Le métier de RSSI

Gouvernance et référentiels de sécurité

Le RSSI doit maîtriser les référentiels du secteur. ISO 27001 et 27002 pour le système de management de la sécurité, ISO 27005 pour la gestion des risques, NIST Cybersecurity Framework, CIS Controls.

Côté méthodologies risques, EBIOS Risk Manager de l'ANSSI reste la méthode de référence dans la majorité des grands comptes français. Connaissance fine du référentiel SecNumCloud pour les hébergements souverains, exigence forte chez les acteurs publics et les OIV.

Côté certifications, le CISSP reste le standard international. La CISM de l'ISACA fonctionne bien sur le marché français.

L'expertise PASSI s'impose pour les profils audit. Sans cette base normative, le RSSI ne peut pas piloter les certifications ni tenir face aux audits externes qui rythment la vie du poste.

Maîtrise du cadre réglementaire français et européen

Ce volet est devenu central dans les recrutements de 2025-2026. RGPD côté données personnelles avec coordination DPO et CNIL.

NIS2, transposée en France fin 2024, impose des obligations à des milliers d'entités identifiées comme essentielles ou importantes au sens du texte. DORA pour le secteur financier, applicable depuis janvier 2025.

LPM pour les opérateurs d'importance vitale. AI Act pour les usages d'IA générative en entreprise.

Le RSSI doit savoir lire un texte réglementaire, identifier les obligations applicables, les traduire en plan d'action, défendre un budget pour la mise en conformité. Le lien avec le Juridique, la DPO et la Conformité devient quotidien.

Les amendes CNIL et les sanctions NIS2 captent l'attention du COMEX. C'est aussi ce qui a poussé les salaires RSSI vers le haut.

Pilotage du SOC et de la réponse à incident

Que le SOC soit interne ou externalisé chez Orange Cyberdefense, Thales, Atos ou Capgemini, le RSSI doit savoir le piloter. Définition des cas d'usage de détection, calibrage des seuils, suivi des KPI, gestion des faux positifs.

Maîtrise des principaux SIEM (Splunk, QRadar, Sentinel), des EDR CrowdStrike, SentinelOne, Defender, des outils SOAR. Cadre de réponse à incident clair, avec playbooks, équipe CSIRT activable, lien avec l'ANSSI et le CERT-FR pour les incidents majeurs.

Exercices de crise réguliers, retours d'expérience, amélioration continue. La capacité à gérer une vraie crise (ransomware, exfiltration de données, compromission de l'AD) distingue un RSSI expérimenté d'un RSSI qui n'a jamais brûlé les mains.

Communication et posture exécutive

C'est la compétence qui fait la différence dans les recrutements RSSI de haut niveau. Parler à un COMEX, à un Conseil d'Administration, à un commissaire aux comptes, à un journaliste après un incident.

Traduire un risque technique en risque business chiffré. Négocier un budget de 8 millions face à un DAF qui veut couper.

Manager une équipe pluridisciplinaire avec des profils SOC, AppSec, GRC, IAM, IoT, OT, qui n'ont pas tous la même culture. Représenter l'entreprise dans les groupes de travail sectoriels, animer les relations avec l'ANSSI et l'ENISA, entretenir un réseau de pairs RSSI.

Le métier est devenu autant politique que technique. Les profils ingénieurs sans cette dimension plafonnent rapidement.

On a eu un brief la semaine dernière chez un groupe industriel lyonnais : le RSSI sortant avait tout le technique, mais ne pouvait pas tenir un COMEX seul. Ils cherchaient quelqu'un capable d'aller devant le CA sans notes.

C'est représentatif de ce qu'on entend depuis 2023.

Les parcours classiques

Le profil RSSI dominant en 2026 est diplômé d'une école d'ingénieurs généraliste ou spécialisée sécurité : Centrale, Mines, Télécom Paris, EPITA spécialité SRS, ESIEA, ENSIBS. Beaucoup ont complété par un Mastère spécialisé sécurité informatique à Télécom Paris ou EURECOM, ou par un Master 2 cybersécurité universitaire.

Côté business, des MBA et des formations en gestion des risques apparaissent dans les CV de RSSI seniors. C'est le signe que la dimension exécutive pèse de plus en plus.

Les certifications internationales jalonnent les trajectoires : CISSP, CISM, CRISC, voire CCSP pour le cloud. Les profils issus de l'ANSSI, des armées ou des grands cabinets d'audit (Deloitte, EY, KPMG, Mazars) sont surreprésentés dans les RSSI CAC40.

Combien d'années avant d'y prétendre ?

Le poste de RSSI est un poste de fin de carrière technique ou de milieu de carrière exécutive. Comptez au minimum 10 à 12 ans d'expérience pour un poste de RSSI confirmé dans une ETI.

Pour un grand groupe coté, on parle plutôt de 15 à 20 ans. Les RSSI Groupe CAC40 ont presque tous entre 20 et 25 ans d'expérience en sécurité, audit, conseil ou IT de haut niveau.

À 30 ans, on peut viser un RSSI sur une filiale ou une petite ETI. À 35-40 ans, sur une ETI mature.

À 45-55 ans, on accède aux postes Groupe. C'est un métier qui se construit sur la durée et la diversité des expériences vécues.

Les passerelles depuis ingénieur sécurité ou auditeur

Les deux passerelles les plus fréquentes vers le poste de RSSI sont l'ingénieur sécurité senior et le consultant audit en cabinet. L'ingénieur sécurité qui a passé 10 à 12 ans en interne grand compte, piloté des projets de migration, mis en place le SOC, géré une crise, peut viser un poste de RSSI ETI.

La trajectoire passe souvent par Responsable Sécurité Opérationnelle ou RSSI Adjoint avant. Le consultant audit cyber chez Deloitte, EY, PwC, KPMG ou Wavestone, avec 8 à 12 ans en cabinet et un grade de Senior Manager ou Directeur, bascule chez un client en RSSI.

Cette passerelle nourrit environ la moitié des recrutements RSSI ETI en France selon nos données 2025.

Reconversion possible ?

Très difficile en reconversion totale, possible en reconversion adjacente. On voit des Risk Managers, des auditeurs financiers, des juristes spécialisés données personnelles basculer vers la sécurité par le volet gouvernance et conformité.

La trajectoire passe par un Mastère spécialisé cybersécurité et des certifications CISA, CRISC, ISO 27001 Lead Auditor. Ces profils atteignent rarement un poste de RSSI Groupe, mais peuvent viser Responsable GRC, Responsable Conformité Cyber, voire RSSI sur une PME dont le cœur du sujet est réglementaire.

Pour un sysadmin ou un développeur, compter 8 à 12 ans pour prétendre à un poste de RSSI. Ce n'est pas un métier de bascule rapide.