RSSI et DSI : où passe la ligne, et pourquoi elle se déplace

Dans beaucoup d’organisations, le RSSI est rattaché au DSI. C’est la configuration la plus répandue, et celle qui pose le plus de problèmes structurels — non pas par mauvaise volonté, mais par construction.

Le conflit d’objectifs

Un DSI est évalué sur la disponibilité, les délais et les coûts. Un RSSI est évalué sur la réduction du risque, ce qui suppose parfois de retarder une mise en production, d’imposer une contrainte ou d’arrêter un service.

Quand le second dépend hiérarchiquement du premier, l’arbitrage est joué d’avance. Ce n’est pas une question de personnes : personne n’arbitre durablement contre les objectifs de celui qui l’évalue.

C’est aussi pourquoi un dispositif où le sujet ne remonte jamais au-dessus de la DSI est difficilement compatible avec l’article 20 de NIS 2, qui place la responsabilité au niveau de l’organe de direction.

Ce qui relève clairement du RSSI

• La politique de sécurité et le corpus documentaire.
• L’analyse de risques et la proposition d’arbitrages.
• La conformité réglementaire et la relation avec les autorités.
• La sensibilisation.
• Le pilotage des audits et des contrôles indépendants.
• La préparation et l’animation de la gestion de crise.
• Le reporting au comité sécurité.

Ce qui relève clairement de la DSI

• L’exploitation des équipements de sécurité.
• L’application des correctifs et la gestion des changements.
• L’administration des identités et des habilitations.
• Les sauvegardes et leur exécution.
• L’architecture technique, dans le cadre défini avec le RSSI.

Le principe : le RSSI définit l’exigence et vérifie, la DSI met en œuvre. Un RSSI qui administre les équipements devient juge et partie — exactement le reproche inverse.

Les zones réellement disputées

La détection. Le centre opérationnel dépend-il du RSSI ou de la production ? Les deux modèles existent. Ce qui compte : que la décision d’isolement soit tranchée à l’avance, avec un mandat écrit — voir ce que la détection ne fait pas.

Les habilitations. La DSI exécute, mais qui valide ? La revue périodique doit impliquer les métiers, sous animation du RSSI.

Les projets. Le RSSI doit-il valider chaque mise en production ? Un droit de veto systématique le transforme en goulot d’étranglement et en ennemi. Un avis motivé, tracé, avec escalade en cas de désaccord, fonctionne mieux.

Les rattachements qui fonctionnent

À la direction générale — le plus efficace pour l’arbitrage, mais suppose un dirigeant disponible sur le sujet.

À la direction des risques ou de la conformité — cohérent dans les organisations qui en disposent, et naturel pour les secteurs régulés.

Au secrétariat général — pragmatique dans les structures moyennes.

Ce qui compte davantage que l’organigramme : un accès direct et régulier à l’instance qui décide, et la capacité de faire inscrire un sujet à son ordre du jour sans filtre.

Le cas des structures moyennes

En dessous d’une certaine taille, la séparation complète est un luxe. Le compromis praticable : une personne assure la fonction, avec un regard extérieur périodique — audit indépendant, ou RSSI à temps partagé qui apporte la distance que l’interne ne peut pas avoir.

Le signal qui ne trompe pas

Demandez quand le RSSI s’est opposé pour la dernière fois à une décision de la DSI, et ce qui s’est passé.

Si la réponse est « jamais », la fonction est décorative. Si la réponse est « souvent, et il perd toujours », le rattachement est mauvais. Si la réponse est « rarement, et l’arbitrage est remonté », le dispositif fonctionne.

Sources

• Directive (UE) 2022/2555 (NIS 2), article 20
• ISO/IEC 27001:2022, clauses 5.1 et 5.3 — leadership, rôles et responsabilités
• ANSSI — guides d’organisation de la fonction sécurité

Aller plus loin

Nous accompagnons la définition de ces périmètres en gouvernance, risques et conformité, et nos consultants interviennent en régie sur ces fonctions.