Modèle de PSSI pour PME : exemple gratuit et guide de rédaction

Un modèle de PSSI pour PME en 14 sections est téléchargeable gratuitement sur cette page, au format PDF. Le squelette complet est aussi reproduit plus bas (voir le modèle), section par section, avec ce qu’il faut écrire dans chacune. Une PSSI de PME tient en 20 à 40 pages : elle décrit ce que l’entreprise fait vraiment, elle est signée par la direction générale et revue au moins une fois par an.

Ce guide explique ce qu’est une PSSI, détaille le contenu de chaque section, s’attarde sur le chapitre sensibilisation, puis montre comment le document répond à NIS2, à ISO 27001, au RGPD et à DORA.

Qu’est-ce qu’une PSSI ?

La politique de sécurité des systèmes d’information (PSSI) est le document de gouvernance de la cybersécurité d’une organisation. Elle fixe les objectifs de sécurité, désigne les responsables, pose les règles de chaque domaine et sert de cadre aux mesures techniques. Un auditeur commence par elle : sans règles écrites, il ne peut pas vérifier que vos pratiques les respectent.

PSSI ou charte informatique : deux documents différents

	PSSI	Charte informatique
Public	Direction, responsables, auditeurs	Tous les collaborateurs
Niveau	Gouvernance	Usage quotidien
Contenu	Objectifs, responsabilités, règles par domaine	Obligations des utilisateurs, sanctions
Signataire	Direction générale	Chaque salarié en prend connaissance
Longueur	20 à 40 pages	5 à 15 pages

La PSSI pose le principe (« l’entreprise applique le moindre privilège pour l’accès aux données sensibles »). La charte informatique le traduit en règle d’usage (« ne communiquez jamais vos identifiants, même à un collègue »). Une PME a besoin des deux.

Les textes qui la demandent

NIS2, article 21.2.a : les entités concernées adoptent des « politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ». L’article 20 confie à la direction l’approbation de ces mesures et la rend responsable de leur application. Dans son Référentiel Cyber France (ReCyF, document de travail v2.5, mars 2026), l’ANSSI attend une PSSI qui décrit l’organisation de la gouvernance et l’engagement du dirigeant, approuvée par le dirigeant exécutif et déclinée en politiques thématiques, dont l’usage du chiffrement et le contrôle d’accès physique et logique.
ISO/IEC 27001:2022, clause 5.2 : la direction établit une politique de sécurité de l’information documentée, communiquée et disponible. La mesure A.5.1 de l’annexe A y ajoute les politiques thématiques.
RGPD, article 32 : le responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées. La PSSI documente les mesures organisationnelles, ce qui pèse lors d’un contrôle de la CNIL après une violation de données.
DORA, articles 5 et 6 : pour les entités financières, l’organe de direction approuve le cadre de gestion du risque informatique, dont les politiques de sécurité.

Assureurs cyber et clients grands comptes la demandent aussi dans leurs questionnaires (voir assurance cyber : les preuves à fournir et répondre au questionnaire cybersécurité d’un client).

Le modèle de PSSI : les 14 sections et quoi y écrire

Le modèle suit la logique des guides de l’ANSSI, du contexte vers des règles validées par la direction, condensée en 14 sections adaptées aux moyens d’une PME. Remplacez chaque passage entre crochets par vos informations réelles, et supprimez toute règle que vous ne pouvez pas tenir aujourd’hui : vous l’ajouterez à la prochaine révision.

En tête du document, indiquez : Politique de sécurité des systèmes d’information de [raison sociale], version [X.Y], approuvée le [date] par [nom, fonction].

1. Contexte, enjeux et périmètre

1.1 Présentation de l’entreprise : [activité, effectif, sites, environnement informatique : services cloud, logiciels SaaS, serveurs sur site].
1.2 Périmètre de la PSSI : [systèmes, données et utilisateurs couverts : salariés, prestataires, stagiaires ; exclusions explicites].
1.3 Enjeux et objectifs de sécurité : [ce qui doit continuer à fonctionner en cas d’incident : facturation, production, données clients ; objectifs mesurables].

2. Organisation et responsabilités

2.1 Rôles et responsabilités : [responsable sécurité nommé, rôle de la direction générale, du DPO, des managers et du prestataire informatique].
2.2 Pilotage : [point régulier entre la direction et le responsable sécurité, par exemple chaque trimestre ; indicateurs revus, décisions consignées].

