Fiche de poste RSSI : modèle commenté pour bien recruter

Une fiche de poste de RSSI est rarement lue comme une simple annonce. Les candidats expérimentés y cherchent la réponse à une seule question : ce poste aura-t-il les moyens de changer quelque chose ? Ce guide vous propose un modèle commenté, bloc par bloc, pour rédiger une fiche de poste RSSI qui décrit un vrai mandat et donne envie aux bons profils de vous répondre.

Ce qu'un RSSI cherche dans une fiche de poste

Un RSSI en poste reçoit des sollicitations et sait lire entre les lignes. Avant même les missions, il cherche quelques signaux précis.

Le mandat : s'agit-il de construire la sécurité de zéro, de structurer un existant ou de piloter une organisation déjà outillée ?
Le rattachement : à qui rend-il compte, et a-t-il un accès direct à la direction générale ?
Les moyens : budget, équipe, prestataires, possibilité de recruter.
La raison de l'ouverture : création du poste, départ du prédécesseur, exigence réglementaire, incident récent.
La responsabilité : quelles décisions lui reviennent, et comment l'entreprise le protège quand il alerte.

Si ces points ne sont pas encore tranchés en interne, commencez par notre guide pour recruter un RSSI, qui détaille les profils possibles et les options de rattachement. La fiche de poste ne fait que traduire ce cadrage. Et si vous hésitez encore sur le volume du besoin, notre comparatif RSSI à temps partagé ou à temps plein vous aidera à trancher avant d'écrire.

Choisir le type de mandat avant d'écrire

L'erreur la plus fréquente est la fiche qui demande tout à la fois : stratégie, conformité, architecture, pilotage du SOC, sensibilisation, gestion de crise et réponse aux questionnaires clients. Un RSSI expérimenté y voit soit un poste mal compris, soit une charge impossible. Identifiez le mandat principal et assumez-le.

Type de mandat	Ce que la fiche doit mettre en avant	Profil qui s'y reconnaîtra
Bâtisseur	Premier état des lieux, priorités, hygiène de base, pilotage des prestataires	RSSI à dominante technique, prêt à être opérationnel
Structurant	Gouvernance, gestion des risques, conformité (NIS2, ISO 27001), management d'une petite équipe	RSSI à dominante gouvernance, habitué des référentiels
Pilote	Budget, coordination de plusieurs équipes ou filiales, comité de direction, arbitrages	RSSI expérimenté, à l'aise dans les instances de décision
Produit et croissance	Sécurité du produit et du cloud, certifications, confiance des clients	RSSI issu de la technique ou du conseil, habitué au rythme d'un éditeur

Le modèle commenté

Voici une trame à adapter. Chaque bloc est suivi d'un commentaire sur ce qu'il doit contenir et sur les pièges à éviter.

1. Le titre

Exemple : « RSSI (H/F), création de poste, rattaché à la direction générale, Lyon, hybride ».
Commentaire : le titre peut porter deux informations décisives pour un RSSI, la création ou non du poste et le rattachement. Évitez « Responsable cybersécurité » quand il s'agit bien d'un RSSI, et inversement : les candidats ne visent pas le même niveau de responsabilité.

2. Le contexte

Votre activité en deux phrases, votre taille de façon qualitative et votre organisation (site unique, plusieurs pays, filiales).
La maturité actuelle de la sécurité : aucune fonction dédiée, un responsable sécurité au sein de la DSI, une équipe déjà constituée.
La raison de l'ouverture du poste.
Le cadre réglementaire qui s'applique à vous, en une phrase (NIS2, DORA, exigences sectorielles ou contractuelles).
Commentaire : soyez franc sur la maturité. Un bâtisseur sera attiré par un existant modeste, un pilote par une organisation structurée. Un retard caché sera découvert dans les premières semaines, et le départ coûtera plus cher qu'une annonce honnête.

3. Le rattachement et la gouvernance

La personne à qui le RSSI rend compte : direction générale, DSI, direction des risques.
Son accès au comité de direction et, le cas échéant, au comité d'audit.
Les instances qu'il anime ou auxquelles il participe.
Commentaire : c'est souvent le premier bloc que lit un candidat expérimenté. Un rattachement à la DSI est courant ; dites alors comment le RSSI peut faire remonter un risque créé par la DSI elle-même.

4. Les missions

Pour un mandat structurant, par exemple :

Établir la cartographie des risques et la tenir à jour avec les métiers.
Construire et faire valider une feuille de route sécurité pluriannuelle, priorisée et budgétée.
Définir la politique de sécurité et veiller à son application réelle, pas seulement à sa rédaction.
Piloter la conformité aux exigences applicables et préparer les audits.
Organiser la gestion des incidents et la préparation à la crise avec la direction et la DSI.
Encadrer l'équipe sécurité et les prestataires, et faire grandir les compétences internes.

