Cybersécurité PME sans RSSI : par où commencer

Vous dirigez une PME de quelques dizaines de personnes. Personne n’a la sécurité informatique dans sa fiche de poste : le prestataire fait les mises à jour, la direction valide les achats de logiciels, l’office manager réinitialise les mots de passe, et personne ne vérifie qui a encore accès à quoi. Chacun pense que la sécurité est l’affaire d’un autre.

Ce guide s’adresse au dirigeant ou au DAF, sans vocabulaire de spécialiste. Il explique ce que fait un RSSI et qui peut tenir ce rôle chez vous, puis donne un plan en six étapes réalisable en un mois, sans compétence technique poussée.

Le RSSI : son rôle, et pourquoi votre PME n’en a pas

Le RSSI, responsable de la sécurité des systèmes d’information (CISO en anglais), est la personne chargée de protéger le système d’information d’une organisation. Ses missions :

• analyser les risques : quels actifs sont exposés, quelles menaces sont probables, quel impact sur l’activité (la méthode EBIOS Risk Manager de l’ANSSI sert de référence en France) ;
• écrire et faire vivre la politique de sécurité, voir rédiger une PSSI ;
• préparer et piloter la réponse aux incidents ;
• organiser la sensibilisation des salariés et en mesurer les résultats ;
• suivre la conformité (RGPD, NIS2, exigences des clients et des assureurs) et la sécurité des fournisseurs.

RSSI et DSI : deux métiers

	DSI	RSSI
Mission	Faire fonctionner le système d’information	Le protéger
Priorités	Disponibilité, performance, nouveaux projets	Confidentialité, intégrité, traçabilité
Décisions typiques	Quel logiciel déployer, quel hébergeur choisir	Quels accès restreindre, comment réagir à un incident

Quand une même personne cumule les deux rôles, les urgences de production passent avant la prévention. Dans une PME, c’est souvent le cas : le prestataire informatique répare ce qui casse, et personne ne pilote la sécurité.

Pourquoi les PME n’en recrutent pas

Un RSSI à temps plein est un cadre expérimenté, rare sur le marché et cher pour une entreprise de 50 personnes. À cette taille, le travail ne remplit pas un temps plein : il faut quelqu’un qui décide et pilote quelques heures par mois, et un technicien qui exécute.

Un RSSI est-il obligatoire ?

Aucune loi n’impose à une PME de nommer un RSSI. Pour les entreprises couvertes par la directive NIS2, la responsabilité remonte à la direction : ses membres approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et doivent suivre une formation (article 20, texte repris par l’ANSSI). Quelqu’un doit donc piloter le sujet et en rendre compte, que ce soit un salarié, un dirigeant ou un prestataire.

Qui peut tenir le rôle chez vous

Quatre options existent, et les PME les combinent souvent.

Option	Ce qu’elle apporte	Pour qui	Limite
Un référent cyber interne	Un pilote qui décide, suit le plan et rend compte à la direction, quelques heures par mois	Toutes les PME	A besoin d’un appui technique
Votre prestataire informatique	L’exécution : double authentification, sauvegardes, configuration DNS, mises à jour	PME sans service informatique	Exécute ce qu’on lui demande, la priorisation reste à faire
Un RSSI à temps partagé (vCISO)	Analyse de risques, politique de sécurité, préparation des audits, compte rendu trimestriel	PME de 50 à 250 salariés, ou soumises à NIS2	Disponibilité partagée entre plusieurs clients
Un RSSI interne à temps plein	Une personne dédiée qui connaît le système d’information en profondeur	ETI, secteurs réglementés	Coût et difficulté de recrutement

Pour une PME de 20 à 100 salariés, une combinaison réaliste : un référent interne qui pilote, le prestataire qui exécute, et l’appui d’un RSSI à temps partagé pendant la première année pour structurer la démarche.

Choisir un RSSI à temps partagé

• Demandez à rencontrer le consultant qui interviendra chez vous, avec son parcours et ses références.
• Faites écrire le périmètre : missions incluses, fréquence d’intervention, délai de réaction en cas d’incident.
• Exigez un compte rendu à la direction au moins chaque trimestre.
• Vérifiez sa disponibilité en cas de crise en dehors des jours prévus au contrat.
• Préférez un prestataire qui connaît votre secteur et ses obligations.

Choisir un prestataire informatique

Le label ExpertCyber, porté par Cybermalveillance.gouv.fr, est attribué aux prestataires après un audit de l’AFNOR. Le service Mon ExpertCyber vous met en relation avec un prestataire labellisé (services et annuaire sur cybermalveillance.gouv.fr). Les critères du label sont détaillés dans notre guide du label ExpertCyber.

