À la date du 12 octobre 2026, la directive NIS 2 n'est pas transposée en France. Le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, devait être examiné par l'Assemblée nationale les 7 et 9 octobre. La conférence des présidents l'a retiré de l'ordre du jour le 6 octobre. Le rapporteur, Éric Bothorel, espère une nouvelle inscription sous quinze jours à trois semaines.

Faut-il en conclure que le sujet peut attendre ? Non, pour deux raisons qui ne dépendent pas du Parlement. Le texte européen place la direction de l'entreprise au centre : les organes de direction approuvent les mesures de cybersécurité, en contrôlent la mise en œuvre et peuvent être tenus responsables des manquements. Et le marché des responsables de la sécurité des systèmes d'information, les RSSI, ne suit pas le calendrier législatif : il est rare, mobile et sous tension.

Cet article répond à la question que se posent présidents, PDG, directeurs financiers, DRH de groupe et fonds : quel RSSI, rattaché à qui, et à quel moment le recruter ou le renforcer. Il est écrit par Sam Lozinguez, Partner Tech & IA de Laroze Partners, cabinet d'executive search pour dirigeants tech et IA. Le recrutement n'y est que la conséquence d'une décision de gouvernance. Cet article n'est pas un avis juridique.

Définition. RSSI (responsable de la sécurité des systèmes d'information), ou CISO en anglais : dirigeant chargé de définir et de faire appliquer la politique de sécurité des systèmes d'information de l'entreprise et d'en rendre compte à la direction. NIS 2 : directive européenne 2022/2555 sur la sécurité des réseaux et des systèmes d'information, qui étend à de nombreux secteurs des obligations de gestion du risque cyber et de notification des incidents.

Les chiffres à connaître

Pourquoi ce sujet s'impose maintenant

Trois faits datés rendent la question urgente, malgré le report.

Le report ne supprime pas l'échéance, il la rend incertaine. La directive devait être transposée le 17 octobre 2024. Le texte français est bloqué sur un point précis, l'article 16 bis, qui porte sur le chiffrement et sur l'interdiction d'affaiblir volontairement la sécurité. Le rapporteur espère une réinscription rapide. Les entités concernées ne connaîtront leurs obligations exactes qu'à la publication de la loi, et les délais de mise en conformité courront ensuite.

L'ANSSI demande de ne pas attendre. Son directeur général, Vincent Strubel, a invité les entités à commencer sans attendre la loi. L'agence a publié en mars 2026, en version bêta, le référentiel ReCyF, qui liste les mesures qu'elle recommande pour atteindre les objectifs de NIS 2. Un dirigeant qui attend la loi pour commencer prendra du retard sur ses pairs.

La menace ne marque pas de pause. Selon le CESIN, 40 % des entreprises françaises ont subi au moins une cyberattaque significative dans l'année écoulée. L'ANSSI a traité 1 366 incidents confirmés en 2025, un niveau stable par rapport à 2024, et 196 vols de données contre 130.

Trois lectures fausses circulent.

« Pas de loi, pas de sujet. » Les régimes existants s'appliquent déjà, selon l'activité : le règlement DORA pour les entités financières depuis le 17 janvier 2025, le RGPD, les obligations de notification. Et les clients, les assureurs et les investisseurs posent déjà les questions que la loi posera.

« C'est le sujet du RSSI. » C'est d'abord celui de la direction. Le texte européen demande à l'organe de direction d'approuver et de contrôler. Un RSSI sans soutien du comité exécutif porte une responsabilité qu'il ne peut pas exercer.

« NIS 2 ne concerne que les grands groupes. » L'ANSSI indique que le texte vise des entités allant de la PME aux groupes du CAC 40, selon leur taille et leur secteur. Les seuils publiés par l'ANSSI distinguent les entités essentielles (en général à partir de 250 salariés, ou 50 M€ de chiffre d'affaires et 43 M€ de bilan) et les entités importantes (à partir de 50 salariés ou 10 M€).

Ce que NIS 2 dit des dirigeants

Le texte européen est la base à partir de laquelle la loi française sera écrite. Il ne décrit pas encore le droit français, qui pourra préciser ou adapter. Trois dispositions concernent directement la direction.

1. Article 20, gouvernance. Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques de cybersécurité, en supervisent la mise en œuvre et peuvent être tenus responsables des manquements. Leurs membres doivent suivre une formation pour être en mesure d'évaluer les risques et les pratiques.

2. Article 32, mesures de supervision. Pour les entités essentielles, lorsque les premières mesures n'ont pas suffi, l'autorité peut demander aux instances compétentes d'interdire temporairement à une personne exerçant des responsabilités de direction de niveau directeur général ou représentant légal d'exercer ses fonctions dans l'entité, jusqu'à la correction des manquements.