Dans une PME sans poste dédié, nommez explicitement la personne qui tient le rôle, souvent le responsable informatique. L’absence de désignation est relevée dès le premier audit.

3. Analyse et gestion des risques

3.1 Démarche retenue : [méthode utilisée : EBIOS Risk Manager, ISO 27005 ou analyse simplifiée ; date de la dernière analyse].
3.2 Registre des risques principaux : [pour chaque risque : scénario, impact, mesure retenue, responsable, échéance].

4. Classification de l’information

4.1 Niveaux de classification : [par exemple public, interne, confidentiel, très confidentiel ; un exemple concret par niveau ; règles de stockage et de partage].
4.2 Inventaire des actifs critiques : [systèmes et données à protéger en priorité, propriétaire, criticité, localisation].

Sans classification, les règles d’accès et de sauvegarde n’ont pas de base : c’est la section la plus souvent survolée dans les PME.

5. Contrôle d’accès et authentification (MFA)

5.1 Principes : [moindre privilège, comptes nominatifs, séparation des comptes d’administration].
5.2 Cycle de vie des accès : [qui demande, qui valide à l’arrivée ; révocation au départ dans un délai fixé, par exemple sous 24 heures].
5.3 Mots de passe et MFA : [règles de mots de passe, gestionnaire autorisé ; MFA obligatoire sur la messagerie, les accès distants et les consoles d’administration].

6. Sécurité de la messagerie et anti-phishing

6.1 Authentification du domaine : [enregistrements SPF, DKIM et DMARC publiés et suivis ; vérification possible avec notre test de sécurité email].
6.2 Filtrage et signalement : [filtrage anti-phishing en place ; adresse ou bouton pour signaler un email suspect ; obligation de signaler].
6.3 Procédure anti-fraude au virement : [double validation des virements et contre-appel sur un numéro connu pour tout changement de coordonnées bancaires ; voir la procédure anti-fraude au virement].

7. Sensibilisation et formation

7.1 Programme de sensibilisation : [publics, contenus, fréquence, formation des nouveaux arrivants, obligation de participer].
7.2 Simulations de phishing : [information préalable du personnel, fréquence, usage des résultats].
7.3 Indicateurs de suivi : [participation, taux de clic, signalements, formations terminées, présentés à la direction].

Cette section est détaillée plus bas : c’est celle que les PME rédigent le plus souvent en une ligne.

8. Gestion des incidents de sécurité

8.1 Définitions et niveaux : [ce qu’est un incident mineur ou majeur, avec des exemples de votre contexte].
8.2 Signalement et réponse : [canal de signalement, astreinte éventuelle, premières actions, renvoi à votre fiche réflexe cyberattaque].
8.3 Notifications externes : [CNIL sous 72 heures pour une violation de données personnelles ; plainte sous 72 heures pour être indemnisé par l’assurance cyber ; alerte précoce sous 24 heures à l’autorité pour une entité soumise à NIS2 ; clients et partenaires selon les contrats].

9. Sauvegardes, continuité et reprise d’activité

9.1 Politique de sauvegarde : [fréquence par type de données, règle 3-2-1, chiffrement, copie hors ligne].
9.2 Objectifs de reprise : [durée d’interruption acceptable et perte de données acceptable pour chaque système critique].
9.3 Tests et mode dégradé : [test de restauration au moins une fois par an, résultat consigné ; comment travailler sans l’informatique].

10. Postes de travail et BYOD

10.1 Socle des équipements de l’entreprise : [chiffrement des disques, mises à jour automatiques, protection des postes, utilisateurs sans droits d’administration].
10.2 Équipements personnels (BYOD) : [autorisés ou non, pour quels usages, à quelles conditions ; voir les règles BYOD de notre guide de la charte informatique].

11. Télétravail et mobilité

11.1 Règles applicables : [accès distant par VPN ou accès conditionnel, réseaux Wi-Fi publics, confidentialité en déplacement].
11.2 Équipement du télétravailleur : [matériel fourni, règles d’usage, signalement d’une perte ou d’un vol ; voir les règles de télétravail].

12. Tiers, prestataires et sous-traitants

12.1 Qualification avant contractualisation : [questions de sécurité posées au prestataire, certifications, sous-traitants de rang 2].
12.2 Clauses contractuelles minimales : [confidentialité, notification des incidents, droit d’audit, clauses de l’article 28 du RGPD].
12.3 Gestion des accès tiers : [accès limités au nécessaire, datés, tracés, révoqués à la fin de la prestation].

