Un collaborateur utilise un outil d’intelligence artificielle pour reformuler des documents internes. Personne ne l’a validé, personne ne sait où partent les données. Ce scénario, baptisé « Shadow AI » par le baromètre CESIN 2026, illustre le type de menace que le RSSI doit aujourd’hui traiter en priorité.
La partie la plus importante du travail du responsable de la sécurité des systèmes d’information ne se résume pas à installer des pare-feux ou à rédiger des chartes. Elle tient dans sa capacité à piloter le risque là où personne ne regarde encore.
A lire en complément : Quelles sont les données que le RGPD n'interdit pas de collecter ?
Shadow AI et risque tiers : les angles morts que le RSSI doit couvrir en premier
La gestion des risques liés à la cybersécurité a toujours été au coeur du métier. Ce qui change, c’est la nature des risques prioritaires. Deux phénomènes concentrent aujourd’hui l’attention des RSSI français.
Le premier, c’est l’IA fantôme. Des équipes métiers adoptent des outils d’IA générative sans passer par la DSI. Les données sensibles de l’entreprise transitent par des serveurs externes, sans chiffrement maîtrisé, sans clause contractuelle. Le RSSI doit cartographier ces usages avant qu’un incident ne les révèle.
Lire également : Qu'est-ce que l'audit ISO 27001 ?
Le second angle mort concerne la chaîne de sous-traitance. Une attaque ne vise plus forcément l’entreprise elle-même, mais un fournisseur ou un partenaire connecté à son système d’information. Le baromètre CESIN 2026 confirme la montée du risque tiers dans les grandes organisations françaises. Piloter la sécurité de l’information exige de regarder au-delà de son propre périmètre.
Gestion des risques cyber : pourquoi c’est le socle du métier de RSSI
Vous avez déjà remarqué que les fiches de poste de RSSI listent parfois une vingtaine de missions différentes ? Stratégie, conformité, sensibilisation, architecture technique, gestion de crise… La liste donne le vertige. Pourtant, toutes ces missions se rattachent à un fil conducteur unique : identifier, évaluer et réduire les risques pesant sur les systèmes d’information.
Un RSSI qui ne sait pas hiérarchiser les risques finit par disperser ses ressources. Il protège tout de la même façon, c’est-à-dire mal. Le travail de priorisation repose sur trois éléments concrets :
- L’analyse d’impact : quel serait le coût (financier, réputationnel, réglementaire) si tel système ou telle donnée était compromis ?
- La probabilité d’occurrence : quelles menaces ciblent réellement le secteur et la taille de l’organisation ?
- La capacité de réponse : l’entreprise peut-elle détecter l’attaque, contenir les dégâts et reprendre son activité dans un délai acceptable ?
Ce triptyque guide chaque décision du RSSI, du choix d’un outil de protection à l’arbitrage budgétaire devant la direction générale. Sans cette grille de lecture, la cybersécurité reste une liste de tâches sans boussole.
Conformité croisée RGPD, NIS2 et AI Act : le RSSI comme chef d’orchestre
La conformité réglementaire n’est plus un sujet séparé de la sécurité opérationnelle. Le RSSI doit désormais coordonner des chantiers qui touchent simultanément le RGPD (protection des données personnelles), la directive NIS2 (obligations de sécurité pour les entités critiques), la norme ISO 27001 et, pour les usages d’intelligence artificielle, l’AI Act européen.
Pourquoi cette convergence change-t-elle le quotidien du RSSI ? Parce qu’un même projet (par exemple, le déploiement d’un chatbot interne) peut déclencher des obligations dans chacun de ces cadres. La donnée personnelle traitée relève du RGPD. L’outil d’IA tombe sous l’AI Act. L’infrastructure qui l’héberge est couverte par NIS2 si l’entreprise est classée entité importante.
Le RSSI pilote des chantiers de conformité croisés, pas une seule politique cloisonnée. Cette capacité à articuler plusieurs référentiels distingue un RSSI efficace d’un simple gestionnaire de pare-feux.
De la conformité papier au pilotage mesurable
Rédiger une politique de sécurité des systèmes d’information est une chose. Prouver qu’elle produit des résultats en est une autre. La fonction RSSI se recentre sur la capacité à transformer la stratégie en indicateurs de pilotage concrets : taux de couverture des actifs critiques, délai moyen de détection d’un incident, pourcentage de collaborateurs formés.
Ces métriques servent à deux publics. En interne, elles permettent au RSSI de justifier ses arbitrages devant le comité de direction. En externe, elles répondent aux exigences d’audit imposées par NIS2 ou ISO 27001.
Environnements OT et industriels : le périmètre élargi du RSSI
Le périmètre du RSSI ne s’arrête plus aux postes de travail et aux serveurs. Dans les entreprises industrielles, il s’étend désormais aux environnements OT (Operational Technology) : automates de production, capteurs connectés, systèmes de contrôle industriel.
La difficulté est humaine autant que technique. Un automate de production ne se met pas à jour comme un serveur Windows. Les équipes terrain (automaticiens, opérateurs) ont des contraintes de disponibilité que l’informatique classique ne connaît pas. Le RSSI doit coordonner des métiers qui ne parlent pas le même langage technique.
Les formations récentes autour de NIS2 et de la cybersécurité industrielle insistent sur cet enjeu organisationnel. La sécurité d’un site industriel ne se décrète pas depuis un bureau parisien. Elle se construit avec les personnes qui font tourner les machines.
Compétences clés du RSSI pour piloter la sécurité en entreprise
La partie technique du métier reste un prérequis. Comprendre les architectures réseaux, les mécanismes d’authentification, les principes de chiffrement : sans ce socle, le RSSI ne peut pas challenger ses équipes ni évaluer la pertinence d’une solution.
La compétence qui fait la différence se situe ailleurs. Elle tient dans la capacité à traduire un risque technique en enjeu business compréhensible par un directeur financier ou un membre du conseil d’administration. Un RSSI qui dit « notre WAF n’est pas configuré en mode blocking » n’obtiendra rien. Celui qui explique « notre site e-commerce peut être modifié par un attaquant sans que nous le détections » débloquera un budget.
- Maîtrise technique : réseaux, systèmes, cryptographie, gestion des identités
- Communication : vulgariser les risques pour des interlocuteurs non techniques
- Pilotage de projet : coordonner des chantiers transverses (conformité, sensibilisation, architecture)
- Veille réglementaire : suivre l’évolution de NIS2, du RGPD, de l’AI Act et des normes ISO
Le RSSI le plus utile est celui qui sait parler risque dans la langue de chaque interlocuteur. C’est cette compétence de traduction qui transforme une fonction technique en levier stratégique pour l’organisation.
Le métier de RSSI continuera de s’élargir, vers l’OT, vers l’IA, vers des cadres réglementaires de plus en plus imbriqués. La constante reste la même : piloter le risque avec méthode, prouver les résultats par des indicateurs, et s’assurer que chaque partie de l’entreprise comprend sa part de responsabilité dans la protection des données et des systèmes.
