vCISO et responsable externe de la sécurité de l'information

Le responsable de la sécurité de l'information (ISB) est le rôle établi dans l'espace germanophone selon la méthode BSI IT-Grundschutz – l'équivalent du RSSI : il pilote et coordonne le processus de sécurité, assiste la direction pour la politique de sécurité, coordonne l'élaboration du concept de sécurité, examine les incidents de sécurité et rend compte directement à la direction générale (standard BSI 200-2, chapitre 4.4). Le standard du BSI cite Chief Information Security Officer (CISO) et Information Security Manager (ISM) comme titres alternatifs fréquents du même rôle ; dans l'usage international, CISO désigne en outre souvent un rôle de direction stratégique avec responsabilité sur la stratégie de sécurité, le budget et l'organisation, souvent avec sa propre équipe et un rattachement direct à la direction générale. En pratique, les deux profils se recoupent largement ; dans les organisations plus petites, une même personne assume souvent les deux perspectives. L'essentiel n'est pas le titre, mais l'attribution claire des missions, des pouvoirs et des lignes de reporting.

ISO/IEC 27001:2022 exige au chapitre 5.3 que la direction générale attribue et communique les responsabilités et autorités des rôles liés à la sécurité – en particulier pour la conformité du SMSI à la norme et pour le reporting de sa performance à la direction générale ; la mesure 5.2 de l'annexe A demande en complément des rôles de sécurité définis. La norme ne prescrit aucun titre particulier tel que « CISO ». NIS2 (directive (UE) 2022/2555) oblige à l'Art. 20 les organes de direction des entités essentielles et importantes à approuver les mesures de gestion des risques prévues à l'Art. 21 et à superviser leur mise en œuvre ; ils peuvent être tenus responsables des violations et doivent suivre des formations. En Allemagne, le nouveau BSIG (loi de transposition de NIS2), en vigueur depuis le 6 décembre 2025, transpose ces obligations : le § 38 BSIG impose aux directions des entités particulièrement importantes et importantes de mettre en œuvre les mesures de gestion des risques, d'en surveiller la mise en œuvre et de participer régulièrement à des formations.

Le cœur du rôle est le pilotage de l'ensemble du processus de sécurité : contribution à la stratégie et à la politique de sécurité, construction et maintien du corpus documentaire ainsi que coordination du concept de sécurité. S'y ajoutent la gestion des risques (méthodologie, analyses de risques, plans d'action et leur suivi), l'initiation et la coordination des actions de sensibilisation et de formation, ainsi que l'examen des incidents de sécurité. Vis-à-vis de la direction, le rôle porte le reporting managérial – rapports d'avancement, indicateurs et contributions à la revue de direction selon ISO/IEC 27001 chapitre 9.3. À cela s'ajoutent l'accompagnement sécurité des projets et des achats ainsi que la préparation des audits internes et externes.

Le standard BSI 200-2 prévoit expressément au chapitre 4.11 de confier des rôles essentiels comme celui d'ISB à des externes qualifiés lorsqu'ils ne peuvent pas être pourvus en interne – en particulier dans les petites entreprises et les administrations, le recours à un ISB externe peut être judicieux. Les déclencheurs fréquents sont l'absence de personnel qualifié, un rôle qui ne justifie pas un poste à temps plein ou une vacance à combler à court terme. L'indépendance exigée plaide parfois aussi en ce sens : le BSI met expressément en garde contre les conflits de rôles lorsque l'ISB est intégré au service informatique et ne peut pas exercer ses missions de contrôle à l'abri de toute influence ; le cumul avec la fonction de délégué à la protection des données n'est, selon le BSI, pas sans risque et n'est défendable que si les interfaces entre les deux missions sont clairement définies. Les titulaires externes du rôle apportent en outre l'expérience de nombreuses organisations et procédures de certification. La condition : désigner un interlocuteur en interne et donner à l'externe accès aux instances, aux informations et aux circuits de décision – sans cette intégration, le rôle reste sans effet.

Trois modèles de base se sont imposés dans la pratique. Dans le modèle au forfait, le vCISO/vISB externe assume le rôle durablement avec un contingent mensuel fixe d'heures ou de jours – prévisible pour les tâches récurrentes comme la gestion des risques, le reporting et la sensibilisation, complété par des délais de réaction définis contractuellement en cas d'incident. Le modèle d'intérim comble une vacance avec une forte présence, est clairement limité dans le temps et prend fin avec le recrutement du successeur ou la passation. Les modèles projet accompagnent une initiative avec un objectif défini, par exemple la construction d'un SMSI jusqu'à la maturité de certification ; des variantes hybrides combinent la prise en charge externe du rôle avec le coaching d'une relève interne jusqu'à la passation. Quel que soit le modèle, une nomination écrite, une description du rôle et de ses interfaces, des règles de suppléance et des accords de confidentialité font partie d'une mise en œuvre propre.

Ni en interne ni en externe, la responsabilité de la sécurité de l'information ne peut être entièrement transférée : selon le standard BSI 200-2, la responsabilité globale demeure au niveau de direction le plus élevé – c'est lui qui décide du traitement des risques et alloue les ressources, même s'il délègue des tâches opérationnelles. NIS2 Art. 20 et le § 38 BSIG adressent expressément aux organes de direction eux-mêmes l'approbation, respectivement la mise en œuvre et la supervision des mesures de gestion des risques, ainsi que la participation aux formations ; le § 38 Abs. 2 BSIG y attache une responsabilité interne des dirigeants selon les règles du droit des sociétés. Un vCISO/vISB externe conseille, pilote le processus de sécurité et prépare les décisions – l'acceptation des risques, la validation de la politique et les décisions budgétaires relèvent de la direction générale elle-même. Les modèles d'intervention sérieux rendent cette répartition des tâches explicite, par exemple via des circuits d'escalade et de reporting définis et un dossier de décision documenté pour chaque risque.