Un RSSI externalisé (Responsable de la Sécurité des Systèmes d’Information en offshore) structure la cybersécurité sans prendre la place du dirigeant. Sa mission exige des responsabilités claires, surtout lors d’un incident ou d’un arbitrage budgétaire.
En 2025, 49 % des entreprises de moins de 250 salariés se déclaraient mal préparées à une cyberattaque, selon Cybermalveillance.gouv.fr. Le RSSI externalisé aide ces organisations à organiser leurs défenses, mais la direction conserve les décisions et les obligations qui lui incombent.
En bref
- Le RSSI pilote la gouvernance et les risques cyber.
- Le SOC surveille les alertes ; la DSI exploite les systèmes.
- La direction approuve les mesures et accepte les risques résiduels.
- Une lettre de mission précise les tâches, délais et livrables.
Les missions du RSSI externalisé relèvent du pilotage
Un RSSI externalisé travaille à temps partagé, selon un volume défini avec l’entreprise. Il rédige la politique de sécurité, conduit l’analyse des risques et suit un plan d’action avec la direction. Il prépare aussi les exercices de crise et examine les pratiques des prestataires. Ces missions du RSSI externalisé structurent la gouvernance de la sécurité informatique, sans inclure l’exploitation quotidienne des systèmes.
La lettre de mission transforme ces objectifs en livrables vérifiables : registre des risques, compte rendu de comité et calendrier des actions. Pour une PME, une base de deux jours par mois peut servir de repère, à ajuster selon son secteur et ses obligations. Les questions de conflits d’intérêts liés à l’externalisation méritent aussi une analyse écrite.
Le RSSI, le SOC et la DSI ont des rôles distincts
Le SOC traite les journaux et les alertes, parfois toute la journée et la nuit. Un service MDR peut aussi isoler un poste ou désactiver un compte compromis. La DSI ou l’infogérant administre les systèmes, installe les correctifs et restaure les services. Le RSSI définit les besoins de surveillance, puis contrôle les rapports et les délais contractuels. Cette séparation clarifie les responsabilités du RSSI et limite l’auto-évaluation d’un prestataire.
| Activité | Responsable opérationnel | Décision ou contrôle |
|---|---|---|
| Politique de sécurité | RSSI : rédaction | Direction : approbation |
| Alertes de sécurité | SOC ou MDR : détection | RSSI : contrôle des engagements |
| Correctifs et restauration | DSI ou infogérant | Direction : arbitrage des risques |
Un RSSI qui évalue le SOC de son propre employeur peut manquer d’indépendance. Une déclaration des liens commerciaux et un audit externe réduisent ce risque. L’analyse des conflits d’intérêts entre prestataires aide à formaliser ces garde-fous.
Le rôle du dirigeant en cybersécurité ne se délègue pas
La directive NIS2 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur application. Au 4 novembre 2026, selon les données disponibles, la transposition française n’est pas adoptée. La Commission européenne a saisi la Cour de justice de l’Union européenne en juillet 2026. Les entreprises concernées doivent donc suivre l’évolution des textes et examiner leurs obligations sectorielles.
Le RSSI prépare les éléments techniques, mais la direction décide du budget, accepte les risques résiduels et signe les notifications. En cas de violation de données personnelles, le RGPD prévoit une notification à la CNIL sous 72 heures, si possible. La responsabilité juridique du dirigeant ne disparaît pas avec un contrat de conseil. Le choix du prestataire, la communication de crise et le dépôt de plainte restent des décisions d’entreprise.
Une lettre de mission protège la gouvernance et la conformité
Le contrat doit préciser les jours prévus, les livrables, les délais d’intervention et les conditions de remise des documents. Il doit aussi décrire l’astreinte de crise, si elle existe, et mentionner une assurance professionnelle adaptée. Un comité mensuel peut suivre quatre indicateurs : actions closes, délais du SOC, correctifs critiques en retard et comptes à privilèges. Ces repères rendent le pilotage de la cybersécurité lisible pour la direction.
Avant de choisir un SOC, demandez le CV de la personne affectée, ses qualifications et un exemple anonymisé de registre des risques. Vérifiez ses liens commerciaux avec les fournisseurs évalués. Une lettre de mission bien cadrée soutient la conformité réglementaire sans prétendre transférer les obligations légales. Elle donne surtout à la direction les éléments nécessaires pour arbitrer les risques et contrôler l’exécution.
Questions pratiques sur le RSSI externalisé
Quelle différence entre un RSSI externalisé et un SOC ?
Le RSSI définit la gouvernance, analyse les risques et contrôle les prestataires. Le SOC surveille les alertes et applique ses procédures de détection.
Combien de jours par mois faut-il prévoir ?
Deux jours mensuels constituent un repère de départ pour certaines PME. Le volume dépend du plan d’action, du secteur et des obligations de l’entreprise.
Le dirigeant peut-il déléguer sa responsabilité ?
Non. Le RSSI conseille et prépare les éléments utiles, mais la direction garde les arbitrages, l’acceptation des risques et les décisions officielles.
Le RSSI peut-il évaluer le SOC de son employeur ?
Ce cumul crée un risque de conflit d’intérêts. Une déclaration écrite des liens et un audit indépendant apportent des garanties.