3. Article 34, amendes administratives. Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes.

Ce cadre ne fait pas du dirigeant un responsable automatique. Il fait de la cybersécurité un sujet qu'il doit pouvoir démontrer avoir approuvé, contrôlé et compris. La preuve passe par un interlocuteur capable d'en rendre compte au comité exécutif : le RSSI.

Trois visages du RSSI

Le mot « RSSI » recouvre trois métiers. Le conseil doit savoir lequel il cherche.

Selon l'étude IANS de janvier 2026, auprès de 662 RSSI, le niveau dirigeant est désormais le plus fréquent, et il progresse dans les grandes entreprises (47 % en 2025, contre 33 % en 2023). Les RSSI de ce niveau se rattachent plus souvent en dehors de la DSI. Globalement, 64 % rapportent à la DSI et 36 % à des responsables métier : PDG, directeur des opérations, directeur juridique ou directeur des risques. La source ne précise pas la répartition géographique de l'échantillon.

Le rattachement : qui peut dire non, qui peut donner raison

Le rattachement dit ce que l'entreprise attend du RSSI. Rattaché à la DSI, il arbitre entre la sécurité et la livraison du service, avec un supérieur qui a lui-même des objectifs de délai. Rattaché à la direction générale, il arbitre entre la sécurité et la stratégie, avec un supérieur qui assume la responsabilité devant le conseil.

Aucun rattachement n'est parfait. Le critère utile est l'accès : le RSSI doit pouvoir porter un désaccord devant le comité exécutif et le comité d'audit, sans passer par un filtre. Une entité soumise à NIS 2 en a besoin pour démontrer que l'organe de direction a bien exercé sa supervision.

Un marché rare et mobile

Deux chiffres décrivent les conditions de la recherche.

Selon IANS, près de 7 RSSI sur 10 se disent ouverts à un changement de poste dans l'année, et 52 % estiment que leur périmètre n'est plus entièrement gérable. Les dirigeants en poste sont donc à la fois sollicités et sous tension. Selon ISC2, 88 % des répondants indiquent que leur organisation a subi au moins une conséquence significative liée à un déficit de compétences, et seulement un tiers disent prioriser la cybersécurité comme fonction critique de l'entreprise.

Pour une entreprise qui cherche un RSSI, la conséquence est simple : les profils pertinents sont presque tous en poste, sollicités et peu enclins à répondre à une annonce. La discrétion est une condition de la conversation. L'approche directe auprès de dirigeants en fonction est le seul moyen d'accéder aux meilleurs, et la contre-proposition de leur employeur actuel est à anticiper.

Nous ne publions pas de fourchette de rémunération : aucune source publique fiable ne couvre ce marché en France à ce niveau de poste.

Éditeurs, ESN, cloud et data centers : une double exposition

Les entreprises technologiques sont dans une position particulière. La directive vise explicitement les fournisseurs de services d'informatique en nuage, de centres de données et de services gérés aux entreprises. Un éditeur, une ESN ou un hébergeur peut donc être à la fois une entité régulée et le prestataire d'autres entités régulées, qui lui demanderont des garanties contractuelles.

Pour le dirigeant d'un tel groupe, la sécurité devient un argument de vente et une condition d'accès au marché. Le profil de RSSI recherché est alors celui du dirigeant : capable de parler à un client, à un régulateur et au conseil. C'est un cas où le recrutement d'un RSSI touche directement le chiffre d'affaires.

Entreprises détenues par un fonds ou en phase de levée

Pour une entreprise détenue par un fonds, ou qui prépare une levée ou une cession, la cybersécurité devient une question de valeur. Dans notre lecture, issue d'échanges avec des investisseurs, un acquéreur ou un nouvel actionnaire demande de plus en plus qui répond du sujet, à quel niveau, et avec quels moyens. Un RSSI en poste, rattaché au bon niveau et capable de rendre compte, est un élément du dossier au même titre que le directeur financier. À l'inverse, une fonction vacante ou sous-dimensionnée au moment d'une opération est une fragilité visible. Le fonds a intérêt à poser la question du RSSI dans le plan de création de valeur, et non dans la précipitation d'une due diligence.

Fintech et secteur financier : DORA est déjà là

Dans la finance, le règlement DORA (UE) 2022/2554 s'applique aux entités financières de l'Union depuis le 17 janvier 2025. Il impose une gouvernance du risque numérique, la gestion des incidents, des tests de résilience et le suivi des prestataires technologiques. Pour une banque, un assureur, une société de gestion ou un établissement de paiement, la question n'est pas de savoir si les obligations arrivent, mais si la direction sait en rendre compte. Le RSSI de gouvernance et de risque est le profil qui répond à ce besoin.

