Téléchargez le programme de nos formations
Téléchargez le rapport d’insertion 2026
Le RSSI (acronyme de Responsable de la Sécurité des Systèmes d’Information) est le chef d'orchestre de la sécurité du système d'information. Il définit la politique de sécurité, arbitre les risques, et s'assure que l'organisation respecte les réglementations auxquelles elle est soumise. Martin Schamelhout, Co-dirigeant et responsable pôles IT & cybersécurité chez Novicore le résume d’ailleurs bien :
Si on parle plus de stratégie avec le RSSI, lui son objectif c'est de piloter tout le système d'information. Son objectif c'est de gérer la sécurité, et de gérer aussi comment sécuriser le système d'information, comment sécuriser les données, et comment faire en sorte qu'elles ne puissent pas être accessibles facilement, vulnérables, et que aussi les différentes réglementations et directives puissent être respectées.
Martin Schamelhout, intervenant de notre table ronde « Métiers de la Cyber en 2026 ».
Le DSI dirige le système d'information, le RSSI en garantit la sécurité. Dans les grandes organisations, les deux fonctions coexistent et se répondent : l'un construit et fait tourner, l'autre protège et arbitre.
Souvent dans une entreprise il y a un DSI et un RSSI, en tout cas dans les grands comptes, et le RSSI son objectif c'est vraiment d'être le chef d'orchestre de la sécurité des systèmes d'information, tout en respectant les conformités, directives, réglementation, parce que que ce soit au niveau européen ou national il y a des réglementations justement à appliquer.
Martin Schamelhout, intervenant de notre table ronde « Métiers de la Cyber en 2026 ».
Le métier RSSI est à la croisée de la technique et du management, avec une dominante managériale. En effet, ce responsable ne met pas les mains dans la configuration au quotidien, il s'appuie sur des équipes techniques qui déploient ce qu'il a décidé. Mais il doit comprendre ce qu'il demande, sinon il ne peut ni arbitrer ni challenger :
Il va falloir avoir des ingénieurs qui vont mettre en place les bonnes pratiques de sécurité, qui vont être le relais du RSSI technique pour mettre en place tout ça.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Cette position situe le RSSI dans la famille GRC de la cybersécurité, qui allie gouvernance, risque et conformité, par opposition aux métiers offensifs et défensifs :
Blue Team et Red Team sont plutôt des métiers plus techniques, quand la GRC est plutôt plus managériale ou plus stratégique.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Il est possible de devenir RSSI lors d’une reconversion professionnelle, mais à condition d’y aller par étape, car ce métier exige de l’expérience en pilotage, ce qui vous manquera encore après votre formation.
Les postes qui mènent à la gouvernance portent rarement le nom de « RSSI junior ». Lors de vos recherches, ce sont les intitulés suivants qui doivent vous intéresser :
Autre façon d'exercer le métier, et porte d'entrée de plus pour vous, certaines organisations externalisent même entièrement cette fonction, qui prend alors le nom de RSSI de transition ou de RSSI externalisé. Elle est alors souvent portée par un cabinet pour le compte de plusieurs entreprises.
Ce chemin n'a rien d'exceptionnel en cybersécurité, où passer du terrain au pilotage est une évolution courante :
Quand j'ai commencé, j'étais plutôt dans la GRC dans un cabinet de conseil, et donc finalement ça permettait de voir beaucoup de choses différentes en termes de cybersécurité. Ce qui est important c'est qu'on peut pivoter vers d'autres métiers. De la GRC, je me retrouve maintenant à manager une équipe plutôt d'analystes cyber techniques.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Nos chiffres disent la même chose, puisque d'après notre rapport d'insertion 2026, les alumni de notre parcours Cybersécurité occupent d'abord des postes en conseil et GRC (25 %), en administration systèmes et réseaux (23 %), en analyse de menaces et opérations SOC (16 %) et en coordination opérationnelle (16 %). La gouvernance et le pilotage RSSI quant à eux représentent seulement 7 % des débouchés, et concernent plutôt les profils plus avancés dans leur parcours.
