vCISO, les 90 premiers jours : le plan d'un responsable sécurité à temps partiel

Les 90 premiers jours d’un vCISO (RSSI externalisé) ou d’un responsable sécurité à temps partiel doivent produire quatre choses démontrables, pas quarante politiques : une liste tenue à jour des systèmes et de leurs responsables, un journal des décisions daté, une approbation de la direction qui nomme les risques résiduels, et une question client traitée à partir des données des systèmes. Le plan suppose une seule personne, deux à huit heures par semaine, et aucune fonction sécurité préexistante.

Ce guide explique pourquoi quatre-vingt-dix jours, puis présente les six phases de quinze jours, ce qu’il faut refuser, les quatre tests du jour 90 et ce que la gouvernance ne voit pas.

Jours	Priorité	Ce que vous avez à la fin
1 à 15	Périmètre, enregistrement, ce que vous avez	Une première liste des systèmes
15 à 30	Faire converger les décisions de sécurité vers un seul endroit	Un journal des décisions daté
30 à 45	Un responsable par système, accès rapprochés	Une personne nommée par système
45 à 60	Registre des risques	Dix à quinze risques formulés en scénarios
60 à 75	Document de décision pour la direction	Une approbation consignée au procès-verbal
75 à 90	Démontrer une chose de bout en bout	Une réponse tirée des données des systèmes, et le temps qu’elle a coûté

Pourquoi planifier les 90 premiers jours, et pas la première année ?

Dans une entreprise de trente à deux cent cinquante personnes, la nomination est rarement formelle. Un contrat arrive avec une annexe sécurité, ou un client demande qui est le contact sécurité, et un nom est inscrit dans la case. Ce nom est désormais responsable d’un travail que personne n’a cadré, dans un temps que personne n’a alloué.

Quatre-vingt-dix jours, c’est assez long pour atteindre une position défendable, et assez court pour ne pas pouvoir les remplir de documents. Et ce n’est pas vous qui fixez les échéances.

L’enregistrement n’est pas une mesure de sécurité, c’est un acte administratif assorti d’une amende. Au Luxembourg, la fenêtre s’est refermée le 10 juillet 2026, comme expliqué dans la transposition de NIS2 par la loi du 5 mai 2026. Ailleurs, le désordre n’est pas un répit. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de notification d’une transposition complète. Un fournisseur établi dans ces pays reçoit quand même les mêmes clauses de ses clients, parce que ces clauses découlent de l’obligation du client, pas du droit national du fournisseur.

Les quatre-vingt-dix jours ne sont donc pas un sprint que vous vous imposez. C’est la fenêtre qui précède la prochaine échéance datée.

Jours 1 à 30 : que doit faire en premier un nouveau responsable sécurité ?

Jours 1 à 15 : établir ce qui est vrai, pas ce qui est prévu

Deux questions, auxquelles on peut répondre en quinze jours, et auxquelles on répond généralement mal de mémoire.

1. Êtes-vous dans le périmètre, et êtes-vous enregistré ? Le périmètre dépend du secteur et de la taille, avec en dessous des catégories indépendantes de la taille qui rattrapent des entreprises qui se croient trop petites. Le vérificateur de périmètre NIS2 prend quelques minutes, et le guide du périmètre et de l’applicabilité explique les catégories derrière la réponse. Vérifiez ensuite si quelqu’un a fait l’enregistrement. Quand la sécurité vient d’être confiée à quelqu’un, en général personne ne l’a fait.
2. Qu’avez-vous réellement ? Pas le schéma, la liste. Chaque système qui contient des données clients ou fait tourner un service de production, chaque outil SaaS avec un compte d’entreprise, chaque compte cloud, chaque dépôt de code et chaque domaine. Y compris ceux qu’un chef d’équipe a achetés avec une carte bancaire en 2023.

Vous ne terminerez pas la liste en quinze jours. Vous en ferez assez pour trouver les deux ou trois choses dont personne ne savait qu’elles tournaient encore. Ces découvertes rendent le reste des quatre-vingt-dix jours crédible en interne.

Jours 15 à 30 : reprendre les décisions qui se prennent déjà sans vous

Sans fonction sécurité, la sécurité est un flux de petites décisions prises par celui sur qui elles tombent. Un ingénieur veut des droits d’administration pour une semaine. Un questionnaire fournisseur a une date limite. Un test d’intrusion revient avec onze constats, quatre ne seront pas corrigés, et quelqu’un doit dire que c’est acceptable.

