le client demande qui est notre CISO mais nous n'avons pas de fonction séparée pour cela

L'absence de RSSI n'est pas un problème

La question concernant un RSSI ne porte pas sur un titre de visite, mais sur le rôle : qui est responsable de la sécurité de l'information et de la cybersécurité, et qui le client peut-il contacter en cas de problème. Dans les petites entreprises, ce rôle incombe souvent au directeur, au responsable informatique ou à quelqu'un qui le fait "en plus". C'est une réponse valide, à condition de pouvoir désigner qui c'est et ce que cette personne fait.

Répondez donc à la question en indiquant la fonction qui exerce effectivement le rôle, et non pas "s.o.". Formulation type : "le rôle de RSSI est exercé par [fonction], responsable de [tâches]". Cela correspond à ce que les clients testent en pratique : non pas le titre, mais s'il existe une surveillance de l'analyse des risques et la sécurité des systèmes d'information et si les mesures de sécurité sont évaluées régulièrement. La gouvernance est le thème sous-jacent, et non une question de personnel.

La gouvernance est indépendante du titre de la fonction

L'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) énumère dix catégories de mesures, notamment une politique relative à l'analyse des risques et à la sécurité des systèmes d'information — un titre de RSSI n'apparaît pas dans cette énumération. La norme ISO/IEC 27001 fonctionne selon la même logique : l'Annexe A demande des responsabilités clairement attribuées en matière de sécurité de l'information (souvent en A.5, organisation de la sécurité de l'information), et non un nom de fonction spécifique. Le questionnaire du client traduit généralement cette exigence par « qui est le RSSI » car c'est le terme courant dans les grandes organisations, mais la question sous-jacente demeure : la responsabilité est-elle attribuée. Dès lors que c'est établi — même dans une description de fonction du directeur — il existe une base factuelle pour une réponse, même sans le titre lui-même.