Directeur cybersécurité : rôle, salaire et parcours du CISO

Qu’est-ce qu’un directeur cybersécurité ?

Le directeur cybersécurité porte la stratégie de sécurité au niveau de la direction de l’entreprise. Il ne conduit plus d’opérations : il décide de ce que l’organisation protège en priorité, avec quels moyens, et à quel niveau de risque elle accepte de fonctionner.

Le Panorama des métiers de la cybersécurité publié par l’ANSSI décrit ce profil sous l’intitulé « Directeur Cybersécurité », dans la famille « Gestion de la sécurité et pilotage des projets de sécurité ». Il retient comme équivalent anglais Executive security director, et cite parmi les titres équivalents Directeur de la sécurité en français et Group Chief Information Security Officer en anglais.

Point de repère ANSSI : ce profil rend compte à la direction générale et au comité d’audit, et un rattachement à un membre du comité exécutif est recommandé.

Les appellations rencontrées

• Directeur cybersécurité
• CISO — Chief Information Security Officer
• Group CISO, dans les organisations internationales
• Directeur de la sécurité numérique
• Directeur sécurité des systèmes d’information, selon l’organisation
• Executive security director, dans la terminologie ANSSI

RSSI ou directeur cybersécurité : une frontière qui dépend de l’organisation

C’est la question la plus posée sur ce métier, et elle appelle une réponse honnête : il n’existe pas de distinction universelle. Dans de nombreuses entreprises françaises, RSSI et CISO désignent exactement la même fonction.

Cela dit, une différence se dessine assez nettement dans les grandes organisations, et elle apparaît dans la fiche ANSSI elle-même : parmi les activités du directeur cybersécurité figure l’animation du réseau des RSSI à travers une gouvernance sécurité. Autrement dit, là où la distinction existe, le directeur cybersécurité se situe au-dessus d’un ou plusieurs RSSI.

1. Dans une PME ou une ETI

   Une seule personne porte tout : stratégie, budget, pilotage opérationnel, parfois même une part de mise en œuvre. Elle s’appelle RSSI, plus rarement directeur cybersécurité.

2. Dans un grand groupe

   Le directeur cybersécurité définit la stratégie groupe, arbitre le budget global et anime un réseau de RSSI d’entités, de filiales ou de zones géographiques, chacun responsable de son périmètre.

3. Dans une organisation internationale

   Le Group CISO porte la cohérence mondiale, avec des contraintes réglementaires différentes selon les pays, et des RSSI régionaux ou métiers qui lui rendent compte fonctionnellement.

Le bon réflexe face à une offre d’emploi : ignorer le titre et regarder trois choses — le rattachement hiérarchique, le périmètre budgétaire, et le nombre de personnes encadrées directement ou fonctionnellement.

Ses responsabilités

La fiche ANSSI structure l’activité autour de quatre temps : planifier, animer, vérifier, et rendre compte. Voici ce que cela recouvre concrètement.

1. Définir la stratégie cyber

   Établir les axes et objectifs stratégiques et les faire valider par la direction générale. Identifier les enjeux, les risques majeurs pesant sur l’organisation et les exigences de conformité légale et réglementaire.

2. Maintenir la politique de sécurité

   Définir et faire vivre la politique de sécurité des systèmes d’information, en collaboration avec les parties prenantes, et piloter la charte de sécurité informatique auprès des utilisateurs.

3. Construire la feuille de route

   Définir un plan d’actions annuel ou pluriannuel, articulé avec les capacités réelles de l’organisation plutôt qu’avec un idéal théorique.

4. Porter la politique d’investissement

   Définir une politique d’investissement au regard des objectifs de sécurité : c’est la formulation de l’ANSSI, et elle dit bien que le budget découle de la stratégie, non l’inverse.

5. Organiser la cybersécurité

   Définir l’organisation de la sécurité au sein de l’entreprise et l’animer : qui fait quoi, avec quel mandat, selon quelles instances de décision.

6. Animer le réseau des RSSI

   Faire tenir une gouvernance sécurité à l’échelle du groupe, apporter un appui méthodologique et technique aux entités, éventuellement via un catalogue de services.

7. Piloter les grandes fonctions

   SOC, CSIRT, GRC, architecture, cloud, identité, sécurité applicative, sensibilisation, gestion des fournisseurs. Le directeur ne les opère pas : il fixe le cap, les moyens et les priorités.

8. Vérifier le niveau réel de sécurité

   Évaluer le niveau de sécurité de l’organisation, notamment par des audits périodiques et des contrôles. Sans cette vérification, la stratégie reste déclarative.

9. Gérer les crises majeures

   Lors d’un incident qui dépasse le périmètre technique, il est l’interlocuteur de la direction générale et, selon l’organisation, il porte ou appuie la cellule de crise.

10. Rendre compte

    Reporting exécutif régulier auprès de la direction générale et du comité d’audit : état du risque, avancement, écarts, décisions à prendre.

11. Recruter et construire les équipes

    Dans un marché tendu, la capacité à attirer et retenir des profils rares est devenue une compétence de direction à part entière.

Parler à une direction générale : le cœur du métier

C’est la compétence qui sépare un excellent RSSI d’un directeur cybersécurité, et celle sur laquelle échouent le plus souvent les profils venant de la technique.

Un comité exécutif ne dispose pas de vingt minutes pour comprendre une vulnérabilité. Il dispose de vingt minutes pour décider. Le travail du directeur cybersécurité consiste donc à transformer une réalité technique en élément de décision.

