Gouvernance & Politique SSICe qu’exigent NIS 2, DORA, ISO 27001 et HDS
La cybersécurité ne se résume pas à des outils techniques. Selon l’ANSSI, une part significative des incidents traités en France trouve son origine dans des défauts d’organisation et de gouvernance, bien avant toute faille logicielle ou matérielle. C’est précisément là qu’intervient la gouvernance SSI : un cadre structurant qui définit qui décide, qui agit, et selon quelles règles, au sein de votre organisation.
Qu’est-ce que la gouvernance SSI ?
Au cœur de cette gouvernance se trouve la Politique de Sécurité des Systèmes d’Information (PSSI), document stratégique approuvé par la direction, qui fixe les orientations, les responsabilités et les règles applicables à l’ensemble du système d’information. Depuis la transposition de la directive NIS 2 en France en octobre 2024 et la publication du Référentiel Cyber France (ReCyF) par l’ANSSI en mars 2026, la PSSI est devenue un prérequis obligatoire pour les entités soumises à ces nouvelles obligations réglementaires.
DSI, RSSI, membres de la direction générale ou responsables conformité : cette page vous présente les exigences clés d’une gouvernance SSI solide, son articulation avec les grands référentiels (ISO 27001, NIS 2, RGPD, DORA, HDS, PCI DSS…) et les étapes concrètes pour la mettre en œuvre efficacement au sein de votre organisation.
La gouvernance SSI désigne l’ensemble des processus, des structures organisationnelles et des mécanismes de pilotage qui permettent à une organisation de définir, mettre en œuvre, surveiller et améliorer en continu sa sécurité des systèmes d’information. Elle ne se limite pas à la rédaction d’un document : c’est un dispositif vivant, ancré dans la stratégie de l’entreprise, qui engage aussi bien la direction que les équipes opérationnelles.
Concrètement, une gouvernance SSI bien structurée répond à trois questions fondamentales :
- Qui est responsable ? Définition claire des rôles (RSSI, DPO, direction, métiers)
- Quelles sont les règles ? Formalisation des politiques, procédures et exigences de sécurité
- Comment piloter ? Mise en place d’indicateurs, de reporting et de revues périodiques
La PSSI : pierre angulaire de la gouvernance SSI
La Politique de Sécurité des Systèmes d’Information (PSSI) est le document central de toute démarche de gouvernance SSI. Elle formalise les orientations stratégiques de l’organisation en matière de sécurité de l’information et définit les objectifs, les principes directeurs, les responsabilités et les exigences minimales applicables à l’ensemble du système d’information.
Selon les recommandations de l’ANSSI, une PSSI efficace doit couvrir au minimum les dimensions suivantes :
- La gouvernance et l’organisation de la sécurité
- La classification et la protection des actifs informationnels
- Le contrôle des accès et la gestion des identités
- La gestion des incidents de sécurité
- La continuité d’activité
- La sensibilisation et la formation des collaborateurs
- La conformité réglementaire
Pour avoir une valeur juridique et opérationnelle, la PSSI doit être validée et signée par la direction générale ou le COMEX. Elle doit également être révisée au minimum une fois par an, ou à chaque changement majeur dans l’organisation ou son environnement réglementaire.
Quel est le rôle du RSSI dans la gouvernance SSI ?
Le Responsable de la Sécurité des Systèmes d’Information (RSSI) est l’acteur central de la gouvernance SSI. Ses missions couvrent un périmètre large :
- Rédiger et maintenir la PSSI en cohérence avec les enjeux métiers et réglementaires
- Conduire l’analyse des risques (selon des méthodologies reconnues comme EBIOS Risk Manager)
- Piloter les plans d’action et suivre les indicateurs de sécurité
- Conseiller la direction et rendre compte régulièrement de l’état de la sécurité
- Coordonner la réponse aux incidents et superviser les audits internes
Selon le niveau de maturité et la taille de l’organisation, le RSSI peut être un collaborateur interne, un RSSI en délégation (externalisé), ou un référent sécurité désigné au sein de la DSI.
Les points de contrôle communs
Mettre en place une PSSI ne s’improvise pas. Voici les cinq exigences fondamentales à respecter pour qu’elle soit réellement opérationnelle et conforme aux standards reconnus.
Une PSSI formalisée et validée par la direction
La PSSI ne peut pas être un document uniquement porté par l’équipe IT. Elle doit refléter les prises de position du haut management en matière de cybersécurité. Sans engagement formel de la direction, la PSSI perd sa légitimité et son applicabilité. La norme ISO/IEC 27001:2022 (clause 5.2) impose explicitement que la direction établisse une politique adaptée à la finalité de l’organisation, documentée, diffusée et accessible à toutes les parties concernées.
La désignation d’un RSSI ou référent cybersécurité
Toute organisation doit identifier un responsable clairement désigné pour piloter la sécurité des systèmes d’information. Ce rôle peut être assuré par un RSSI à temps plein, un RSSI externalisé ou un référent sécurité selon la taille de la structure. La directive NIS 2 renforce cette exigence en imposant que les organes de direction soient directement impliqués dans la supervision des mesures de cybersécurité.
