Une PME a-t-elle vraiment besoin d'un RSSI ?

La fonction est obligatoire, le poste ne l'est pas

Aucun texte n'impose de recruter un responsable de la sécurité des systèmes d'information à temps plein. En revanche, le RGPD, NIS2 et les référentiels de type ISO 27001 supposent tous qu'une personne identifiée porte le sujet, dispose d'un mandat clair et rende compte à la direction.

La confusion entre la fonction et le poste conduit à deux erreurs opposées. La première consiste à ne rien organiser du tout, en considérant qu'une PME n'a pas les moyens d'un RSSI. La seconde consiste à recruter un profil senior sans lui donner de mandat ni de budget, ce qui produit une frustration rapide et un départ dans l'année.

La bonne question n'est donc pas « faut-il un RSSI ? » mais « qui décide, qui suit, qui rend compte, et avec combien de temps ? ». Les réponses varient selon la taille, le secteur et le niveau d'exigence des clients.

Trois configurations réalistes

En dessous d'une cinquantaine de personnes, la configuration la plus courante repose sur un référent interne, souvent le responsable informatique ou un membre de la direction, qui consacre environ un jour par mois au sujet, appuyé par un prestataire externe pour les points techniques et méthodologiques. L'essentiel est que ce temps soit réellement réservé et non pris sur le reste.

Entre cinquante et deux cent cinquante personnes, la formule du RSSI à temps partagé donne de bons résultats. Un professionnel externe intervient un à trois jours par mois, porte la gouvernance, anime le comité sécurité et pilote le plan d'action, tandis qu'un relais interne assure le suivi quotidien. Cette formule apporte une expertise que la structure ne pourrait pas s'offrir à temps plein.

Au-delà de deux cent cinquante personnes, ou en dessous si l'activité est fortement réglementée, un poste interne devient justifié, généralement complété par des expertises externes ponctuelles pour les audits techniques ou les analyses spécialisées.

Ce que la fonction doit couvrir

Le premier bloc est la gouvernance : politique de sécurité, analyse de risques, plan d'action, comité de suivi, reporting à la direction. C'est la partie la moins visible et la plus déterminante, car elle conditionne les arbitrages budgétaires.

Le deuxième bloc est la conformité : cartographie des obligations applicables, articulation avec le délégué à la protection des données, préparation des réponses aux questionnaires clients et aux contrôles.

Le troisième bloc est la préparation opérationnelle : procédure de gestion d'incident, exercices de crise, vérification effective des sauvegardes par des restaurations testées, gestion des accès et des départs.

Le quatrième bloc, enfin, est la relation avec les prestataires : clauses de sécurité, niveaux de service, revue périodique des sous-traitants critiques. Dans une PME dont l'informatique est largement infogérée, ce bloc pèse souvent plus lourd que tous les autres.

Le bon indicateur de réussite

Une organisation sait qu'elle a correctement dimensionné sa fonction sécurité lorsqu'elle peut répondre en quelques heures à un questionnaire client, produire une analyse de risques à jour et désigner sans hésitation qui décide en cas d'incident un vendredi soir.

Le nombre de jours consacrés au sujet importe finalement moins que la régularité. Une demi-journée par mois réellement tenue, avec un compte rendu et des actions suivies, produit davantage qu'une semaine intensive une fois par an.

Enfin, la fonction n'a de sens que si elle est visible depuis la direction. Un point sécurité inscrit à l'ordre du jour du comité de direction, deux à quatre fois par an, suffit à installer le sujet durablement dans l'organisation.