Ce que cela exige des fonctions de direction

Deux lignes demandent un développement.

Le directeur financier et le comité d'audit. Ils sont les premiers à voir un arbitrage de budget. Selon le CESIN, 34 % des entreprises augmentent leur budget cyber, 51 % le maintiennent et 15 % le diminuent. Un budget stable dans un contexte où les obligations augmentent est une décision de fait. Elle doit être prise en connaissance de cause et tracée.

Le DRH. Un RSSI très sollicité est un risque de départ. Selon IANS, 52 % estiment leur périmètre plus entièrement gérable. Alléger un périmètre, renforcer une équipe, rattacher le poste à un niveau qui permet d'arbitrer sont des décisions que le DRH peut porter avant qu'un départ n'impose une recherche en urgence.

Sept décisions à prendre avant que la loi soit votée

1. Désigner un dirigeant référent au comité exécutif, qui répond du sujet devant le conseil.

2. Cartographier le périmètre : savoir si l'on est entité essentielle, importante ou prestataire d'entités régulées.

3. Lire le référentiel ReCyF de l'ANSSI et mesurer l'écart avec l'existant.

4. Planifier la formation des dirigeants, que l'article 20 prévoit pour les organes de direction.

5. Fixer le rattachement du RSSI et lui garantir un accès direct au comité exécutif et au comité d'audit.

6. Préparer la succession et la rétention du RSSI et de son adjoint.

7. Décider, si le poste est vacant ou sous-dimensionné, du profil recherché : opérationnel, gouvernance et risque, ou dirigeant.

Les erreurs fréquentes

Attendre la loi pour commencer. L'ANSSI le déconseille. Les régimes existants et les exigences des clients courent déjà.

Confondre conformité et protection. Une entité peut cocher des cases sans être protégée. Le comité exécutif doit demander des preuves de capacité de réponse, pas seulement de politique.

Recruter un RSSI sans cadrer le rattachement. Un profil de dirigeant placé sous un directeur qui ne lui laisse pas l'accès au comité exécutif se démobilise en quelques mois.

Rechercher un super-héros. Opérationnel, gouvernance et dirigeant ne s'incarnent que rarement dans la même personne. Le conseil doit choisir un profil dominant et compléter l'équipe.

Sous-estimer la mobilité du marché. Près de 7 RSSI sur 10 se disent ouverts à un départ. Un plan de rétention vaut mieux qu'une recherche en urgence.

Oublier la formation de la direction. La directive la prévoit. Un dirigeant qui ne peut pas expliquer les décisions de sécurité qu'il a approuvées n'a pas rempli son rôle.

Comment évaluer un RSSI

1. Quel incident a-t-il géré de bout en bout, et qu'a-t-il décidé quand l'information était incomplète ? La réponse distingue le gestionnaire du dirigeant de crise.

1. Comment a-t-il présenté le risque cyber à un comité exécutif ou à un conseil ? Il doit parler en décisions, en arbitrages et en coûts, pas en vulnérabilités.

1. Quel désaccord a-t-il eu avec un directeur métier ou technique, et comment s'est-il résolu ? Un récit sans désaccord est suspect. Un récit de désaccord résolu révèle un dirigeant.

1. Comment a-t-il construit et retenu une équipe dans un marché où les profils sont rares ? La réponse dit s'il a compris que sa fonction repose sur des personnes.

1. Quelle part de son temps consacre-t-il à rendre compte à la direction ? Un RSSI de gouvernance ou dirigeant doit pouvoir en parler précisément.

Comment se déroule un recrutement de RSSI

1. Cadrer le profil avec la direction : opérationnel, gouvernance et risque, ou dirigeant, et le rattachement.

2. Cartographier les dirigeants en poste par approche directe et en toute confidentialité.

3. Conduire des entretiens de trajectoire centrés sur les incidents gérés et les arbitrages portés.

4. Croiser les références auprès de dirigeants, de présidents ou de membres de comités d'audit qui ont vu le candidat en situation.

5. Préparer l'intégration avec le directeur des systèmes d'information, le directeur financier et le DRH.

Chez Laroze Partners, les recherches de dirigeants tech, IA et cybersécurité sont conduites par Sam Lozinguez, Partner Tech & IA.

Questions fréquentes

La directive NIS 2 est-elle applicable en France en 2026 ?

Pas encore. Le délai de transposition était fixé au 17 octobre 2024. Le projet de loi de résilience, adopté par le Sénat le 12 mars 2025, a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, avec un espoir de réinscription sous quinze jours à trois semaines. Les obligations nouvelles ne s'appliqueront qu'après la publication de la loi.

