Droits de contr\u00f4le et d\u2019audit.<\/strong> Sans visibilit\u00e9, pas de veto. Le CISO a besoin d\u2019un acc\u00e8s en lecture et d\u2019audit sur les logs, les r\u00e8gles de pare-feu, les rapports de vuln\u00e9rabilit\u00e9s et les tests de restauration de sauvegardes, ind\u00e9pendamment de l\u2019exploitation IT. Ce pouvoir doit \u00eatre limit\u00e9 dans le temps et juridiquement, mais \u00eatre ex\u00e9cutoire dans le mandat.<\/p>\nLe tableau suivant illustre le mod\u00e8le, sans d\u00e9velopper une matrice RACI compl\u00e8te.<\/p>\n
\n
\n\n\n| D\u00e9cision<\/th>\n | Qui d\u00e9cide<\/th>\n | Escalade en cas de blocage<\/th>\n<\/tr>\n<\/thead>\n |
\n\nAccepter le risque final<\/strong><\/td>\n| Service m\u00e9tier ou direction g\u00e9n\u00e9rale, le CISO valide l\u2019analyse<\/td>\n | Direction g\u00e9n\u00e9rale<\/td>\n<\/tr>\n | \nApprouver un changement \u00e0 haut risque<\/strong><\/td>\n| Approbation ou veto du CISO<\/td>\n | Direction g\u00e9n\u00e9rale ou comit\u00e9 cyber<\/td>\n<\/tr>\n | \nIsoler un syst\u00e8me de production<\/strong><\/td>\n| CISO ou CSIRT en cas d\u2019incident actif<\/td>\n | Notification imm\u00e9diate \u00e0 la direction g\u00e9n\u00e9rale sans approbation pr\u00e9alable<\/td>\n<\/tr>\n | \nException \u00e0 la politique<\/strong><\/td>\n| CISO pour une dur\u00e9e limit\u00e9e, avec compensation<\/td>\n | Direction g\u00e9n\u00e9rale en cas de refus par le service m\u00e9tier<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\nCISO et CIO : pourquoi la m\u00eame ligne hi\u00e9rarchique masque le conflit<\/h2>\nLa disponibilit\u00e9 et la s\u00e9curit\u00e9 sont deux objectifs l\u00e9gitimes qui s\u2019opposent r\u00e9guli\u00e8rement. L\u2019exploitation IT veut livrer, le CISO veut s\u00e9curiser. Lorsque les deux r\u00f4les d\u00e9pendent de la m\u00eame ligne hi\u00e9rarchique, la direction IT contr\u00f4le pr\u00e9cis\u00e9ment ce que le CISO doit contr\u00f4ler : correctifs, identit\u00e9s, journalisation, sauvegardes. C\u2019est une rupture de la s\u00e9paration des fonctions.<\/p>\n Le BSI recommande donc, pour pr\u00e9server l\u2019ind\u00e9pendance, de rattacher directement le responsable de la s\u00e9curit\u00e9 de l\u2019information (ISB) \u00e0 la plus haute direction. Une int\u00e9gration au sein du d\u00e9partement IT peut g\u00e9n\u00e9rer des conflits de r\u00f4les. Les analyses de gouvernance pointent dans la m\u00eame direction : lorsque la fonction s\u00e9curit\u00e9 est plac\u00e9e sous la direction IT, des d\u00e9ficits d\u2019information et des int\u00e9r\u00eats propres silencieux apparaissent facilement dans la cha\u00eene.<\/p>\n La r\u00e9ponse pratique n\u2019est pas un d\u00e9bat de statut sur l\u2019appartenance du CISO au C-Level. C\u2019est une r\u00e8gle d\u2019escalade : un blocage technique entre la direction IT et le CISO est transmis \u00e0 la direction g\u00e9n\u00e9rale dans un d\u00e9lai d\u00e9fini. Celle-ci d\u00e9cide du risque m\u00e9tier, le CISO documente sa position s\u00e9curit\u00e9, les deux par \u00e9crit dans le proc\u00e8s-verbal.<\/p>\n Le cadre juridique trace la fronti\u00e8re entre responsabilit\u00e9 et pouvoir<\/h2>\nLa loi et les normes d\u00e9finissent la responsabilit\u00e9 de direction. Elles ne r\u00e8glent pas le cahier des d\u00e9cisions op\u00e9rationnelles du CISO. C\u2019est pr\u00e9cis\u00e9ment cette lacune que comble le mandat. Le paragraphe 38 du BSIG oblige la direction g\u00e9n\u00e9rale \u00e0 mettre en \u0153uvre les mesures de gestion des risques et \u00e0 en surveiller la mise en \u0153uvre. En cas de manquement fautif \u00e0 ses obligations, elle engage sa responsabilit\u00e9 selon les r\u00e8gles du droit des soci\u00e9t\u00e9s. L\u2019article 20 de la NIS2 formule au niveau europ\u00e9en la m\u00eame ligne : les organes de direction approuvent les mesures, les surveillent et peuvent \u00eatre tenus responsables en cas de violation.