Ce que cela donne concrètement

Un directeur cybersécurité ne dit pas : « nous avons 480 serveurs non conformes à notre référentiel de durcissement ». Il dit : « en l’état, une compromission d’un poste administrateur permettrait d’atteindre notre plateforme de facturation en moins de deux jours. Nous estimons l’arrêt de facturation à X jours d’activité. Deux options : un programme de segmentation sur dix-huit mois, ou une mesure de cloisonnement partielle en trois mois qui traite 60 % du scénario. Voici le coût de chacune. »

La compétence n’est pas de simplifier : c’est de traduire sans déformer. Un directeur qui exagère pour obtenir un budget perd sa crédibilité à la première alerte non suivie d’effet.

L’arbitrage budgétaire

Aucun directeur cybersécurité ne dispose du budget qui lui permettrait de traiter tous les risques identifiés. L’essentiel de son travail consiste à décider ce qui ne sera pas fait, et à l’assumer.

Les postes de dépense sur lesquels il arbitre sont généralement les suivants, sans qu’aucun montant ne puisse être avancé ici : la répartition varie complètement selon la taille, le secteur et la maturité de l’organisation.

• Licences et renouvellement des solutions de sécurité
• Prestataires et services managés, notamment la surveillance externalisée
• Internalisation ou externalisation du SOC et de la réponse à incident
• Recrutements et fidélisation des équipes
• Programmes pluriannuels : segmentation, identité, remédiation de dette technique
• Audits, tests d’intrusion et évaluations externes
• Sensibilisation et formation des collaborateurs
• Selon le contexte, souscription ou renouvellement d’une assurance cyber

Une difficulté propre au métier mérite d’être signalée : la sécurité produit peu de résultats visibles quand elle fonctionne. Un directeur cybersécurité doit donc savoir démontrer la valeur d’un dispositif dont le succès se mesure à l’absence d’événement — exercice sensiblement plus difficile que de justifier un investissement commercial.

Directeur cybersécurité, RSSI, Manager GRC, architecte, responsable SOC

1. Directeur cybersécurité / CISO

   Porte la stratégie, le budget global et la responsabilité devant la direction générale. Anime, le cas échéant, un réseau de RSSI. Horizon : plusieurs années.

2. RSSI

   Porte la sécurité d’un périmètre — entreprise, entité, filiale. Décide, priorise et pilote. Dans une organisation de taille moyenne, ce rôle et le précédent se confondent entièrement.

3. Manager GRC

   Structure la gouvernance, l’analyse des risques et la conformité. Produit la matière sur laquelle s’appuient les décisions du RSSI et du directeur.

4. Architecte cybersécurité

   Porte la cohérence technique de la cible et arbitre les choix de conception. Sa responsabilité est technique, pas budgétaire.

5. Responsable SOC

   Pilote un dispositif opérationnel de détection. Une brique du portefeuille dont le directeur arbitre l’ensemble.

Les qualités attendues

La fiche ANSSI cite explicitement, parmi les compétences comportementales attendues : leadership, capacité d’influence, sens de l’intérêt général, management d’équipe et capacité à travailler en transverse. Ce sont des compétences de dirigeant, pas d’expert.

• Leadership : faire adhérer des équipes et des directions qui ne dépendent pas de vous
• Capacité d’influence : obtenir sans pouvoir hiérarchique, ce qui est la situation la plus courante
• Clarté : dire l’essentiel en peu de temps, sans jargon ni dramatisation
• Sang-froid : tenir la position lors d’une crise majeure et de ses suites
• Sens politique : comprendre les équilibres internes sans y être asservi
• Courage : annoncer un risque que personne ne veut entendre, et le documenter
• Vision longue : porter des programmes dont les effets se mesurent en années
• Humilité technique : accepter que ses experts en savent plus que lui, et savoir les écouter

Comment accède-t-on à ce poste ?

Le Panorama des métiers de l’ANSSI indique une formation de niveau Bac+5 avec spécialisation en cybersécurité, et une expérience professionnelle supérieure à dix ans dans le domaine. Ces repères sont cohérents avec le marché : il n’existe pas de raccourci.

Trajectoires les plus fréquentes

Un point revient dans presque tous les parcours : avoir géré une crise réelle. Ce n’est pas une ligne de CV, c’est ce qui prouve qu’une personne sait décider sous pression, rendre compte honnêtement et assumer les suites. Beaucoup de directeurs cybersécurité situent leur bascule vers ce niveau juste après un incident majeur.

Le diplôme n’est pas une obligation légale. Ce qui est réellement examiné à ce niveau : le périmètre déjà piloté, la taille des équipes encadrées, le budget porté, et la capacité démontrée à travailler avec une direction générale.

Où exerce-t-on ce métier ?

La structuration de ces fonctions s’est accélérée avec les obligations réglementaires, notamment NIS2 et, pour les entités financières concernées, DORA. L’enquête 2025 de l’Observatoire des métiers de l’ANSSI comporte d’ailleurs une analyse complémentaire spécifiquement consacrée aux directeurs cybersécurité, signe que le profil s’est suffisamment répandu pour être étudié à part.

Avantages et contraintes du métier

• Influence réelle sur la trajectoire de l’organisation
• Vision complète, du technicien au comité exécutif
• Fonction reconnue et de plus en plus présente dans les instances de direction
• Diversité des sujets : technique, juridique, humain, financier
• Compétences rares, peu de profils réunissant expertise cyber et niveau de direction
• Passerelle possible vers la direction des risques ou une direction générale adjointe

• Responsabilité lourde, y compris lorsque les moyens accordés sont insuffisants
• Exposition personnelle forte lors d’un incident majeur
• Arbitrages permanents, donc décisions de renoncement à assumer
• Éloignement définitif de la pratique technique
• Difficulté à démontrer la valeur d’un dispositif qui réussit en silence
• Pression du marché du recrutement sur des compétences rares