Le plan en six étapes

Ces étapes reprennent les recommandations de base de l’ANSSI et de Cybermalveillance.gouv.fr. Elles ne demandent pas de compétence technique poussée et tiennent en un mois. Le référent les pilote, le prestataire se charge des parties techniques.

Étape 1 : auditer votre exposition en 30 minutes

Commencez par votre messagerie. Le test de sécurité email vérifie en quelques secondes la configuration de votre domaine et indique les corrections à faire. Sans cette configuration, n’importe qui peut envoyer un email en votre nom.

Listez ensuite, même grossièrement :

• les comptes qui coûteraient le plus cher à perdre : messagerie, banque en ligne, comptabilité, paie, espace client de l’hébergeur ;
• les données dont l’entreprise ne peut pas se passer : contrats, fichiers clients, comptabilité ;
• les accès partagés : comptes génériques (comptabilite@, contact@), mots de passe connus de plusieurs personnes.

Posez-vous deux questions. Si quelqu’un lisait votre messagerie demain, à quoi aurait-il accès ? Si vos données disparaissaient aujourd’hui, combien de jours faudrait-il pour reprendre l’activité ?

Étape 2 : activer la double authentification partout

La double authentification (MFA) exige, en plus du mot de passe, une seconde preuve, par exemple une notification sur le téléphone ou une clé physique. Un mot de passe volé ne suffit plus. Selon Microsoft, elle peut bloquer plus de 99,2 % des attaques par compromission de compte (documentation Microsoft Entra).

• Microsoft 365 : activez la MFA depuis le centre d’administration, ou les paramètres de sécurité par défaut de Microsoft Entra, qui l’imposent à tous les comptes.
• Google Workspace : dans la console d’administration, activez la validation en deux étapes puis rendez-la obligatoire.
• Banque en ligne, comptabilité, paie : activez l’option dans les paramètres de sécurité de chaque service.

Comptez une heure de configuration, plus le temps d’accompagner les salariés. Profitez-en pour imposer des mots de passe uniques et longs, avec un gestionnaire de mots de passe d’équipe. Le pas à pas est dans déployer la MFA en entreprise.

Étape 3 : former vos équipes au phishing

Les filtres et l’antivirus arrêtent une partie des attaques. Le phishing est conçu pour passer au travers : il imite Microsoft, votre banque ou un fournisseur, et un seul clic lui suffit. En France, il est le vecteur de 55 % des attaques significatives (baromètre CESIN 2026). Les autres chiffres utiles, avec leur source, sont réunis dans nos statistiques du phishing en France.

Une présentation annuelle change peu les comportements. Ce qui les change : recevoir un faux email réaliste, cliquer, et découvrir aussitôt ce qu’on a manqué. Une simulation de phishing mesure qui clique, qui saisit ses identifiants et qui signale, et la première campagne donne votre point de départ. KnowBe4 mesure chez ses clients un taux de clic moyen qui passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation (Phishing by Industry Benchmarking Report 2025).

Avec nophi.sh, comptez environ 15 minutes de configuration, hors liste blanche chez votre messagerie, et la première campagne part le jour même. Une formation courte est assignée automatiquement après un clic, et le rapport d’audit PDF garde la trace des progrès, utile face à un assureur ou à un client. La formule Starter coûte 99 € HT par mois jusqu’à 50 utilisateurs (tarifs). Sous Microsoft 365, notre guide pour préparer Microsoft 365 à des campagnes de test explique la liste blanche.

Pour organiser l’année, suivez notre plan de sensibilisation sur 12 mois. Si les premiers résultats vous inquiètent, lisez mes employés cliquent sur tout : que faire ?. Le contenu d’un programme de sensibilisation complet est décrit sur notre page dédiée.

Étape 4 : protéger votre messagerie (SPF, DKIM, DMARC)

Sans configuration, n’importe quel serveur peut envoyer à vos clients ou à votre banque un email affiché comme venant de direction@votreentreprise.fr. Trois enregistrements DNS corrigent le problème :

• SPF déclare les serveurs autorisés à envoyer des emails pour votre domaine ;
• DKIM signe chaque email pour prouver qu’il n’a pas été modifié en route ;
• DMARC indique aux destinataires quoi faire des emails qui échouent à ces contrôles : les accepter, les mettre en quarantaine ou les rejeter.