Le dirigeant est-il personnellement responsable avec NIS 2 ?

Le texte européen prévoit que les organes de direction approuvent et supervisent les mesures de cybersécurité et peuvent être tenus responsables des manquements. Pour les entités essentielles, il prévoit aussi la possibilité de demander l'interdiction temporaire d'exercer des fonctions de direction. La forme exacte en droit français sera fixée par la loi. Un avis juridique est nécessaire pour chaque situation.

Combien d'entités sont concernées par NIS 2 en France ?

L'ANSSI parle de plusieurs milliers d'entités réparties sur 18 secteurs, des PME aux groupes du CAC 40. Plusieurs sources citent des chiffres plus précis, qui diffèrent. Nous ne retenons que la formulation de l'ANSSI.

À qui doit être rattaché le RSSI ?

Cela dépend du profil. Selon IANS (janvier 2026), 64 % des RSSI rapportent à la DSI et 36 % à un responsable métier : PDG, directeur des opérations, directeur juridique ou directeur des risques. Les RSSI de niveau dirigeant se rattachent plus souvent en dehors de la DSI. L'essentiel est qu'il ait un accès direct au comité exécutif et au comité d'audit.

Quelle différence entre un RSSI et un CISO ?

Aucune quant à la fonction. RSSI est le titre français, CISO (Chief Information Security Officer) le titre anglais. Les entreprises les utilisent indifféremment. Ce qui varie, c'est le niveau du poste : opérationnel, gouvernance et risque, ou dirigeant.

Comment recruter un RSSI ?

En trois temps : cadrer le profil et le rattachement avec la direction, mener une approche directe et confidentielle auprès de RSSI en poste, puis croiser les références auprès de dirigeants qui les ont vus décider. Un cabinet d'executive search spécialisé en dirigeants tech et cybersécurité intervient après le cadrage, pour accéder à des profils qui ne répondent pas aux annonces.

Quel est le salaire d'un RSSI ?

Nous ne publions pas de fourchette, faute de source publique fiable pour ce niveau de poste en France. La rémunération dépend du profil, du rattachement, de la taille de l'entreprise et du secteur.

Ce qu'il faut retenir

• La loi française de transposition de NIS 2 est de nouveau repoussée (6 octobre 2026), mais la direction est déjà au centre du texte européen.

• Le RSSI recouvre trois métiers : opérationnel, gouvernance et risque, dirigeant.

• 64 % des RSSI rapportent à la DSI, 36 % ailleurs : le rattachement dit ce que l'on attend d'eux.

• Près de 7 RSSI sur 10 sont ouverts à un changement de poste, 52 % estiment leur périmètre plus entièrement gérable (IANS, janvier 2026).

• Les éditeurs, ESN et hébergeurs sont en double exposition : entités régulées et prestataires d'entités régulées.

Le point de vue de Laroze Partners

Nous voyons la question du RSSI posée trop tard, au moment où un incident ou un texte l'impose. C'est une question de gouvernance qui se termine par un recrutement. Quand la direction a choisi un profil, assumé un rattachement et suivi une formation, la recherche est simple à formuler et le choix se fait sur des décisions passées. Quand rien de cela n'est tranché, aucun RSSI, si remarquable soit-il, ne peut remplir son rôle.

Le Laroze Pattern®, notre méthode de lecture stratégique des trajectoires, des comportements de leadership et des dynamiques de performance, nous sert ici à regarder comment un responsable de la sécurité a décidé quand l'information manquait, comment il a traversé un désaccord avec un directeur métier, et comment il a retenu une équipe sous tension. Ce sont des moments de trajectoire.

Les entreprises qui aborderont la loi sereinement ne seront pas celles qui auront le plus de politiques écrites. Ce seront celles dont la direction aura décidé, avant la loi, qui répond de la sécurité devant elle.

Sources

Directive (UE) 2022/2555 (NIS 2), articles 20, 32 et 34 · ANSSI, MesServicesCyber (périmètre, entités essentielles et importantes) et ReCyF, mars 2026 · Leto Legal, « NIS 2 : l'Assemblée nationale reporte de nouveau l'examen », 6 octobre 2026 · Next, « NIS 2 : l'ANSSI publie son ReCyf », 19 mars 2026 · CESIN, baromètre 2026, 29 janvier 2026 · ANSSI, panorama de la cybermenace 2025, 11 mars 2026, relayé par Le Monde Informatique · IANS Research, 2026 State of the CISO Benchmark Report, 15 janvier 2026 · ISC2, Cybersecurity Workforce Study 2025, 4 décembre 2025 · Règlement (UE) 2022/2554 (DORA).