Commentaire : cinq à sept missions, classées par poids réel. Remplacez « participer à » par le vrai niveau de responsabilité : le RSSI pilote, décide, propose ou conseille. Si le poste comporte une part opérationnelle importante, écrivez-le.

5. Les moyens

Le budget, de façon qualitative si vous ne souhaitez pas donner de montant : à construire, existant, en hausse.
L'équipe actuelle et les recrutements prévus.
Les prestataires en place : SOC externalisé, auditeurs, intégrateurs.
Commentaire : un poste de RSSI sans moyens décrits est lu comme un poste sans moyens. Si des recrutements sont prévus, citez les postes : un futur analyste GRC ou un SOC à mettre en place indiquent clairement la trajectoire.

6. Le profil recherché

Séparez deux listes courtes.

Indispensable (pour un mandat structurant) :

Construire une feuille de route à partir d'un état des lieux et expliquer ce qu'on choisit de ne pas faire.
Présenter un risque au comité de direction sans jargon, avec une décision claire à prendre.
Avoir piloté ou vécu de près la gestion d'un incident significatif.
Disposer d'assez de profondeur technique pour challenger la DSI, les architectes et les prestataires.

Apprécié :

Expérience d'une démarche de certification ou d'un cadre réglementaire comparable au vôtre.
Management d'une équipe sécurité.
Connaissance de votre secteur.
Une certification reconnue en gouvernance ou en sécurité.

Commentaire : formulez les compétences comme des actions observables. Une certification a sa place dans la colonne « apprécié » ; notre analyse des certifications en recrutement explique pourquoi elle ne suffit pas à juger un RSSI.

7. Les conditions

Fourchette de rémunération et part variable éventuelle.
Statut, télétravail, déplacements entre sites.
Disponibilité attendue en cas de crise, et la manière dont elle est organisée.
Délégations, couverture de responsabilité, formation.
Commentaire : la rémunération d'un RSSI varie fortement selon la taille de l'entreprise, le secteur, la régulation et l'étendue du mandat. Une fourchette réaliste évite de perdre un finaliste au dernier moment.

Les formulations qui font fuir

« Garant de la sécurité de l'entreprise » : sans autorité ni moyens, cette formule annonce un futur responsable de tous les incidents.
Une liste de référentiels : citer ISO 27001, NIS2, DORA, RGPD et EBIOS Risk Manager dans la même phrase ne décrit pas le poste. Dites lesquels s'appliquent réellement et ce qu'il faut en faire.
« Rattaché au DSI » sans autre précision : le candidat se demandera aussitôt s'il pourra signaler un risque que la DSI ne veut pas voir.

Décrire le processus d'évaluation

Un RSSI s'évalue sur sa capacité à prioriser, à convaincre et à décider sous pression. Annoncer le processus dans la fiche montre que vous avez pensé le recrutement sérieusement. Un processus type :

Un premier échange sur le parcours, le type de mandat recherché et les attentes du candidat.
Un entretien avec le futur supérieur hiérarchique sur le mandat, les moyens et la gouvernance.
Une étude de cas remise quelques jours à l'avance : un contexte d'entreprise, un extrait de cartographie, des contraintes de budget, et la demande de présenter trois priorités pour les six premiers mois.
Une présentation devant un panel varié (direction, DSI, un dirigeant métier, un regard sécurité indépendant), avec un incident simulé en cours de séance.

Précisez la durée de chaque étape et le fait que l'étude de cas repose sur des données fictives ou anonymisées. Pour construire une grille d'évaluation commune, appuyez-vous sur notre méthode pour évaluer les compétences en cybersécurité. Côté candidat, notre article pour devenir RSSI montre ce que les profils en transition attendent de ce processus.

Checklist avant publication

Le type de mandat apparaît et se retrouve dans les missions.
Le rattachement et l'accès à la direction sont écrits.
La maturité et la raison de l'ouverture sont décrites honnêtement.
Les moyens sont présentés, même qualitativement.
Les indispensables tiennent en quatre ou cinq actions.
La rémunération, la disponibilité en crise et le processus sont annoncés.

En résumé

Une bonne fiche de poste RSSI décrit un mandat avant de décrire une personne. Elle assume un type de poste, écrit le rattachement, présente les moyens, sépare l'indispensable de l'appréciable et annonce une évaluation sérieuse. La même logique s'applique aux postes qui l'entoureront, comme le montre notre fiche de poste d'analyste SOC.

Vous ouvrez un poste de RSSI et souhaitez cadrer le mandat avec un regard extérieur ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité construisent la fiche de poste avec vous, puis évaluent les candidats sur des mises en situation concrètes ; pour les postes plus techniques de l'équipe, nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre façon de travailler ou confiez-nous votre besoin.