RSSI – PME / TPE

• Niveau d’étudesBac+5
• Salaire débutant55 000 € brut / an
• Salaire confirmé70 000 € brut / an
• EmployabilitéForte
• MobilitéBonne
• Code ROMEM1812

Fiche mise à jour en novembre 2026.

Qu’est-ce qu’un RSSI en PME ou en TPE ?

Le RSSI de PME, ou responsable de la sécurité des systèmes d’information, protège les données et le système informatique d’une petite ou moyenne entreprise. Il évalue les risques, fixe les règles de cybersécurité et paramètre lui-même une partie des outils. Là où le RSSI d’un grand groupe dirige des équipes, il travaille le plus souvent seul, avec la direction, l’équipe informatique et des prestataires.

Selon l’ANSSI, la fonction n’est pas un poste dédié dans une PME ou une TPE : ses missions peuvent revenir au DSI, au responsable informatique, à un administrateur ou à un responsable de projet informatique. Elle peut aussi être confiée à un RSSI externe, à temps partagé. Dans un sondage OpinionWay pour Cybermalveillance.gouv.fr (2025, 588 entreprises de moins de 250 salariés, surtout très petites), 1 % des répondants citent un RSSI comme personne en charge de l’informatique, et 80 % le chef d’entreprise. À partir de 50 salariés, le RSSI est cité par 19 % des répondants.

En résumé : le RSSI de PME protège le système d’information d’une petite structure, de l’analyse des risques au paramétrage des outils, souvent seul, parfois en plus d’un autre poste ou à temps partagé.

Les missions du RSSI de PME

Évaluer les risques et fixer les règles

Il recense ce qu’il doit protéger : postes, serveurs, logiciels, données sensibles. Il identifie les risques, puis rédige une politique de sécurité adaptée et une charte informatique.

Mettre en place les protections

Il déploie les mesures que l’ANSSI recommande aux TPE et PME, ou les fait appliquer par un prestataire : sauvegardes, mises à jour, antivirus, mots de passe robustes, pare-feu, messagerie.

Sensibiliser les salariés et la direction

Il apprend aux collaborateurs à repérer un message suspect et explique les risques aux dirigeants.

Préparer la réaction à une cyberattaque

Il prépare un plan de continuité informatique et repère à l’avance des prestataires spécialisés dans la réponse aux incidents, comme le conseille l’ANSSI.

Choisir et suivre les prestataires

Selon le sondage OpinionWay pour Cybermalveillance.gouv.fr, la sécurité informatique est gérée en interne dans 33 % des entreprises, par un prestataire dans 25 %, par les deux dans 11 %, et pas du tout dans 26 %. Le RSSI définit ce qu’il confie et suit le travail. Le label ExpertCyber aide à repérer des professionnels évalués, et MonAideCyber propose un premier diagnostic gratuit.

Répondre aux clients et à la réglementation

Il traite le volet sécurité des appels d’offres et veille au respect du RGPD, avec le délégué à la protection des données s’il y en a un. Il suit aussi NIS 2 : selon l’ANSSI, cette directive européenne vise notamment, dans certains secteurs, les entités d’au moins 50 personnes.

Une journée type de RSSI en PME ou TPE

1. Le matinIl vérifie les alertes remontées par les outils de sécurité ou le prestataire de supervision, puis traite les demandes des collaborateurs sur les accès, les mots de passe ou un message suspect.
2. En fin de matinéeIl avance sur le plan d’action de sécurité : mise à jour de la charte informatique, contrôle de l’application des règles ou suivi d’un correctif avec l’équipe informatique.
3. L’après-midiIl répond au volet sécurité d’un appel d’offres client, prépare un audit ou travaille avec la direction sur le plan de continuité et de reprise d’activité.
4. En fin de journéeIl fait un point avec la direction générale sur les risques et le budget, puis consacre du temps à la veille sur les évolutions réglementaires et techniques.

En cas d’incident, il active le dispositif de gestion de crise, travaille avec le CSIRT pour contenir l’attaque et tient la direction informée jusqu’au retour à la normale.

Les compétences clés

Quelle formation pour devenir RSSI en PME ?

France Travail situe l’accès au métier entre Bac+2 et Bac+5, en informatique ou en télécoms. L’ANSSI retient un Bac+5 spécialisé en cybersécurité pour le RSSI et, selon son Observatoire des métiers, 40 % des offres d’emploi du secteur demandent un Bac+5.

• Bac+5 : notre formation Responsable cybersécurité, en 2 ans et en alternance, couvre la gestion des risques, la conformité, l’architecture et la cybersécurité opérationnelle, et mène notamment au poste de RSSI.
• Format hybride : la formation Expert en cybersécurité des organisations et des infrastructures critiques, en 2 ans et en alternance, vise notamment le poste de RSSI adjoint, puis de RSSI avec l’expérience.
• Bac+3 : la formation Spécialiste en cybersécurité (titre RNCP42503), en 1 an, en alternance ou en formation initiale, donne les bases techniques avant un Bac+5.

Comment devenir RSSI en PME ?

Le poste demande de l’expérience : France Travail évoque souvent 5 à 7 ans dans le domaine, l’ANSSI plus de 5 ans en cybersécurité. Une PME peut toutefois offrir un premier poste de RSSI.