Nul besoin d’être ancien ingénieur pour devenir RSSI, d’autant que cette fonction demande surtout de la rigueur, le sens du risque et la capacité à faire dialoguer des mondes qui ne se parlent pas : la technique, le juridique et la direction. Des parcours venus du droit, de la qualité, de l'audit ou de la gestion de projet peuvent donc très bien s’en sortir ! Cela peut même être une force, selon Nicolas Caproni :
D'avoir des backgrounds un peu différents des autres, c'est une force pour certains métiers de la cyber. D'avoir une vision des fois des auditeurs techniques ou non techniques qui ont fait des études en psychologie, ou les juristes aussi, qui vont avoir une rigueur, des choses comme ça qui vont permettre d'aller dans la partie conformité à être beaucoup plus efficace.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
L’âge et le diplôme d’origine ne constituent pas non plus un frein. Pour preuve, d’après notre rapport d'insertion 2026, 36 % de nos apprenants ont 40 ans ou plus, 41 % ont entre 30 et 39 ans, et pour 11 % d’entre eux, le dernier diplôme obtenu est le bac, une preuve que la question du diplôme en cybersécurité se pose beaucoup moins que ce qu’on a tendance à croire.
Hervé avait commencé sa vie professionnelle dans l'informatique à la fin des années 1990, sur du câblage et de l'administration réseau, avant de bifurquer vers la mécanique automobile et d’y évoluer, jusqu'à devenir chef d'atelier. La fermeture de son garage lui a rouvert la porte de l'informatique :
Le garage a fermé, donc j'ai pu faire une reconversion et je voulais repartir dans l'IT. J'ai toujours gardé contact avec tous mes amis à l'époque. C'était l'opportunité de retourner vers ce que j'ai toujours aimé faire.
Hervé Bonetti, Administrateur Réseaux & Systèmes chez INSITU France, Paroles d'alumni #2.
Il a suivi notre parcours RSSI complet : la formation pour débutant d'abord, pour se remettre à niveau, puis la formation Fullstack, puis la spécialisation Lead sur les normes et la gouvernance :
J'ai fait l'Essentials, c'était pour être sûr, pour faire une remise à niveau, parce que depuis le temps que j'avais pas pratiqué.
Hervé Bonetti, Administrateur Réseaux & Systèmes chez INSITU France.
C’est justement cette formation de spécialisation qui a le plus joué lors de ses entretiens :
Pour la Lead, c'était vraiment pour partir par la suite pour faire consultant en cybersécurité, donc connaître tout ce qui est les normes. C'est là où on a vu un peu plus le RGPD, on a fait des EBIOS. C'est des questions qu'on m'a posées, justement, si je connaissais telle ou telle norme. Parce que oui, je les ai vues, donc ça sert.
Hervé Bonetti, Administrateur Réseaux & Systèmes chez INSITU France.
Il a ensuite signé un CDI d'Administrateur Réseaux & Systèmes quelques mois après la fin de sa formation, et veut désormais évoluer vers les postes de conseil. En bref, il a exactement suivi la trajectoire que nous vous décrivons plus haut, et a commencé par un premier poste technique avant de basculer vers la gouvernance.
Dans notre rapport d’insertion 2026, vous découvrirez le portrait d’un autre de nos alumni, Xavier Luciani, auparavant responsable qualité et aujourd'hui RSSI chez House of Aby.
C'est l'étape qui conditionne tout le reste. Trois méthodes ont fonctionné pour Hervé, et elles valent pour n'importe quel métier de la cyber.
Votre formation RSSI terminée, il reste le plus important : décrocher votre premier poste en cybersécurité pour commencer à accumuler de l’expérience. Et pour cela, trois méthodes fonctionnent plutôt bien :
C’est justement cette dernière méthode qu’a suivie Hervé Bonetti pour décrocher son premier poste :
J'ai fait la version à l'ancienne, en porte-à-porte. J'ai pris la liste de toutes les ESN et de pas mal de grosses sociétés qui sont alentour de chez moi. Je me suis fait une journée par semaine, on va dire trois secteurs de la ville. Ça a payé, puisque le fait de venir se présenter, déposer son CV, ça a débouché justement à ce qu'on me rappelle.
