Recrutement RSSI / CISO : la chasse de têtes de votre direction sécurité
Le RSSI n’est plus un poste technique : c’est une fonction de gouvernance. NIS 2 engage la responsabilité des dirigeants, DORA impose une résilience démontrable, et le bon RSSI se joue autant en comité de direction que devant une architecture. Rehackt chasse les RSSI et CISO en poste, les évalue sur les deux tableaux, et sécurise votre recrutement de bout en bout.
Le RSSI en 2026 : un poste qui a changé de nature
Le périmètre s’est élargi. Stratégie et gouvernance, conformité réglementaire, gestion de crise, sensibilisation, pilotage budgétaire, et management d’équipes de plus en plus étoffées. Là où le RSSI d’il y a dix ans passait ses journées sur les outils, celui de 2026 passe une bonne partie des siennes à expliquer, arbitrer et convaincre.
Le rattachement aussi a évolué. À la DSI hier, de plus en plus souvent à la direction générale ou à la direction des risques aujourd’hui, parfois à une direction sécurité globale qui réunit cyber et sûreté. C’est un signal fort du niveau attendu, et c’est souvent le premier point que nous clarifions avec vous : à qui reporte le RSSI dit beaucoup de ce que vous attendez de lui.
Quatre raisons pour lesquelles ce recrutement traîne
Quand un poste de RSSI reste ouvert six mois, ce n’est presque jamais faute de candidatures. C’est faute des bonnes.
Les bons RSSI sont en poste
Et sur-sollicités : plusieurs approches par semaine pour les meilleurs profils. Une annonce, même bien écrite, ne les atteint pas.
La double exigence
Crédibilité technique face aux équipes, aisance politique face au CODIR. Rares sont les profils qui excellent sur les deux, et un entretien classique ne teste souvent que l’un.
Un même intitulé, des contextes incomparables
Premier RSSI d’une ETI, RSSI groupe, RSSI d’une filiale OIV : trois postes différents. Le mauvais casting vient souvent d’une fiche copiée d’ailleurs.
Un mauvais choix coûte cher
Souvent 12 à 18 mois de perdus, une conformité fragilisée, une équipe démobilisée. Et un deuxième recrutement à mener, avec un marché qui a vu passer le premier.
Rémunération d’un RSSI en 2026
Fourchettes indicatives France, hors avantages, calées sur le marché et sur nos échanges avec les candidats en poste. Le rattachement, le périmètre et la criticité réglementaire font la différence.
| Contexte | Fourchette brute annuelle | Ce qui fait bouger le curseur |
|---|---|---|
| RSSI PME / ETIpremier poste, rattachement DSI ou DG | 80 à 120 K€ | Périmètre à construire, souvent seul au départ. Le variable est rare, la latitude d’action fait la différence. |
| RSSI grand groupepérimètre national, équipe constituée | 120 à 180 K€ | Variable en sus. Exposition réglementaire (OIV, OSE, DORA) et taille de l’équipe pèsent sur le haut de fourchette. |
| Group CISOpérimètre international, reporting COMEX | 180 à 250 K€ et plus | Package avec variable et intéressement long terme. Le marché est court, les processus aussi : les meilleurs ne restent pas disponibles. |
Fourchettes indicatives France 2026, hors avantages.
Comment nous chassons un RSSI
La méthode complète est détaillée sur notre page executive search cybersécurité, IT & sûreté. Voici ce qu’elle donne, appliquée à un mandat RSSI.
Conditions : les mêmes que pour tous nos mandats. Honoraires au succès, indexés sur le package, garantie de remplacement. Le détail est sur la page Confier un recrutement.
FAQ : recruter un RSSI ou un CISO
Les questions qui reviennent au premier appel. Cliquez pour ouvrir.
Q.01 RSSI ou CISO : quelle différence ?
Le contenu du poste est proche, l’usage diffère. CISO est l’intitulé anglo-saxon, courant dans les groupes internationaux ou pour marquer un positionnement C-level. En France, RSSI reste le terme le plus répandu, y compris pour des fonctions de direction.
Q.02 Quel salaire pour un RSSI en 2026 ?
De 80 K€ pour un premier poste en ETI à plus de 250 K€ de package pour un Group CISO international. Le rattachement, le périmètre et la criticité réglementaire font la différence. Le tableau ci-dessus détaille les trois contextes les plus fréquents.
Q.03 Combien de temps pour une shortlist ?
3 à 5 semaines en moyenne pour une shortlist qualifiée et référencée, et 8 à 12 semaines en moyenne pour le process complet, préavis non compris. Ce sont des moyennes constatées sur nos mandats : un contexte très spécifique (OIV, groupe international, premier RSSI d’une organisation peu mature) peut demander plus, un besoin bien cadré va plus vite.
Q.04 Faut-il un RSSI interne, de transition ou à temps partagé ?
Tout dépend de votre maturité, de votre exposition réglementaire et de votre budget. C’est souvent la première question que nous cadrons ensemble avant de lancer la chasse : un RSSI de transition peut structurer le poste pendant que nous recrutons le titulaire.
Vous recrutez votre RSSI, ou vous préparez sa succession ? Échangeons.
En toute discrétion, sans engagement au premier appel. Vous échangez directement avec Eva, réponse sous 48 heures.
