DSI le jour, RSSI la nuit : les responsables IT des PME contraints de cumuler les rôles
Sous la pression de réglementations comme la directive NIS 2, les PME et ETI demandent à leur DSI d’accomplir des missions de cybersécurité, faute de moyens financiers suffisants pour recruter un RSSI.
La cybersécurité devient une priorité croissante pour les DSI. De plus en plus de professionnels se forment dans ce domaine pour rester compétitifs. David Wijnker, DSI externe chez Finaxim, témoigne : « Je suis DSI à temps partagé depuis quatre ans et j’interviens auprès de PME et d’ETI. J’ai commencé à traiter des sujets de cybersécurité lors d’une mission de DSI, il y a trois ans, à la demande d’un client. Je me suis ensuite formé à la cybersécurité, notamment en suivant des certifications comme ISO 27001. » Cette évolution est due à la demande croissante des entreprises, qui cherchent à gérer le risque cyber sans les ressources nécessaires pour embaucher un RSSI.
Une mutualisation contrainte
Les attentes des clients évoluent. Stéphane Atlani, également RSSI externe, explique que « les clients demandent de plus en plus de compétences de RSSI ». Les missions incluent désormais des vérifications de sécurité des systèmes d’information. Cette tendance s’est accentuée avec l’émergence de réglementations telles que la directive NIS 2, qui impose à plus de 15 000 PME et leurs fournisseurs d’améliorer leur niveau de cybersécurité.
Eva Nabusset, directrice du cabinet de recrutement Rehackt, souligne que « depuis 2022, les entreprises sont en marche forcée vers la cybersécurité ». Les PME et ETI manquent souvent de budget pour recruter un RSSI, ce qui pousse les DSI à assumer ces responsabilités. David Wijnker installe désormais des dispositifs de sécurité chez ses clients, tout en exerçant ses fonctions de DSI.
Vers une fusion risquée
Les fonctions de DSI et RSSI semblent vouées à fusionner. Hubert Loiseau, ancien RSSI devenu DSI, affirme qu’il y a « une fusion naturelle » dans les métiers de l’IT. Cependant, cette double casquette pose des questions de risque. La gestion de la stratégie informatique et l’évaluation de la sécurité dans une seule fonction peut mener à des évaluations biaisées des projets. Hubert Loiseau conclut que, dans les petites structures, il est souvent préférable de réunir les fonctions plutôt que de se contenter d’un DSI sans expertise en cybersécurité.
Source : JDN