La configuration se fait chez votre hébergeur de domaine (OVH, Gandi, Cloudflare, etc.) et prend une à trois heures ; votre prestataire peut s’en charger. Commencez par tester votre domaine, puis suivez notre guide SPF, DKIM et DMARC, avec des exemples pour OVH, Google Workspace et Microsoft 365.

Étape 5 : mettre en place les sauvegardes

Un rançongiciel chiffre les postes, les serveurs et les sauvegardes accessibles depuis le réseau. Sans copie saine, il reste deux options : payer, sans garantie de récupérer quoi que ce soit, ou tout reconstruire.

• Appliquez la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site.
• Préférez des sauvegardes immuables, que personne ne peut modifier ni supprimer pendant une durée définie, même avec des droits d’administrateur.
• Testez la restauration chaque trimestre : récupérez un dossier et vérifiez qu’il est complet et lisible.

Étape 6 : documenter et maintenir

• Une charte informatique de quelques pages fixe les règles : mots de passe, logiciels, appareils personnels, signalement des incidents. Elle établit aussi que chacun en a été informé.
• Une fiche réflexe en cas de cyberattaque, imprimée et accessible sans ordinateur, dit qui appeler (prestataire, assureur, service 17Cyber de Cybermalveillance.gouv.fr), comment isoler un poste et où se trouvent les sauvegardes. Pour le scénario le plus fréquent, voir que faire en cas de phishing.
• Une revue de 30 minutes chaque trimestre vérifie les sauvegardes, les mises à jour, les comptes des anciens salariés et les résultats des simulations.

Quel budget prévoir

Le socle ne demande pas un budget de grand groupe. Les montants dépendent de votre taille et de vos prestataires : le tableau indique la nature de chaque coût et l’effort de mise en place.

Mesure	Coût	Effort
Double authentification	Incluse dans Microsoft 365 et Google Workspace	Une heure environ, plus l’accompagnement des salariés
SPF, DKIM, DMARC	Gratuit si vous le faites, sinon quelques heures de prestataire	Une à trois heures
Gestionnaire de mots de passe d’équipe	Abonnement par utilisateur	Quelques heures de déploiement
Simulation de phishing et formation (nophi.sh Starter)	99 € HT par mois jusqu’à 50 utilisateurs, 20 % de remise en annuel	Environ 15 minutes de configuration, hors liste blanche
Sauvegardes externalisées	Abonnement selon le volume de données	Une journée de mise en place
Assurance cyber	Prime selon le secteur et le chiffre d’affaires	Questionnaire de souscription
RSSI à temps partagé	Forfait en jours, sur devis	Selon le périmètre

Des dispositifs publics peuvent financer une partie de ces dépenses, notamment le diagnostic et l’accompagnement : voir notre guide des aides et subventions cybersécurité. Pour présenter ce budget à votre direction avec un calcul de retour sur investissement, voir ROI de la sensibilisation cybersécurité.

NIS2 : êtes-vous concerné ?

La directive NIS2 vise surtout les entreprises moyennes et grandes (à partir de 50 salariés, ou au-delà de 10 millions d’euros de chiffre d’affaires et de total de bilan) dans les secteurs qu’elle liste. Notre guide NIS2 pour les PME vous aide à vérifier votre situation.

Si vous êtes concerné, ce plan couvre une partie des mesures de l’article 21 : la cyberhygiène et la formation (point g), la double authentification (point j), les sauvegardes et la continuité d’activité (point c), l’évaluation de l’efficacité des mesures (point f). NIS2 en demande beaucoup plus, dont la gestion des incidents et la sécurité de la chaîne d’approvisionnement : ce socle est un point de départ.

Se faire aider sans RSSI

• MonAideCyber, le service de l’ANSSI, propose un diagnostic gratuit d’environ 1 h 30 avec un aidant cyber, sur place ou en visio, qui débouche sur 6 recommandations (présentation sur le site de l’ANSSI).
• Cybermalveillance.gouv.fr assiste les victimes avec le service 17Cyber et met en relation avec des prestataires labellisés ExpertCyber.
• Le guide d’hygiène informatique de l’ANSSI détaille 42 mesures. Il est écrit pour des organisations dotées d’un service informatique : votre prestataire peut s’en servir comme liste de contrôle.
• Notre guide des aides et subventions cybersécurité recense les financements disponibles.

Pour démarrer, il suffit d’une personne qui pilote et d’une heure cette semaine pour activer la double authentification sur la messagerie. Le reste du plan tient dans le mois.