Devenir RSSI : le parcours et les compétences à construire

Le poste de RSSI fait figure d'aboutissement pour beaucoup de professionnels de la sécurité. Pourtant, on n'y arrive presque jamais par une voie toute tracée, et les meilleurs techniciens ne font pas automatiquement les meilleurs RSSI. Ce guide vous explique ce que le poste demande réellement, les chemins qui y mènent et les compétences à construire pour être crédible le jour où l'occasion se présente.

Ce que fait vraiment un RSSI

Le responsable de la sécurité des systèmes d'information pilote la sécurité d'une organisation. Il ne fait pas tout lui-même : il décide des priorités, obtient les moyens, fait travailler des équipes qu'il ne dirige pas toujours et rend des comptes à la direction.

Ses responsabilités habituelles :

Définir une stratégie : un état des lieux, une feuille de route priorisée, un budget.
Gérer les risques : relier chaque mesure de sécurité à un risque métier compréhensible par la direction.
Porter la conformité : ISO 27001, directive NIS2, règlement DORA dans la finance, RGPD avec le délégué à la protection des données.
Piloter la gestion de crise : préparer les équipes, décider pendant un incident majeur, tirer les leçons ensuite.
Manager : une équipe interne, des prestataires (SOC externalisé, auditeurs, intégrateurs) ou les deux.
Convaincre : comité de direction, métiers, DSI, parfois clients et autorités.

Le contenu varie fortement selon la taille de l'organisation. Dans une PME, le RSSI reste très opérationnel ; dans un grand groupe, il passe l'essentiel de son temps à arbitrer, coordonner et présenter. Notre guide destiné aux entreprises pour recruter un RSSI détaille ces différences, et il vous aide aussi à comprendre comment les employeurs vont vous évaluer.

Ce que NIS2 change pour le poste

La directive NIS2 (directive (UE) 2022/2555, consultable sur eur-lex.europa.eu) rend les organes de direction responsables de l'approbation et de la supervision des mesures de gestion des risques, et leur demande de se former. Pour un RSSI, cela signifie un dialogue plus fréquent et plus exigeant avec les dirigeants. Savoir expliquer un risque et proposer une décision devient une compétence centrale, pas un bonus.

Les parcours qui mènent au poste

Il n'existe pas de diplôme « RSSI » qui suffise à lui seul. La plupart des RSSI arrivent au poste après plusieurs années dans un autre métier, et leur point de départ colore leur façon de travailler.

Point de départ	Atout principal	Ce qu'il faut construire
Infrastructure, réseau, architecture	Comprendre un système d'information en profondeur	Gouvernance, gestion des risques, communication avec la direction
SOC, réponse à incident	Expérience des crises et de la menace réelle	Vision stratégique, budget, conformité
Pentest, audit technique	Repérer les failles concrètes	Construction dans la durée, conduite du changement
GRC, audit, conseil	Référentiels, analyse de risques, restitution	Profondeur technique, crédibilité face aux équipes
DSI, chef de projet informatique	Pilotage de projets et de budgets	Culture de la menace, expertise sécurité

Aucun de ces chemins n'est meilleur qu'un autre. Ce qui compte, c'est d'identifier tôt ce qui vous manque et de le combler avant de postuler. Si vous venez de la conformité, notre article pour devenir consultant GRC décrit une étape intermédiaire fréquente. Si vous venez du SOC, celui sur l'évolution d'analyste N1 à N3 montre comment gagner en responsabilités avant de viser le pilotage.

Les étapes intermédiaires fréquentes

Peu de professionnels deviennent RSSI directement depuis un poste d'expert. Les marches les plus courantes :

Adjoint au RSSI dans une organisation de taille moyenne ou grande : la meilleure école, car vous voyez le poste de l'intérieur.
RSSI d'une filiale ou d'un site au sein d'un groupe.
Responsable d'une équipe sécurité (SOC, sécurité opérationnelle, GRC), avec un budget et des arbitrages.
Consultant en gouvernance ou RSSI à temps partagé, qui fait rencontrer de nombreux contextes en peu de temps.
Premier RSSI d'une PME, souvent un poste très complet où l'on apprend vite, à condition d'accepter de beaucoup faire soi-même.

Les compétences à construire

Un RSSI se juge sur sa capacité à faire avancer une organisation. Les compétences ci-dessous sont celles que les comités de recrutement cherchent à vérifier.

Comprendre et hiérarchiser les risques

Savoir mener une analyse de risques et en tirer des priorités. En France, la méthode EBIOS Risk Manager de l'ANSSI est une référence. L'enjeu n'est pas de connaître la méthode par cœur, mais de savoir dire ce que vous ne ferez pas, et pourquoi.

