un poste à plein temps, un pilote sécurité présent quelques jours par semaine permet de poser les fondations de la gouvernance avant d'internaliser. Cette logique rejoint celle du modèle RPO appliqué au recrutement, où un expert s'intègre à l'équipe sur la durée sans embauche immédiate en CDI.
Les erreurs fréquentes au recrutement d'un RSSI
Plusieurs écueils reviennent régulièrement et compromettent le recrutement :
- Confondre RSSI et expert technique : recruter un profil 100 % opérationnel pour un poste qui exige du pilotage et de l'influence ;
- Sous-estimer les soft skills : un RSSI brillant techniquement mais incapable de convaincre la direction restera inefficace ;
- Définir un périmètre flou : ne pas clarifier le rattachement hiérarchique, le budget et le mandat réel ;
- Négliger le positionnement : placer le RSSI trop bas dans l'organigramme limite sa capacité d'action ;
- Mésévaluer la rémunération : la rémunération se situe généralement dans le haut des grilles cadres, variable selon la taille de l'entreprise et le caractère régulé du secteur.
Anticiper ces points en amont, via une démarche de recrutement cadrée comme celles décrites dans nos guides de recrutement par métier, évite de multiplier les entretiens infructueux.
Salaire d'un RSSI (CISO) : fourchettes de marché
Voici des fourchettes indicatives de marché (brut annuel, niveau Paris), issues d'une synthèse de sources publiques de salaires 2025-2026. Comptez environ -10 % à Lyon et -15 % en régions. Ces ordres de grandeur sont à affiner selon la taille de l'entreprise, le secteur et le niveau de responsabilité.
- Senior (5-10 ans) : médiane ~82k€ (fourchette 70-95k€)
- Direction / C-level : médiane ~105k€ (fourchette 90-130k€)
Pour une vue complète par métier, séniorité et ville, consultez notre baromètre des salaires recrutement.
Questions fréquentes
Quelle différence entre RSSI et DSI ?
Le DSI dirige l'ensemble du système d'information et porte la performance des outils numériques. Le RSSI se concentre sur la sécurité et la maîtrise des risques. Pour garantir un contre-pouvoir sain, le RSSI est souvent rattaché à une direction distincte de la DSI, afin d'éviter tout conflit entre disponibilité et sécurité.
Faut-il un RSSI en interne ou externalisé (RSSI as a service) ?
Tout dépend de la taille et de la maturité de l'organisation. Une grande entreprise ou un secteur régulé justifie un RSSI interne. Une PME peut démarrer avec un RSSI as a service, mutualisé et plus accessible, puis internaliser le poste lorsque les enjeux de sécurité se densifient. Ce modèle s'inspire de la logique du modèle RPO appliquée à la sécurité.
Quel est le profil type d'un RSSI ?
Le profil type associe un parcours technique en informatique ou en sécurité à une expérience progressive de pilotage et de gestion de projets. Au-delà des certifications, ce sont la vision globale des risques, le sens de l'arbitrage et la capacité à dialoguer avec la direction qui distinguent un RSSI accompli d'un excellent technicien.
Combien de temps faut-il pour recruter un RSSI ?
Le recrutement d'un RSSI est généralement plus long que celui d'un profil technique courant, en raison de la rareté des candidats et de l'importance des entretiens avec la direction. Un sourcing en approche directe et un processus d'évaluation bien cadré permettent de réduire ce délai sans sacrifier la qualité de la sélection.