13. Conformité réglementaire

13.1 Référentiels applicables : [RGPD, NIS2, ISO 27001, DORA, textes sectoriels ; pour chacun, entreprise soumise ou simple source d’inspiration].
13.2 Données personnelles : [registre des traitements, rôle du DPO, procédure en cas de violation de données].

14. Révision et amélioration continue

14.1 Rythme et déclencheurs de révision : [revue annuelle à date fixe, revue après tout incident significatif ou changement majeur].
14.2 Historique des versions : [numéro, date, auteur, nature des changements, approbation].

Le DPO relit les sections 4, 5, 12 et 13 au regard du RGPD. La direction générale approuve et signe avant toute diffusion.

Le chapitre sensibilisation, celui qu’on bâcle

Beaucoup de PSSI de PME résument la section 7 en une phrase : « Les collaborateurs suivent une formation annuelle à la cybersécurité. » Cette phrase exprime une intention, et aucun auditeur ne peut la vérifier. Une section utile couvre cinq points.

L’obligation de participer. Écrivez que la participation aux formations et aux exercices de sécurité fait partie des obligations professionnelles, avec les formats concernés (modules en ligne, ateliers, simulations), une fréquence minimale et la procédure de dispense exceptionnelle.

Les simulations de phishing. Indiquez que l’entreprise mène des simulations d’attaques par email, à quelle fréquence (par exemple au moins une campagne par trimestre) et comment les résultats servent à adapter la formation. Cette mention informe aussi le personnel à l’avance, ce qu’exigent le code du travail (article L1222-4) et le RGPD (article 13) pour tout dispositif qui collecte des informations sur les salariés.

Le canal de signalement. Désignez où transférer un email suspect (adresse dédiée, bouton Signaler de Microsoft 365) et écrivez que signaler est attendu de chacun. Un salarié qui signale sans cliquer a acquis le bon réflexe.

Les clics répétés. Un clic lors d’une première simulation est une donnée normale. Prévoyez une réponse graduée pour les clics répétés malgré les formations : formation ciblée, échange avec le manager, puis seulement les mesures prévues par le règlement intérieur.

Les indicateurs. Participation aux formations, taux de clic (avec un objectif de baisse), signalements (avec un objectif de hausse), incidents réels liés à un comportement utilisateur. Présentez-les à la direction lors de la revue.

Une plateforme de simulation de phishing produit ces indicateurs sans travail manuel. nophi.sh, par exemple, enregistre les taux d’ouverture, de clic et de saisie par campagne et par département, assigne un module court après chaque clic et suit les formations terminées ; son rapport d’audit PDF sert de pièce pour la revue de direction et pour vos audits NIS2, ISO 27001 ou DORA.

PSSI et réglementation : tableau de correspondance

Obligation	Référence	Sections du modèle
Politiques d’analyse des risques et de sécurité des SI	NIS2, art. 21.2.a	1, 2, 3
Approbation et supervision par la direction	NIS2, art. 20	En-tête, 2
Gestion des incidents	NIS2, art. 21.2.b ; ISO 27001, A.5.24	8
Continuité d’activité et sauvegardes	NIS2, art. 21.2.c	9
Sécurité de la chaîne d’approvisionnement	NIS2, art. 21.2.d ; RGPD, art. 28	12
Cyberhygiène et formation	NIS2, art. 21.2.g ; ISO 27001, A.6.3	7
Authentification multifacteur	NIS2, art. 21.2.j	5
Politique de sécurité de l’information	ISO 27001, clause 5.2 et A.5.1	Tout le document
Contrôle d’accès	ISO 27001, A.5.15	5
Sécurité du traitement	RGPD, art. 32	4, 5, 7, 9, 13
Cadre de gestion du risque informatique	DORA, art. 5 et 6	2, 3
Sauvegarde et restauration	DORA, art. 12	9

La signature engage : l’article 20 de NIS2 rend les membres de la direction responsables des mesures qu’ils approuvent. Pour une entité financière soumise à DORA, ajoutez dans la section 9 la résilience opérationnelle numérique. Pour le RGPD, la PSSI n’impose pas de contenu précis : elle démontre un niveau de sécurité adapté au risque. Le volet formation de NIS2 est détaillé dans notre guide NIS2 : obligations de sensibilisation et de formation.

