Dans une PME, la direction est responsable de la cybersécurité, et une personne nommément désignée doit la porter. NIS2 impose à l’organe de direction d’approuver et de superviser les mesures de sécurité. ISO 27001 impose à la direction d’attribuer les rôles. Aucun des deux n’exige de RSSI. Dans une entreprise de quarante à cent cinquante personnes, porter la sécurité représente un à deux jours de décisions par mois.
Ce guide couvre ce qu’exigent NIS2 et ISO 27001, où la sécurité atterrit par défaut, un test en cinq questions, ce que fait le responsable, et quand un vCISO (RSSI externalisé) se justifie.
| Qui | Responsable de | Source |
|---|---|---|
| Organe de direction | Approuver les mesures de sécurité, superviser leur mise en œuvre, répondre des manquements et suivre une formation | NIS2 |
| Direction | Attribuer et communiquer les responsabilités et autorités relatives au système de management de la sécurité de l’information | ISO 27001, article 5.3 |
| Un responsable sécurité nommément désigné | Les décisions récurrentes : registre des risques, dérogations, fournisseurs, questionnaires, audit interne, incidents, reporting au conseil d’administration | ISO 27001, mesure 5.2 de l’annexe A : rôles définis et attribués |
| Un RSSI | Non exigé | NIS2 ne crée aucun poste ; ISO 27001 n’emploie pas le mot |
Pourquoi la sécurité a-t-elle besoin d’un responsable nommé ?
Demandez à une entreprise de quarante personnes qui porte la sécurité, et vous obtiendrez l’une de trois réponses. Un nom, donné vite, en général celui du responsable informatique. Un silence, puis « eh bien, nous tous, en fait ». Ou un nom donné lentement, parce que la personne qui le prononce vient de comprendre que c’est le sien.
La troisième réponse est la réponse honnête. Les deux premières expliquent comment une entreprise arrive à un audit avec un corpus de politiques que personne n’a lu et un registre des risques qui n’a plus été touché depuis le mois de sa création.
Dans une petite entreprise, la sécurité n’est pas un projet avec une date de fin. C’est un flux de petites décisions qui arrivent chaque semaine. Un fournisseur envoie un questionnaire assorti d’une échéance. Un ingénieur demande des droits d’administration pour une semaine, et la semaine se termine. Un ordinateur portable disparaît dans un aéroport. Un test d’intrusion remonte onze constats, dont quatre ne seront pas corrigés ce trimestre : quelqu’un doit donc signer un document qui déclare que c’est acceptable. Un contrat client exige une notification dans les vingt-quatre heures suivant un incident, et personne n’a défini ce qui en constitue un.
Aucune de ces décisions ne demande un spécialiste à temps plein. Toutes demandent une personne responsable de la réponse. Sans cette personne, chaque décision est prise par celui sur qui elle tombe, différemment à chaque fois, et rien n’est consigné.
NIS2 ou ISO 27001 imposent-elles un RSSI ?
Non. Les deux cadres qui s’appliquent à une PME européenne exigent un responsable, et aucun n’exige un recrutement.
NIS2 confie l’approbation et la supervision à l’organe de direction. La direction doit approuver les mesures et superviser leur mise en œuvre, et elle peut être tenue responsable des manquements. Pour aller plus loin : la responsabilité et la gouvernance de la direction sous NIS2. La direction doit aussi suivre une formation et proposer une formation similaire au personnel, sujet traité dans les exigences de formation NIS2. La directive crée une responsabilité et laisse l’organigramme intact.
ISO 27001 exige que les rôles soient attribués. L’article 5.3 rend la direction responsable de l’attribution et de la communication des responsabilités et autorités relatives au système de management de la sécurité de l’information. La mesure 5.2 de l’annexe A exige que les rôles et responsabilités en matière de sécurité soient définis et attribués selon les besoins de l’organisation. Le mot RSSI n’y apparaît pas. Ce qui apparaît, c’est une personne précise, nommée dans un document, responsable de choses précises.
C’est dans cet écart entre responsable et recrutement que se trouvent la plupart des PME, et ce n’est pas une échappatoire. Un auditeur demandera qui porte les décisions de traitement des risques, et « l’équipe de direction » ne résiste pas à la question suivante.
Où la sécurité atterrit-elle par défaut, et qu’est-ce qui casse ?
Faute de décision, la fonction échoit à la personne la plus proche. Il y a trois points de chute habituels, et chacun échoue de manière prévisible.
Le responsable informatique. Le plus courant, et celui qui paraît le plus raisonnable. Il échoue sur l’indépendance : la personne qui exploite l’infrastructure juge désormais si elle est suffisamment protégée, décide lesquels de ses propres constats accepter et rend compte de ses propres chantiers en attente. Le conflit est structurel, pas personnel. Il échoue aussi sur le champ d’action : les décisions sur les fournisseurs, les contrats, la formation et l’accès physique ne sont pas des décisions informatiques, et un responsable informatique n’a pas la légitimité pour les prendre.