L’implication et la formation des organes de direction
L’article 20 de la directive NIS 2 constitue une avancée majeure : il engage la responsabilité personnelle des dirigeants en matière de cybersécurité. Les membres de la direction doivent désormais :
- Approuver formellement les politiques de cybersécurité
- Superviser leur mise en œuvre
- Suivre une formation adaptée aux risques cyber
- Valider le budget et le plan d’actions cybersécurité
En cas de manquement, les sanctions peuvent atteindre jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
Des indicateurs de pilotage et un reporting régulier
Une gouvernance SSI efficace ne se limite pas à la rédaction de documents. Elle s’appuie sur un système de mesure et de pilotage continu :
- Tableaux de bord sécurité à destination de la direction
- Suivi des plans d’action et des non-conformités
- Indicateurs de maturité et d’exposition aux risques
- Reporting régulier au COMEX ou au conseil d’administration
Une revue annuelle de la PSSI et du dispositif SSI
La PSSI n’est pas un document figé. Elle doit évoluer avec le niveau de maturité cyber de l’organisation, les évolutions technologiques et les nouvelles menaces. La norme ISO 27001:2022 (clause 9.3) impose une révision annuelle formelle, intégrée à la revue de direction du Système de Management de la Sécurité de l’Information (SMSI).
Ce qu’en disent les référentiels
L’un des atouts majeurs d’une gouvernance SSI bien structurée est sa capacité à répondre simultanément à plusieurs obligations réglementaires. En travaillant une seule fois sur les mesures de gouvernance, notamment via ISO 27001, vous progressez en même temps sur l’ensemble de vos obligations.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 12 du standard PCI DSS v4 porte spécifiquement sur la politique de sécurité de l’information. Elle couvre explicitement les exigences de gouvernance SSI pour les organisations traitant des données de cartes de paiement.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les clauses 5 et 6, complétées par le contrôle A.7.2.1 relatif aux rôles privacy, intègrent explicitement les exigences de gouvernance SSI dans une dimension protection des données personnelles.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les clauses 5, 6 et 9 du SMSI, ainsi que les contrôles A.5.1, A.5.2 et A.5.4, couvrent explicitement les exigences de gouvernance SSI. C’est le référentiel de référence pour structurer l’ensemble de votre démarche.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel d’Hébergeur de Données de Santé (HDS) consacre un chapitre entier à la gouvernance de la sécurité. Une PSSI conforme aux recommandations de l’ANSSI y répond de manière explicite.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale (OIV) imposent une PSSI-SIIV formalisée. La gouvernance SSI y est une exigence explicite et non négociable.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORAL’article 5 encadre la gouvernance du risque TIC au niveau des organes de direction, et l’article 6 définit le cadre de gestion des risques TIC. Ces deux exigences sont explicitement couvertes par une gouvernance SSI formalisée.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(a) impose la formalisation d’une politique de sécurité des systèmes d’information, tandis que l’article 20 engage explicitement la responsabilité personnelle des dirigeants dans la supervision des mesures de cybersécurité.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC1 (Control Environment) du référentiel SOC 2 évalue la gouvernance et l’environnement de contrôle de l’organisation. Une gouvernance SSI documentée y répond de façon explicite.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDLes articles 24 (responsabilité du responsable de traitement) et 37 à 39 (obligations liées au DPO) impliquent partiellement les exigences de gouvernance SSI, notamment sur la désignation des rôles et la formalisation des responsabilités.
Gouvernance & Politique SSI en 4 questions
Qu’est-ce qu’une PSSI ?
La PSSI (Politique de Sécurité des Systèmes d’Information) est un document stratégique qui définit les règles, les responsabilités et les objectifs de sécurité d’une organisation en matière de protection de son système d’information. Elle doit être validée par la direction, diffusée à l’ensemble des collaborateurs et révisée régulièrement.
Qui est responsable de la gouvernance SSI dans une entreprise ?
La gouvernance SSI est une responsabilité partagée. Le RSSI en est le pilote opérationnel, mais la direction générale en est le garant stratégique. Depuis la directive NIS 2, les organes de direction sont personnellement responsables de l’approbation et de la supervision des politiques de cybersécurité.
Quelles sont les exigences de la PSSI selon l’ANSSI ?
L’ANSSI recommande que la PSSI couvre au minimum sept dimensions : gouvernance, classification des actifs, contrôle d’accès, gestion des incidents, continuité d’activité, sensibilisation et conformité réglementaire. Elle doit être élaborée selon une méthodologie structurée, impliquant toutes les parties prenantes de l’organisation.
Quelle est la différence entre PSSI et SMSI ?
La PSSI est un document qui formalise les orientations et les règles de sécurité. Le SMSI (Système de Management de la Sécurité de l’Information) est le dispositif global qui encadre la mise en œuvre, le pilotage et l’amélioration continue de la sécurité de l’information au sein de l’organisation. La PSSI est l’un des éléments constitutifs du SMSI, tel que défini par la norme ISO 27001.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
