EXPERTISE CYBERSÉCURITÉ · DIRECTION SSI

Recruter un RSSI / CISO en France

Analyse recrutement par Olivia Defond, OD Consulting · Mis à jour le 10 novembre 2026.

RSSI et CISO : quelle différence pour votre recrutement ? Le RSSI (responsable de la sécurité des systèmes d’information) porte la sécurité sur le périmètre qui lui est confié. Dans un groupe où les deux fonctions coexistent, le RSSI d’une filiale pilote les risques et la mise en œuvre de la politique de sécurité dans son entité. Le Group CISO (Chief Information Security Officer du groupe) définit la stratégie commune, arbitre les priorités entre entités et rend compte du risque cyber à la direction générale. Certaines entreprises confient ces deux responsabilités à une seule personne, sous le titre de RSSI groupe ou de CISO. Je vérifie donc le rattachement, le pouvoir de décision et le périmètre budgétaire avant de définir le profil à approcher.

Avant de lancer la recherche, je clarifie avec vous une décision concrète. En cas d’incident majeur, qu’attendez-vous du futur RSSI dans la première heure, et auprès de qui peut-il engager des moyens ? La réponse éclaire le niveau d’autorité, le rattachement et l’expérience à rechercher.

RSSI ou CISO : quel périmètre dans votre organisation ?

Premier RSSI d’une entreprise. Il faut établir les priorités, obtenir des moyens et travailler avec la DSI et les métiers. En entretien, je demande au candidat de raconter comment il a fait financer une mesure de sécurité alors que d’autres investissements étaient prioritaires.

RSSI de filiale. Le titulaire traduit une politique groupe en décisions locales. Je précise quels risques restent à sa main et lesquels doivent remonter au groupe. Une expérience réussie dans une structure très centralisée mérite d’être examinée si la filiale dispose de peu de support.

RSSI groupe / Group CISO. Le mandat peut inclure plusieurs équipes, pays et budgets. La capacité à obtenir un arbitrage du comité exécutif et à coordonner les responsables locaux devient un critère de sélection à part entière.

Quelle rémunération prévoir pour un RSSI ou un CISO ?

Robert Walters situe un RSSI entre 100 et 120 k€ bruts annuels à dix à quinze ans d’expérience et à partir de 120 k€ au-delà. Rehackt publie un repère de fixe de 80 à 120 k€ pour un RSSI de PME ou d’ETI et de 120 à 180 k€ pour un RSSI de grand groupe national. Pour un Group CISO, je précise le nombre de pays et de filiales, les équipes pilotées, le budget et la responsabilité en cas de crise avant de proposer une enveloppe. Le titre anglais, à lui seul, ne justifie pas une prime. Pour établir l’offre, je rapproche le mandat de l’entreprise d’un périmètre comparable, puis je chiffre le fixe, le bonus cible et les autres composantes. Grille Robert Walters · Grille Rehackt · Étude complète Île-de-France et régions.

Trois questions pour évaluer une candidature

Quel risque avez-vous recommandé d’accepter ? Je recherche le contexte métier, les alternatives proposées, la personne qui a pris la décision et la façon dont le risque a ensuite été suivi.

Comment avez-vous conduit une crise ? Je distingue les décisions personnelles du travail collectif. Je demande quelle information manquait, comment le candidat a conseillé la direction et ce qui a changé après le retour d’expérience.

Que livreriez-vous dans les trois premiers mois ? La réponse doit tenir compte de l’équipe, des incidents récents et du budget disponible. Une feuille de route crédible précise aussi les décisions dont le RSSI aura besoin de la part de la direction.

Préparer notre premier échange

Pour cadrer la recherche, apportez le rattachement envisagé, la composition de l’équipe, les priorités à douze mois et l’enveloppe de rémunération. Je pourrai alors préciser avec vous les expériences à rechercher en approche directe. Découvrir une mission de recrutement cyber · Échanger sur votre recrutement de RSSI / CISO.