Garder une vraie profondeur technique

Assez pour challenger un architecte, un prestataire ou un éditeur, et pour repérer une réponse évasive. Un RSSI qui ne comprend plus la technique dépend entièrement de ce qu'on lui raconte.

Parler à la direction

Présenter une situation en quelques minutes, sans jargon, avec une décision claire à prendre. C'est souvent ce qui sépare un excellent expert d'un futur RSSI.

Gérer une crise

Avoir participé à la gestion d'un incident sérieux, ou à défaut à des exercices de crise, et savoir raconter ce que vous avez décidé. L'ANSSI publie un guide sur l'organisation d'exercices de gestion de crise cyber, utile pour vous préparer.

Manager et faire travailler les autres

Recruter, faire grandir une équipe, piloter des prestataires, obtenir l'aide d'équipes sur lesquelles vous n'avez aucune autorité directe.

Maîtriser le budget et les achats

Construire un budget, le défendre, comparer des offres, suivre un contrat. Ces sujets sont rarement enseignés dans les parcours techniques et font pourtant partie du quotidien.

Un plan de progression concret

Voici une démarche réaliste pour vous rapprocher du poste, quel que soit votre métier actuel.

Demandez des responsabilités transverses : piloter un projet de conformité, représenter votre équipe dans un comité, préparer un audit.
Rédigez une feuille de route pour votre organisation actuelle ou une organisation fictive : état des lieux, trois priorités, ce que vous reportez, le budget nécessaire.
Présentez-la à un non-spécialiste et notez les questions qu'il pose. Ce sont celles d'un comité de direction.
Participez à un exercice de crise, ou organisez-en un à petite échelle dans votre équipe.
Prenez en charge un prestataire : cahier des charges, suivi, revue des livrables.
Encadrez quelqu'un, même informellement : un alternant, un nouvel arrivant, un junior.
Lisez les textes de référence : NIS2, les guides de l'ANSSI (hygiène informatique, EBIOS Risk Manager, gestion de crise), la norme ISO 27001.

Et les certifications ?

Des certifications comme le CISSP, le CISM ou ISO 27001 Lead Implementer sont fréquemment demandées dans les offres et peuvent vous aider à passer les premiers filtres. Elles montrent une culture générale de la sécurité et de la gouvernance, mais elles ne prouvent pas que vous savez décider sous contrainte. Notre article sur les certifications utiles selon votre poste visé vous aide à choisir celles qui ont du sens pour vous.

Préparer les entretiens de RSSI

Le processus de recrutement d'un RSSI est généralement plus long et plus varié que pour un poste d'expert. Attendez-vous à rencontrer la direction générale, la DSI, un ou plusieurs dirigeants métiers, et parfois un expert sécurité indépendant.

L'étude de cas est fréquente : un dossier sur l'entreprise, un état des lieux partiel, des contraintes de budget, et une question du type « quelles sont vos priorités pour les six premiers mois ? ». Préparez-vous à :

présenter trois priorités et justifier ce que vous laissez de côté ;
réagir à un incident simulé pendant la présentation ;
expliquer comment vous rendriez compte de l'avancement à la direction ;
décrire une crise vécue, vos décisions et ce que vous referiez autrement.

Posez aussi vos propres questions, car elles comptent autant que vos réponses : à qui êtes-vous rattaché, quel budget existe, quelle autorité aurez-vous sur les arbitrages, comment l'entreprise protège-t-elle son RSSI ? Côté rémunération, les écarts sont importants selon la taille de l'organisation, le secteur, le niveau de régulation et l'étendue du mandat ; notre guide pour négocier son salaire en cybersécurité vous aide à aborder ce sujet.

Les erreurs à éviter

Croire que l'expertise technique suffit : elle est nécessaire, mais le poste se joue sur la décision et la communication.
Accepter un poste sans mandat : un titre de RSSI sans rattachement clair ni moyens mène à la frustration.
Collectionner les certifications au lieu d'acquérir une expérience de pilotage.
Arriver en entretien sans vision : une liste de mesures ne remplace pas une feuille de route priorisée.
Sous-estimer la charge : astreintes, gestion de crise et responsabilité vis-à-vis de la direction font partie du poste, abordez-les franchement avant de signer.

En résumé

Devenir RSSI, c'est passer du rôle d'expert à celui de pilote. Partez de votre métier actuel, identifiez ce qui vous manque entre technique, gouvernance, communication et management, puis cherchez les responsabilités qui vous permettent de le construire. Une feuille de route que vous savez défendre vaut plus qu'une liste de certifications.

Vous préparez votre prochaine étape vers un poste de RSSI ou d'adjoint ? Rejoignez gratuitement le réseau Cyber Recrut : nos recruteurs travaillent avec des praticiens de la sécurité, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques et des mises en situation. Découvrez aussi notre façon de travailler.