Jusqu’ici, ces décisions étaient prises de façon incohérente et sans trace écrite. La chose la plus utile à faire pendant la deuxième quinzaine est de les faire converger vers un seul endroit, qui est désormais vous, et de consigner la réponse. Pourquoi un responsable nommé compte, et ce qui se passe sans lui, est expliqué dans qui porte la sécurité quand personne ne la porte.

Restez léger : un seul journal courant, chaque entrée avec une date, une décision et le demandeur. Trois mois de ce journal valent plus lors d’un audit que trois mois de rédaction de politiques. C’est la preuve d’un processus, pas la preuve d’un document.

Jours 30 à 60 : comment construire l’inventaire et le registre des risques ?

Jours 30 à 45 : un inventaire, un responsable par élément

1. Ajoutez deux colonnes à la liste : qui en est responsable, et que se passe-t-il si cela s’arrête. Le responsable est une personne nommée, pas une équipe, car les équipes ne renouvellent pas les certificats. Les systèmes sans responsable sont invariablement ceux qui ont les identifiants les plus anciens et les accès les plus larges.
2. Rapprochez les accès de la réalité. Extrayez la liste des utilisateurs de chaque système important et comparez-la à la paie et aux contrats en cours.

Là où cela n’a jamais été fait, le résultat est toujours le même : des comptes de personnes parties, des prestataires dont la mission est terminée, et un compte partagé dont le mot de passe se trouve dans un historique de messagerie. Les accès sont accordés avec soin et retirés de mémoire. C’est pourquoi ce contrôle est le plus souvent testé et le plus souvent pris en défaut.

Jours 45 à 60 : un registre des risques qui résiste à la lecture

Maintenant, et pas avant, rédigez le registre des risques. Avant l’inventaire, c’est de la fiction.

Restez bref : dix à quinze risques qu’une personne de l’entreprise reconnaîtrait comme réels, chacun formulé comme un scénario et non comme une catégorie. « Rançongiciel » est une catégorie. « Notre serveur de build a un compte administrateur local partagé par quatre ingénieurs et aucune sauvegarde hors ligne » est un risque.

Les orientations sont inhabituellement précises sur ce qu’une entrée doit contenir. Le guide technique de mise en œuvre (Technical Implementation Guidance) de l’ENISA du 26 juin 2025, relatif au règlement d’exécution (UE) 2024/2690 de la Commission, attend qu’une entrée de traitement des risques consigne :

• le risque et l’objectif
• l’option de traitement
• les actifs concernés
• les mesures d’atténuation
• la manière dont l’efficacité sera évaluée
• le calendrier et le rôle responsable

Le point 2.1.2(j) ajoute ce que la plupart des registres oublient : lorsqu’un risque résiduel est accepté, les raisons doivent être consignées de manière compréhensible. C’est ce qui fait passer un registre du statut de tableur à celui de document de gouvernance, la différence décrite dans le registre des risques qui survit à un audit.

Jours 60 à 90 : que doit approuver la direction ?

Jours 60 à 75 : rendre à la direction ce qui lui revient juridiquement

NIS2 impose à l’organe de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et d’être tenu responsable des manquements. Cela ne peut pas vous être délégué. Un responsable à temps partiel qui l’absorbe prend une exposition personnelle pour une décision qui n’a jamais été la sienne.

Préparez donc un seul document et inscrivez-le à l’ordre du jour. Pas un point d’avancement, un document de décision :

1. L’inventaire en une page.
2. Les dix risques.
3. Les trois traités ce trimestre, avec les montants en jeu.
4. Les quatre acceptés, et pourquoi.
5. Ce que vous demandez à la direction d’approuver.

Faites consigner l’approbation au procès-verbal. Le faire au jour soixante plutôt qu’au jour deux cent soixante transforme une nomination informelle en mandat, assorti d’une discussion budgétaire. Cela place la responsabilité là où la directive la place déjà. Les mécanismes d’approbation, de supervision et l’obligation de formation sont détaillés dans la responsabilité de la direction au titre de NIS2.

Jours 75 à 90 : démontrer une chose de bout en bout

Choisissez une question qu’un client ou un auditeur posera, et répondez-y entièrement par des preuves plutôt que par des affirmations. Un bon exemple : montrer que toutes les personnes parties au cours des six derniers mois n’ont plus accès à rien, à partir des données des systèmes et non d’une liste de contrôle de départ.

L’enjeu n’est pas la réponse, c’est le temps nécessaire pour la produire. Deux jours de collecte manuelle aujourd’hui, ce sont deux jours à chaque fois que la question est posée, et chaque client la posera, chaque année. C’est l’argument en faveur de preuves qui se régénèrent plutôt que de preuves que vous assemblez, la distinction développée dans la preuve qui s’assemble toute seule.