Cinq erreurs qui font échouer une PSSI

Trop long. Un document de 200 pages en langage juridique n’est lu par personne. Si une règle n’a ni raison d’être, ni responsable, ni moyen de vérification, supprimez-la.

Trop vague. « L’entreprise protège ses données » ne se vérifie pas. « Les comptes des collaborateurs partis sont révoqués sous 24 heures » se vérifie.

Non validée par la direction. Signée par le seul responsable informatique, la PSSI n’engage pas l’organisation et ne répond ni à l’article 20 de NIS2, ni à la clause 5.2 d’ISO 27001.

Non communiquée. Une PSSI rangée dans un dossier partagé que personne n’ouvre n’existe pas en pratique. Diffusez-la aux responsables, déclinez les règles utilisateurs dans la charte, intégrez-les à l’accueil des nouveaux arrivants et gardez la trace de la diffusion.

Jamais mise à jour. Une PSSI de 2021 ignore souvent le télétravail généralisé, les outils d’IA générative et NIS2. Fixez dès aujourd’hui la date de la prochaine revue.

Questions fréquentes

La PSSI est-elle obligatoire pour les PME ?

Aucun texte ne l’impose à toutes les entreprises. Elle le devient en pratique pour une entité soumise à NIS2, qui doit adopter des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information (article 21.2.a), et pour une entreprise qui vise ISO 27001, dont la clause 5.2 exige une politique de sécurité documentée. Le RGPD (article 32) demande des mesures organisationnelles que la PSSI documente. Assureurs et clients grands comptes la demandent aussi dans leurs questionnaires.

Quelle est la différence entre une PSSI et une charte informatique ?

La PSSI est le document de gouvernance : objectifs, responsabilités et règles de sécurité de l’entreprise, approuvés par la direction générale. La charte informatique traduit une partie de ces règles en obligations quotidiennes pour chaque collaborateur, qui la signe ou en prend connaissance. La PSSI s’adresse à la direction, aux responsables et aux auditeurs ; la charte à tout le personnel. Les deux se complètent.

Peut-on utiliser un modèle de PSSI gratuit ?

Oui, comme point de départ. Un modèle donne la structure et des exemples de formulation, mais chaque section doit décrire ce que votre entreprise fait réellement. Supprimez les règles que vous ne pouvez pas tenir aujourd’hui : une règle écrite mais non appliquée se retourne contre vous lors d’un audit ou d’un sinistre.

Quelle longueur doit avoir une PSSI pour une PME ?

Pour une PME de 50 à 250 salariés, 20 à 40 pages suffisent. Un document de 80 pages sera relu au moment des audits et rarement mis à jour. Mieux vaut une PSSI courte, tenue à jour, dont chaque règle a un responsable et un moyen de vérification.

Qui doit rédiger la PSSI ?

Le responsable informatique ou le responsable sécurité, avec le DPO pour les données personnelles et la direction pour la gouvernance. Un prestataire peut rédiger la première version, mais la validation et la signature restent internes : une PSSI signée par le seul responsable informatique n’engage pas l’organisation.

NIS2 exige-t-elle une PSSI ?

Oui en substance. L’article 21.2.a de la directive NIS2 demande des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information, et l’article 20 confie à la direction leur approbation. Dans son Référentiel Cyber France (document de travail, mars 2026), l’ANSSI attend une PSSI approuvée par le dirigeant exécutif et déclinée en politiques thématiques, dont l’usage du chiffrement et le contrôle d’accès.

Faut-il réviser la PSSI après un incident de sécurité ?

Oui. Après tout incident significatif, relisez la PSSI pour voir si l’incident révèle une règle manquante ou non appliquée, et mettez à jour les sections concernées. Tout changement majeur (fusion, ouverture d’un site, nouvel outil structurant) déclenche aussi une révision ciblée.

Sources

Directive (UE) 2022/2555 (NIS2), articles 20 et 21.
ANSSI, Référentiel Cyber France (ReCyF), document de travail v2.5, mars 2026, exigence relative à la PSSI.
Règlement (UE) 2016/679 (RGPD), articles 13, 28 et 32.
ISO/IEC 27001:2022, clause 5.2 et annexe A (A.5.1, A.5.15, A.5.24, A.6.3).
Règlement (UE) 2022/2554 (DORA), articles 5, 6 et 12.
Code du travail, article L1222-4.
CNIL, guide de la sécurité des données personnelles, édition 2024.

Modèle de PSSI pour PME (PDF)