• Premiers postes : technicien en cybersécurité, administrateur cybersécurité, analyste SOC ou ingénieur cybersécurité.
• Premières responsabilités : coordinateur sécurité, responsable de projet de sécurité ou RSSI adjoint.
• Passerelle et reconversion depuis l’informatique : un administrateur systèmes et réseaux ou un responsable informatique de PME prend en charge la sécurité, puis se spécialise.

L’alternance permet d’entrer dans le secteur. À CSB.SCHOOL, la formation Spécialiste en cybersécurité alterne 2 semaines à l’école et 4 semaines en entreprise. Voir nos conseils pour trouver son alternance en cybersécurité.

Les certifications utiles

• CompTIA Security+ : les fondamentaux, une base pour un poste opérationnel.
• ISO 27001 Lead Implementer : pour structurer la sécurité autour d’un système de management.
• EBIOS Risk Manager : la méthode d’analyse des risques de l’ANSSI.
• CISSP (ISC2) : un titre généraliste, accessible après plusieurs années d’expérience.

Les formations de CSB.SCHOOL, du Bac+3 au Bac+5, intègrent la préparation et le passage des certifications CEH, EBIOS RM, ISO 27001 et CISSP. Voir notre guide des certifications en cybersécurité.

Quel est le salaire d’un RSSI en PME ?

En début de fonction, un RSSI de PME gagne environ 55 000 € brut par an, et autour de 70 000 € brut par an une fois confirmé. Le salaire monte avec le niveau du poste et la taille de l’entreprise :

Licorne Society, cabinet de recrutement, vise l’Île-de-France (article mis à jour en mars 2026, méthode non détaillée) et compte 10 à 15 % de moins en région. Le CESIN (enquête 2024, 390 membres) donne un salaire fixe moyen ; sa première tranche dépasse largement les PME, qui comptent moins de 250 salariés. Il note que l’écart avec les grands groupes est accentué par des compléments de salaire.

Pour comparer, Robert Half (Guide des salaires 2027) indique, sans distinction de taille, 75 000 € en début de fonction et 85 000 € à expérience intermédiaire, repères de notre fiche RSSI de grand groupe. Voir notre guide des salaires en cybersécurité en 2026.

Évolution de carrière

Avec l’expérience, le RSSI de PME peut évoluer vers :

• RSSI de grand groupe
• CISO d’un groupe international
• directeur cybersécurité
• responsable gouvernance, risques et conformité
• consultant en cybersécurité, ou RSSI indépendant à temps partagé
• la direction des systèmes d’information

Selon l’Observatoire des métiers de l’ANSSI, les offres d’emploi en cybersécurité ont augmenté de 49 % entre 2019 et 2024.

RSSI de PME ou RSSI de grand groupe : quelles différences ?

Les missions sont proches, mais l’organisation et les moyens changent beaucoup :

Questions fréquentes

Une PME a-t-elle besoin d’un RSSI à temps plein ?

Pas forcément. Pour l’ANSSI, les missions du RSSI doivent être prises en charge par une ou plusieurs personnes de l’entreprise, avec des experts extérieurs si besoin.

Qu’est-ce qu’un RSSI à temps partagé ou externalisé ?

C’est un RSSI non salarié de l’entreprise, qui y intervient quelques jours par mois. Pour un RSSI en freelance ou en management de transition, Michael Page relève un taux journalier moyen de 1 000 € HT en région parisienne.

Est-ce un métier d’avenir ?

Oui. France Travail le classe parmi les métiers d’avenir et a reçu 2 230 offres pour la fiche M1812 en 12 mois (deuxième trimestre 2026), tous postes confondus. Nuance : dans le sondage OpinionWay pour Cybermalveillance.gouv.fr, 92 % des répondants ne prévoient pas de recruter en cybersécurité l’année suivante.

Quel est le code ROME du métier ?

Dans le référentiel de France Travail (ROME 4.0), le RSSI correspond à la fiche M1812 « Responsable de la Sécurité des Systèmes d’Information (RSSI) », quelle que soit la taille de l’entreprise : il n’existe pas de code propre aux PME. L’ancien code M1801 n’est plus à jour.

Quelles formations propose CSB.SCHOOL pour ce métier ?

Les formations Responsable cybersécurité (Bac+5), en alternance, et Expert en cybersécurité des organisations et des infrastructures critiques, en format hybride, préparent aux fonctions de RSSI, directement ou après un poste d’adjoint. La formation Spécialiste en cybersécurité (Bac+3), en 1 an, permet d’entrer dans le secteur.

Sources

• ANSSI, Panorama des métiers de la cybersécurité (2020).
• ANSSI et DGE, La cybersécurité pour les TPE/PME en 13 questions (2022).
• Sondage OpinionWay pour Cybermalveillance.gouv.fr (juillet 2025).
• DGE, accompagnements publics en cybersécurité (novembre 2026).
• ANSSI, NIS 2 sur MesServicesCyber.
• France Travail, fiche métier M1812.
• Licorne Society, salaires des métiers de la cybersécurité (mars 2026).
• CESIN et OpinionWay, enquête présentée par Le Monde Informatique (septembre 2024).
• Robert Half, Guide des salaires 2027, présenté par le Blog du Modérateur (octobre 2026).
• Michael Page, Étude de rémunérations 2027, RSSI en freelance.
• ANSSI, Observatoire des métiers de la cybersécurité (2025).