Hervé Bonetti, Administrateur Réseaux & Systèmes chez INSITU France
Et pour mettre encore plus de chances de son côté, il a également participé à des évènements en lien avec la sécurité informatique :
J'étais au FIC, le forum international de cybersécurité, c'est à Lille. Ça dure 3 jours. Comme là tu as directement les gens en face, les personnes qui sont potentiellement là pour te recruter, tu t'entraînes à faire les entretiens et ça a été un bon exercice aussi.
Hervé Bonetti, Administrateur Réseaux & Systèmes chez INSITU France.
La gouvernance ne consiste pas à empiler des outils de défense, mais à identifier ce qui doit être protégé et pourquoi.
Un bon RSSI ne se contente pas d’empiler des outils de défense : il commence par se demander ce qui doit vraiment être protégé, et pourquoi. C'est cette première question que se pose quiconque travaillant sur la gouvernance, et la première chose qu'on vous apprend à faire. Ninon Eyrolles, Content Creator chez Jedha, le résume bien en parlant de cybersécurité en général :
On va commencer par identifier les risques, parce qu'on va pas juste mettre des choses de défense sans savoir pourquoi on les met. Donc il faut identifier les risques, et on va mettre des choses en place pour soit limiter la possibilité que le risque arrive, soit limiter l'impact si le risque arrive.
Ninon Eyrolles, Content Creator chez Jedha, workshop « Introduction au Pentest web ».
Plusieurs compétences vous seront ainsi très utiles pour devenir RSSI, et elles sont justement au programme de notre formation :
Passer la certification ISO 27001 n’est pas obligatoire pour travailler dans la cybersécurité, mais l’obtenir vous sera très utile si vous souhaitez évoluer vers les postes de gouvernance, et notamment celui de RSSI :
Il y a les normes ISO 27001 qui sont assez connues et reconnues, donc avoir des formations là-dessus et être certifié là-dessus, c'est vachement bien.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Une fois le socle technique acquis, la préparer ne vous prendra en plus que quelques jours, alors il serait bête de vous en priver !
Loin de menacer les métiers de la cybersécurité, l'IA générative a au contraire élargi la surface à protéger, et créé des risques que les politiques de sécurité existantes ne couvraient pas.
Avec l'IA sont arrivés beaucoup de nouveaux usages, et des choses qu'on ne voit pas mais qui sont pourtant dangereuses. Des nouvelles failles se sont créées. Un attaquant peut tout à fait essayer de trouver un moyen de contourner l'utilisation de l'IA pour siphonner ce qu'il y a dans la base de données.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Pour un RSSI, cela se traduit très concrètement par une politique d'usage de l'IA à écrire et par la sensibilisation des équipes :
Peut-être que demain il faudra former des collaborateurs. Avant il fallait juste nous former au phishing et nous former à des bonnes pratiques par rapport aux clés d'API.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Un RSSI perçoit entre 50 000 et 70 000 € brut par an en début de fonction, et entre 75 000 et 95 000 € après avoir exercé quelques années à ce poste. D'après les études de rémunération 2026, la médiane française pour ce poste se situe ainsi entre 77 000 et 85 000 €. Bien sûr, ce que vous gagnerez dépendra également de votre ville et de la taille de votre entreprise, et vous pourrez justement en savoir plus à ce sujet dans notre article complet sur le salaire d'un RSSI.
Le tableau vous montre un écart net : vous passez de 35 000 à 50 000 € brut par an pour un premier poste en cybersécurité à 50 000 à 70 000 € en début de fonction de RSSI, puis à 75 000 à 95 000 € une fois confirmé. Cet écart reflète le chemin à parcourir : on ne devient RSSI qu’après plusieurs années d'expérience, pas à la sortie d'une formation. Et votre point de départ compte aussi, car votre salaire dépend beaucoup de ce que vous apportez, comme l'explique Antoine Krajnc :
Tout dépend du background initial que vous avez. Plus vous avez ça, plus forcément la fourchette de salaire va être quand même plus haute.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Depuis 2017, Jedha forme des adultes en reconversion aux métiers de la cybersécurité, de la data et de l'intelligence artificielle, et plus de 4 000 personnes ont suivi l'un de nos programmes.