<\/p>\n Le BSI-Grundschutz clarifie la cons\u00e9quence. La direction supr\u00eame porte la responsabilit\u00e9 globale. La d\u00e9l\u00e9gation des t\u00e2ches op\u00e9rationnelles ne l\u2019en dispense pas. Il en d\u00e9coule une r\u00e9partition claire des r\u00f4les : la direction g\u00e9n\u00e9rale reste la d\u00e9cideuse finale pour l\u2019acceptation des risques et les arbitrages strat\u00e9giques. Le CISO re\u00e7oit des pouvoirs d\u00e9l\u00e9gu\u00e9s pour l\u2019exploitation s\u00e9curit\u00e9, un veto dans des domaines d\u00e9finis et une obligation d\u2019escalade. L\u2019ordre est important : la loi ne pr\u00e9cise pas quels droits le CISO poss\u00e8de. C\u2019est une question d\u2019organisation. C\u2019est pourquoi elle doit \u00eatre tranch\u00e9e par \u00e9crit.<\/p>\n Ce qui doit figurer dans un mandat CISO et par o\u00f9 commencer<\/h2>\nUn mandat est un contrat compact entre la direction g\u00e9n\u00e9rale et le CISO, pas un bundle de politiques de 40 pages. Huit \u00e9l\u00e9ments suffisent : le r\u00f4le et le p\u00e9rim\u00e8tre avec d\u00e9limitation par rapport au CIO et \u00e0 la protection des donn\u00e9es, la voie hi\u00e9rarchique avec fr\u00e9quence minimale et rapport de conflit non filtr\u00e9, les pouvoirs de d\u00e9cision avec seuils, les droits de veto \u00e9num\u00e9r\u00e9s, le chemin d\u2019escalade avec fen\u00eatre temporelle et joignabilit\u00e9, les ressources y compris l\u2019approbation d\u2019urgence, les droits de contr\u00f4le et d\u2019ex\u00e9cution ainsi qu\u2019un cycle de revue avec signature de la direction g\u00e9n\u00e9rale.<\/p>\n Le d\u00e9marrage ne n\u00e9cessite pas une grande r\u00e9organisation. Trois \u00e9tapes suffisent pour commencer. Premi\u00e8rement : r\u00e9pondre \u00e0 l\u2019avance aux trois questions d\u2019incident, \u00e0 savoir qui isole, qui informe la direction g\u00e9n\u00e9rale et les autorit\u00e9s, qui peut sacrifier la disponibilit\u00e9. Deuxi\u00e8mement : consigner ces r\u00e9ponses de mani\u00e8re identique dans le mandat et le plan d\u2019incident. Troisi\u00e8mement : jouer une fois le sc\u00e9nario d\u2019isolation du segment ERP sous forme d\u2019exercice sur table, avec la direction IT, le directeur financier et la direction g\u00e9n\u00e9rale \u00e0 la table, au-del\u00e0 du SOC. Celui qui a r\u00e9alis\u00e9 cet exercice une fois ne se disputera plus \u00e0 02 h 47 sur les responsabilit\u00e9s.<\/p>\n Dans les tr\u00e8s petites organisations, le r\u00f4le co\u00efncide parfois avec la direction IT. Il faut alors des mesures compensatoires : un principe des quatre yeux, des revues externes et une voie hi\u00e9rarchique directe vers la direction g\u00e9n\u00e9rale en cas d\u2019incident, clairement limit\u00e9e dans le temps. C\u2019est la deuxi\u00e8me meilleure solution, mais une solution document\u00e9e.<\/p>\n Questions fr\u00e9quentes<\/h2>\nChaque question est ferm\u00e9e. Un clic r\u00e9v\u00e8le la r\u00e9ponse.<\/p>\n\nQuelle est la diff\u00e9rence entre une description de poste et un mandat CISO ?<\/strong><\/summary>\nUne description de poste \u00e9num\u00e8re les t\u00e2ches et les exigences. Un mandat d\u00e9finit les pouvoirs : ce que le CISO peut d\u00e9cider, o\u00f9 il a un veto, quand il escalade et quelles ressources lui reviennent. Lors d\u2019un incident, c\u2019est le mandat qui compte, car il r\u00e9git le pouvoir d\u2019action.<\/p>\n<\/details>\n\nLe BSIG prescrit-il les droits d\u2019un CISO ?<\/strong><\/summary>\nNon. Le paragraphe 38 du BSIG r\u00e9git la responsabilit\u00e9 de la direction g\u00e9n\u00e9rale. Il ne r\u00e9git pas les pouvoirs du CISO. Quels droits sont d\u00e9l\u00e9gu\u00e9s rel\u00e8ve d\u2019une d\u00e9cision d\u2019organisation. C\u2019est pr\u00e9cis\u00e9ment pour cela qu\u2019elle doit \u00eatre prise par \u00e9crit, sinon la lacune entre responsabilit\u00e9 l\u00e9gale et action op\u00e9rationnelle reste ouverte.<\/p>\n<\/details>\n\nLe CISO doit-il \u00eatre subordonn\u00e9 au CIO ?