Le responsable qualité ou conformité. Fréquent dans l’industrie et dans les entreprises déjà certifiées ISO 9001. Il produit une excellente documentation et très peu de changement. Cette personne sait rédiger la politique, mener l’audit interne et gérer les preuves. Elle ne peut pas juger si une architecture de segmentation réseau est saine, ni si une durée de conservation des journaux est assez longue pour enquêter sur quoi que ce soit. Vu de l’extérieur, le système de management paraît sain, et c’est là la différence entre certifié et sécurisé.
Le fondateur ou le directeur technique. Le plus compétent des trois et le moins disponible. Les décisions sont justes quand elles sont prises, mais elles sont prises tard, par lots, en général la semaine qui précède un audit ou celle qui suit un incident. Le problème n’est pas le jugement. C’est la latence.
Comment savoir si quelqu’un porte vraiment la sécurité ?
Posez cinq questions aux membres de l’équipe de direction, séparément, et comparez les réponses.
- Qui signe qu’il est acceptable de garder une vulnérabilité connue et non corrigée ?
- Qui décide quand une dérogation d’accès temporaire expire, et qui vérifie qu’elle a bien expiré ?
- Qui lit la documentation de sécurité qu’un fournisseur envoie avant la signature d’un contrat ?
- Qui est appelé à vingt-deux heures quand quelque chose semble anormal, et qu’est-ce que cette personne est autorisée à faire ?
- Qui rédige la partie sécurité du dossier du conseil d’administration, et qui la conteste ?
Si les réponses citent trois personnes différentes ou plus, ou si l’une d’elles désigne un service plutôt qu’une personne, personne ne porte la sécurité. L’entreprise a réparti le travail sans conserver la moindre responsabilité, ce qui se lit le plus mal en audit et fonctionne le plus mal lors d’un incident.
Que fait concrètement un responsable de la sécurité ?
Une fois le titre de poste mis de côté, le travail dans une entreprise de cette taille tient en une courte liste récurrente.
- Tenir le registre des risques, et forcer une décision sur chaque élément plutôt que de le laisser vieillir. La forme qui résiste à l’examen est décrite dans des preuves qui se constituent d’elles-mêmes.
- Tenir le journal des dérogations : qui a demandé, ce qui a été accordé, quand cela expire, qui a vérifié.
- Examiner les fournisseurs avant signature et au renouvellement, l’une des dix mesures citées par NIS2.
- Répondre aux questionnaires de sécurité des clients, en gardant des réponses cohérentes d’un questionnaire à l’autre.
- Mener l’audit interne et la revue de direction, la boucle décrite dans audit interne et revue de direction.
- Décider de ce qui constitue un incident, et répéter le circuit de notification avant d’en avoir besoin.
- Rendre compte au conseil d’administration dans des termes sur lesquels il peut agir.
Dans une entreprise de quarante à cent cinquante personnes, cela représente un à deux jours de décision par mois. Ce travail repose sur un outillage qui produit les faits sous-jacents en continu. Ce n’est pas un temps plein. Ce n’est pas rien non plus, et cela ne survit pas au rang de dixième priorité de tout le monde.
Faut-il recruter un RSSI, désigner quelqu’un en interne ou recourir à un vCISO ?
Il y a trois façons de combler l’écart, et les calculs diffèrent nettement.
Recruter. Au Luxembourg, un responsable sécurité représente un coût annuel à six chiffres, charges patronales comprises. Il faut trois à cinq mois pour le trouver, sur un marché où toutes les banques se disputent les mêmes profils, puis trois mois de plus pour qu’il soit utile. Cela fait l’essentiel d’une année avant que la première décision ne s’améliore. Pour la plupart des entreprises qui continuent de croître, le recrutement finit par être le bon choix. Il est rarement le bon premier geste, car une entreprise qui n’a jamais eu la fonction ne sait pas encore de quel profil elle a besoin.
Désigner en interne. Le moins cher, et viable si deux conditions sont réunies : la personne dispose d’une autorité explicite, écrite plutôt que sous-entendue, et son temps est protégé dans l’agenda plutôt que supposé. Ce qui échoue, ce n’est jamais la personne. Le rôle a été ajouté à un poste déjà plein, sans autorité ni heures, et il a perdu chaque arbitrage face au travail de production.
Emprunter. Un dispositif vCISO apporte la prise de décision sans le cycle de recrutement, pour quelques jours par mois plutôt qu’un salaire, avec un démarrage en jours plutôt qu’en trimestres. Il apporte aussi l’indépendance : une personne dont le jugement sur l’infrastructure n’est pas un jugement sur son propre travail. La limite, en toute honnêteté : un responsable à temps partiel ne peut pas être la personne qui remarque quelque chose à vingt-deux heures. Le volet détection doit reposer sur l’outillage plutôt que sur l’attention.