Pour viser la gouvernance cyber, vous devez d’abord acquérir un socle technique solide, ce que vous permettra justement notre parcours RSSI, qui correspond à notre Formation Cybersécurité Fullstack. En 450 heures, soit 3 mois à temps plein ou 7 mois à temps partiel, vous couvrirez à la fois la défense et l'attaque, soit les deux versants qu'un futur RSSI doit comprendre avant de pouvoir piloter une équipe.
Ce que vous apprendrez :
Les points forts de notre formation :
Si vous partez de zéro côté systèmes et réseaux, pas de panique, commencez simplement par notre formation Cybersécurité pour débutant, elle aussi éligible au CPF, pour acquérir ces bases en 75 heures.
Pour viser la gouvernance, notre formation Fullstack risque de ne pas suffire à elle seule. Pour mettre toutes les chances de votre côté, complétez-la par notre formation Expert Cybersécurité, qui prolonge la Fullstack pour tout ce qui touche aux normes, à la gestion des risques et à la conformité (RGPD, EBIOS, ISO 27001).
C'est cette brique qui distingue un profil technique d'un profil capable de piloter une organisation. Elle pèse aussi sur les résultats, puisque d'après notre rapport d'insertion 2026, 69 % des alumni du parcours Fullstack occupent le métier visé un an après leur formation, contre 86 % pour ceux qui ont suivi le parcours complet, à savoir Fullstack puis Lead.
Notre formation RSSI est éligible au CPF et aux dispositifs publics de financement, ceux que vous pouvez mobiliser dépendant avant tout de votre situation :
Pensez à anticiper vos demandes pour être sûr que votre dossier soit traité avant le début de la formation que vous visez. À ce sujet, n’hésitez pas à prendre rendez-vous avec notre équipe d’admission pour qu’elle vous aide à identifier les financements auxquels vous êtes éligible et à monter votre dossier.
Réussir votre reconversion pour devenir RSSI demande d’y aller par étape :
Il est possible de vous reconvertir et de viser le métier de RSSI, même sans expérience préalable en informatique, mais gardez en tête que vous ne pourrez pas exercer ce métier dès la fin de votre formation. Avant cela, vous devrez d’abord engranger de l’expérience comme Consultant, d'Auditeur, d'Ingénieur cybersécurité ou même Administrateur systèmes et réseaux, et commencer à construire la crédibilité qu'un poste de RSSI suppose.
Pour devenir RSSI, comptez 3 à 7 mois pour suivre une formation pour vous reconvertir dans la cyber, auxquels il faut ajouter 2 à 5 ans d'expérience avant d'accéder à une fonction de gouvernance. Notez également que cette durée varie selon la taille de votre organisation et le bagage avec lequel vous partez.
Les postes de « RSSI junior » sont rarement présentées sous ce nom, et s’intitulent « RSSI adjoint ». Dans les faits, les PME sont également plus propices à embaucher des RSSI juniors, et les métiers de Consultant et d’Auditeur en cybersécurité partagent également ses missions.
Il n’est pas obligatoire d’être certifié ISO 27001 pour devenir RSSI, mais cette certification est la plus reconnue sur le versant gouvernance. Une fois le socle technique acquis, elle se prépare en plus en quelques jours, et peut constituer un précieux atout sur votre CV.
Quatre textes reviennent le plus souvent : le RGPD, qui encadre la protection des données personnelles, la norme ISO 27001, qui définit comment organiser la sécurité d'une entreprise, la directive européenne NIS 2, qui impose des règles de cybersécurité à de nombreux secteurs, et, selon votre domaine, des réglementations sectorielles comme DORA pour la finance. À cela s'ajoute EBIOS, une méthode qui vous guide pour analyser les risques d'une organisation étape par étape.
Le RSSI est un métier à dominante managériale et stratégique, mais qui repose sur une compréhension technique solide.