Que faut-il refuser pendant les 90 premiers jours ?

Trois choses vous seront proposées, et toutes les trois sont une erreur à ce stade.

• Rédiger tout le corpus de politiques. Quarante politiques écrites par une seule personne en trois mois, ce sont quarante documents que personne n’a lus. Un auditeur trouve l’écart entre ces documents et la pratique dès la première heure. Rédigez les trois qui décrivent ce que vous faites réellement.
• Lancer un audit interne. La article 9.2 demande un programme, et un programme audite un système qui existe. Auditer un ensemble de mesures construit il y a six semaines ne vous apprend rien de nouveau. Le séquencement, et le problème d’indépendance qui le rend coûteux dans une petite entreprise, sont traités dans l’audit interne et la revue de direction.
• Acheter une plateforme avant l’inventaire. Un outillage appliqué à un parc inconnu produit un tableau de bord plein d’assurance qui décrit une partie de votre entreprise.

Comment savoir au jour 90 si cela a fonctionné ?

Pas au nombre de documents. Par quatre tests, chacun avec une réponse oui ou non.

1. Pouvez-vous produire la liste des systèmes et de leurs responsables en moins d’une heure, à partir de quelque chose de tenu à jour et non de mémoire ?
2. Existe-t-il une trace datée de chaque décision de sécurité prise au cours des deux derniers mois, avec sa raison ?
3. L’organe de direction a-t-il approuvé quelque chose par écrit, en nommant les risques résiduels ?
4. Pouvez-vous répondre à la question des accès de bout en bout à partir des données des systèmes ?

Quatre oui, c’est une position défendable pour une entreprise sans équipe sécurité. Ce n’est ni une certification ni de la maturité. C’est la base sur laquelle repose chaque référentiel ultérieur, et à peu près là où commence ISO 27001 sans équipe sécurité.

Quatre non, c’est aussi une information utile. Cela signifie généralement que la nomination est arrivée sans les heures, et un responsable nommé sans temps équivaut à pas de responsable, formulé autrement. Le remède, c’est soit des heures, soit un dispositif vCISO qui confie les arbitrages à quelqu’un qui fait ce travail chaque semaine.

Que ne voient pas quatre-vingt-dix jours de gouvernance ?

Tout ce qui précède produit une intention documentée, approuvée et datée. C’est ce que demandent les référentiels et ce qu’un auditeur acceptera. Rien de tout cela ne vous dit ce qui se passe sur vos systèmes.

L’inventaire est un instantané pris à la main, qui commence à dériver dès le lendemain du jour où il est terminé. Le rapprochement des accès est vrai le matin où vous l’avez fait. Le registre des risques décrit ce à quoi vous avez pensé dans une salle en septième semaine. Une entreprise peut boucler proprement ses quatre-vingt-dix jours et ignorer encore qu’un serveur de build est exposé, ou qu’un compte qui aurait dû être fermé en mars est toujours utilisé.

Combler cet écart suppose que la liste des actifs soit générée à partir du parc, et que la liste des accès se rapproche d’elle-même des données RH et contractuelles. Les vulnérabilités de ce que vous exploitez arrivent sous forme de constats hiérarchisés avec une action recommandée. Les preuves sont produites par le travail, pas assemblées la semaine d’avant. Tout cela fonctionne en continu, sans rien à installer chez vous, et c’est ce que porte la plateforme à côté du registre de gouvernance. Quatre-vingt-dix jours du travail décrit ci-dessus rendent une entreprise prête pour l’audit. La moitié technique maintient les réponses exactes au quatrième mois, quand le responsable sécurité est repris par le poste qu’il occupait avant.

Liste de contrôle des 90 jours pour un responsable sécurité à temps partiel

• Vérifiez si vous êtes dans le périmètre, et si quelqu’un a fait l’enregistrement.
• Listez chaque système, outil SaaS, compte cloud, dépôt de code et domaine, y compris ceux achetés avec une carte bancaire.
• Ouvrez un journal des décisions unique : date, décision, demandeur.
• Nommez une personne, pas une équipe, comme responsable de chaque système.
• Rapprochez les utilisateurs de chaque système important de la paie et des contrats en cours.
• Rédigez dix à quinze risques sous forme de scénarios, avec les raisons de chaque risque résiduel accepté.
• Soumettez un document de décision à la direction, et faites consigner l’approbation au procès-verbal.
• Répondez à la question des accès des personnes parties à partir des données des systèmes, et mesurez le temps nécessaire.

Questions fréquentes