Le RSSI — responsable de la sécurité des systèmes d’information — définit la politique de protection du patrimoine informationnel d’une organisation et en porte l’application. Il évalue les risques et pilote les dispositifs de prévention et de détection ; la sensibilisation des collaborateurs fait aussi partie de ses attributions. Dans le secteur bancaire et financier, où la disponibilité des services de paiement et la confidentialité des données clients relèvent d’obligations réglementaires, la fonction rend compte à la direction générale et dialogue avec les superviseurs comme avec les filières risque et conformité.
Les missions du poste
La politique de sécurité du système d’information constitue le socle de la fonction. Le RSSI la rédige, la fait valider par la direction, puis la décline en procédures et en exigences applicables aux projets. L’ANSSI publie des guides et des référentiels qui structurent ce travail, de la méthode d’appréciation des risques EBIOS Risk Manager aux règles d’hygiène informatique.
L’évaluation du risque occupe une part croissante de l’activité. Comprendre ce que recouvre le risque cyber pour son organisation, puis le formaliser dans une cartographie des risques tenue à jour, permet d’arbitrer les investissements et de justifier les choix devant les instances de gouvernance.
Le pilotage opérationnel couvre la gestion des identités et des accès, la sécurité des projets, le suivi des vulnérabilités et le contrôle des prestataires. Certaines organisations adossent ce dispositif à un système de management de la sécurité de l’information, éventuellement sanctionné par une certification ISO 27001.
Lorsqu’un incident survient, le RSSI coordonne la réponse puis le retour d’expérience, en lien avec les équipes de détection — la distinction entre SOC et CSIRT structure généralement cette organisation. L’acculturation des équipes passe, elle, par des programmes de sensibilisation et des exercices de phishing simulé. La mesure de l’efficacité de la sensibilisation fait d’ailleurs débat au sein de la profession.
Positionnement dans l’organisation
Le rattachement hiérarchique varie d’une organisation à l’autre : direction générale, secrétariat général, direction des risques ou direction des systèmes d’information. Chaque schéma présente des compromis : la proximité avec la DSI facilite le dialogue technique mais place la fonction sous l’autorité de celui qu’elle est censée contrôler.
Le règlement européen DORA tranche partiellement ce débat pour le secteur financier : il impose de confier la surveillance du risque informatique à une fonction de contrôle dotée d’un niveau d’indépendance approprié, afin de prévenir les conflits d’intérêts. Un accès direct à l’organe de direction, au moins pour les arbitrages et les incidents graves, conditionne en pratique la capacité du poste à peser sur les décisions.
La déclinaison dans le secteur financier
Dans les banques et les assurances, la fonction s’inscrit dans le dispositif de contrôle interne et dans le modèle dit des trois lignes de défense. Le RSSI alimente les comités des risques et les comités sécurité et produit des indicateurs pour l’organe de direction ; il répond aussi aux demandes des superviseurs — ACPR pour la place française, Banque centrale européenne pour les établissements importants. L’Autorité bancaire européenne contribue à ce cadre par des orientations et des normes techniques qui précisent les attentes des superviseurs en matière de gouvernance du risque informatique.
Les grands groupes déclinent souvent la fonction : un RSSI groupe fixe le cadre, des RSSI de filiales ou de métiers l’adaptent à leur périmètre. Les travaux du Forum des compétences évoquent cette figure du RSSI métier, qui traduit les exigences de sécurité dans les contraintes propres à chaque ligne d’activité.
Les interlocuteurs du RSSI
Le travail quotidien met la fonction en relation avec le délégué à la protection des données, dont les missions sont décrites par la CNIL : les deux périmètres se recoupent sur la sécurité des données personnelles, avec des responsabilités distinctes. Le contrôle interne et l’audit s’appuient sur ses constats et évaluent son dispositif. Les métiers, enfin, portent le risque et en sont les premiers acteurs de maîtrise, ce qui impose au RSSI un dialogue suivi avec chaque ligne d’activité.
Un métier en évolution
Le périmètre du poste s’est élargi au-delà de la protection du système d’information. La résilience opérationnelle — la capacité à maintenir les services essentiels malgré un incident — et la surveillance des prestataires informatiques figurent désormais parmi les attentes explicites des régulateurs. Le règlement DORA, applicable depuis le 17 janvier 2025, formalise ces exigences : gestion du risque informatique, notification des incidents majeurs, tests de résilience et encadrement des tiers. Sa mise en œuvre concrète occupe une large part de l’agenda des RSSI du secteur.
Questions fréquentes
Quelle est la différence entre le RSSI et le DSI ?
Le DSI construit et exploite le système d’information ; le RSSI définit les exigences de sécurité et en contrôle l’application, puis rend compte du niveau de risque à la direction. Cette séparation évite que les arbitrages de production ne l’emportent systématiquement sur les exigences de sécurité.
Le RSSI doit-il être indépendant de la DSI ?
Pour les entités financières, oui : c’est une exigence du règlement DORA, qui veut éviter que la même autorité cumule production informatique et contrôle du risque. Pour les autres organisations, aucune règle n’impose de séparation ; la décision relève de la gouvernance interne et s’apprécie selon la taille et la maturité de l’entreprise.
Quelles compétences pour exercer ce métier ?
Le poste demande un bagage technique et une pratique de l’analyse de risque ; la capacité à dialoguer avec la direction comme avec les métiers pèse tout autant. Les parcours sont variés ; l’offre de formation en cybersécurité s’est étoffée, des masters spécialisés aux certifications professionnelles.
Un RSSI travaille-t-il seul ?
Le cas est rare. Selon la taille de l’organisation, le RSSI anime une équipe sécurité et s’appuie sur un SOC interne ou externalisé, ainsi que sur des correspondants dans les métiers. Dans les petites structures, la fonction peut être mutualisée ou confiée à temps partiel à un responsable informatique, avec les limites d’indépendance que cela comporte.