<\/strong><\/summary>\nLe BSI d\u00e9conseille de le rattacher \u00e0 la direction IT pour pr\u00e9server l\u2019ind\u00e9pendance. Celui qui doit contr\u00f4ler l\u2019exploitation IT et, en cas de doute, la freiner ne doit pas lui \u00eatre subordonn\u00e9. Lorsqu\u2019une ligne directe n\u2019est pas possible, il faut au moins une voie d\u2019escalade non filtr\u00e9e vers la direction g\u00e9n\u00e9rale.<\/p>\n<\/details>\n\nUn CISO peut-il arr\u00eater un syst\u00e8me de production de sa propre initiative ?<\/strong><\/summary>\nSeulement si le mandat l\u2019y autorise. Il est judicieux de d\u00e9finir clairement un pouvoir d\u2019isolation en cas d\u2019incident actif avec compromission confirm\u00e9e, assorti d\u2019une notification imm\u00e9diate \u00e0 la direction g\u00e9n\u00e9rale. Sans cette r\u00e8gle \u00e9crite, le retard se produit, celui qui co\u00fbte le plus cher en situation critique.<\/p>\n<\/details>\n\n\u00c0 quelle fr\u00e9quence un mandat doit-il \u00eatre r\u00e9vis\u00e9 ?<\/strong><\/summary>\nAu moins une fois par an et apr\u00e8s chaque incident de s\u00e9curit\u00e9 majeur. Un incident r\u00e9v\u00e8le rapidement l\u00e0 o\u00f9 les pouvoirs n\u2019ont pas tenu en pratique. Chaque r\u00e9vision se termine par une nouvelle signature de la direction g\u00e9n\u00e9rale, afin que le mandat reste actuel et autoris\u00e9.<\/p>\n<\/details>\n <\/p>\n Les choix de la r\u00e9daction<\/h3>\n![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/iso-27001-nis2-bsig-zertifikat-luecken-cover-hero-250x143.jpg\") <\/span>\u00c0 lire<\/span>Pourquoi le certificat ISO ne suffit pas au BSI \u00e0 lui seul<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\") <\/span>\u00c0 lire<\/span>Le risque de la cha\u00eene d\u2019approvisionnement est un programme, pas une liste d\u2019audit<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/kritis-dachgesetz-physische-resilienz-ciso-cover-hero-250x143.jpg\") <\/span>\u00c0 lire<\/span>Loi-cadre KRITIS : Quand la r\u00e9silience devient une obligation pour le CISO<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\") <\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\") <\/span>MyBusinessFuture<\/span>AI Act de l\u2019UE \u00e0 partir d\u2019ao\u00fbt 2026 : ce que les PME doivent \u00e9tiqueter maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\") <\/span>cloudmagazin<\/span>XFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Mandat du CISO 2026 : Quels droits de d\u00e9cision, de veto et d’escalade doivent \u00eatre r\u00e9glement\u00e9s par \u00e9crit afin qu’il soit clair en cas d’incident qui peut\u2026","protected":false},"author":10,"featured_media":18187,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Mandat du DSI","_yoast_wpseo_title":"Quels droits de d\u00e9cision du CISO doivent \u00eatre r\u00e9glement\u00e9s par \u00e9crit","_yoast_wpseo_metadesc":"Mandat du CISO 2026 : Quels droits de d\u00e9cision, de veto et d'escalade doivent \u00eatre r\u00e9glement\u00e9s par \u00e9crit pour que les actions soient claires en cas\u2026","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero.jpg","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[260,258],"tags":[],"class_list":["post-20904","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr","category-strategie-governance"],"evm_reading_time_minutes":12,"wpml_language":"fr","wpml_translation_of":18186,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/20904","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=20904"}],"version-history":[{"count":2,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/20904\/revisions"}],"predecessor-version":[{"id":21049,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/20904\/revisions\/21049"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/18187"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=20904"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=20904"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=20904"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
| | | | |