Ce qu’il faut éviter, c’est la quatrième option : reporter la décision et laisser la fonction continuer d’échoir à la personne la plus proche. C’est l’arrangement que toute entreprise a déjà avant de choisir l’une des trois.
Un responsable nommé suffit-il ?
Non. Les deux cadres s’arrêtent à la responsabilité, et un auditeur peut vérifier les deux en lisant une page. Aucun n’exige que le responsable nommé puisse voir quoi que ce soit.
Un responsable sécurité muni d’une déclaration de responsabilité signée, sans inventaire des actifs, sans conservation des journaux au-delà de la durée par défaut et sans alertes, porte un corpus documentaire, pas une posture de sécurité. Il peut vous dire ce que dit la politique. Il ne peut pas vous dire si elle a tenu mardi dernier.
Le responsable a besoin d’un inventaire qui se met à jour tout seul et de journaux conservés assez longtemps pour reconstituer un incident. Les constats doivent arriver hiérarchisés au regard de l’activité, pas sous forme de liste indifférenciée. La piste de preuves doit se régénérer plutôt qu’être assemblée le mois précédant la venue de l’auditeur. Avec cela, un responsable qui y consacre deux jours par mois peut tenir la position. Sans cela, un RSSI à temps plein passerait l’essentiel de la semaine à collecter des faits qu’un système aurait dû collecter tout seul.
La responsabilité est l’exigence. La visibilité est ce qui lui donne un sens. Un audit de sécurité indépendant vous dit en quelques semaines laquelle des deux vous manque, et la vue d’ensemble de ce qu’attend NIS2 se trouve dans le guide de conformité NIS2.
Liste de contrôle : responsabilité de la sécurité
- Posez les cinq questions sur la responsabilité à chaque membre de l’équipe de direction, séparément, et comparez les réponses.
- Désignez une personne, pas un service, comme responsable des décisions de sécurité.
- Mettez par écrit l’autorité de cette personne, et protégez son temps dans l’agenda.
- Documentez les rôles et responsabilités en matière de sécurité, comme l’exigent l’article 5.3 d’ISO 27001 et la mesure 5.2 de l’annexe A.
- Obtenez de la direction qu’elle approuve les mesures de sécurité et en supervise la mise en œuvre.
- Ouvrez un journal des dérogations : qui a demandé, ce qui a été accordé, quand cela expire, qui a vérifié.
- Choisissez entre recruter, désigner en interne ou emprunter, plutôt que de laisser la fonction échoir à la personne la plus proche.
- Vérifiez que le responsable voit le parc : un inventaire qui se met à jour tout seul, des journaux conservés assez longtemps pour reconstituer un incident, et des constats hiérarchisés.
Questions fréquentes
Qui est responsable de la cybersécurité dans une entreprise ?
L'organe de direction est responsable : au titre de NIS2, il approuve les mesures de sécurité, supervise leur mise en œuvre et peut être tenu responsable des manquements. L'article 5.3 d'ISO 27001 impose à la direction d'attribuer les rôles de sécurité, si bien qu'en pratique une personne nommément désignée porte les décisions du quotidien.
NIS2 oblige-t-elle une entreprise à nommer un RSSI ?
Non. NIS2 crée une responsabilité pour l'organe de direction mais ne crée aucun poste, et le mot RSSI n'apparaît pas non plus dans ISO 27001. Les deux exigent un responsable nommément désigné, pas un recrutement.
La cybersécurité doit-elle être confiée au responsable informatique ?
C'est l'arrangement le plus courant, et il échoue sur l'indépendance : la personne qui exploite l'infrastructure finit par juger si elle est suffisamment protégée et lesquels de ses propres constats accepter. Les décisions sur les fournisseurs, les contrats, la formation et l'accès physique dépassent aussi la légitimité d'un responsable informatique.
Combien de temps demande la responsabilité de la sécurité dans une petite entreprise ?
Dans une entreprise de quarante à cent cinquante personnes, environ un à deux jours de décision par mois, pendant que l'outillage produit en continu les faits sous-jacents. Ce n'est pas un temps plein, mais cela ne survit pas au rang de dixième priorité de tout le monde.
Quand un vCISO se justifie-t-il pour une PME ?
Quand l'entreprise a besoin d'un responsable indépendant avant de savoir quel profil sécurité recruter. Un vCISO intervient quelques jours par mois plutôt que contre un salaire, et démarre en quelques jours plutôt qu'en quelques trimestres. La détection doit toujours venir de l'outillage, car un responsable à temps partiel ne peut pas être celui qui remarque un problème à vingt-deux heures.
