L’essentiel en bref<\/p>\n
- \n
- Le travail sp\u00e9cialis\u00e9 est d\u00e9l\u00e9gable :<\/strong> Un vCISO peut prendre en charge la strat\u00e9gie, la mise en place de l’ISMS, l’analyse des risques, la pr\u00e9paration des audits et le reporting. En tant que terme de march\u00e9, ce r\u00f4le n’est pas d\u00e9fini par la loi.<\/li>\n
- L’obligation d’organe n’est pas d\u00e9l\u00e9gable :<\/strong> Le paragraphe 38 BSIG oblige la direction des \u00e9tablissements particuli\u00e8rement importants et importants \u00e0 mettre en \u0153uvre les mesures de risque et \u00e0 en surveiller la mise en \u0153uvre. La propre formation reste \u00e9galement \u00e0 la charge de la direction.<\/li>\n
- Le libell\u00e9 compte :<\/strong> La loi allemande parle de mettre en \u0153uvre et de surveiller. L’exigence d’approbation provient de l’article 20 de la directive NIS2. Celui qui m\u00e9lange les deux cite la mauvaise norme lors de l’audit.<\/li>\n
- Le mod\u00e8le \u00e9choue \u00e0 l’interface :<\/strong> Sans ancrage interne, escalade claire et plan d’offboarding, l’expertise externe se transforme en faille de gouvernance qui ressort lors de l’audit.<\/li>\n<\/ul>\n<\/div>\n
Connexe :<\/span>Quels droits de d\u00e9cision du CISO doivent \u00eatre r\u00e9glement\u00e9s par \u00e9crit<\/a> \/<\/span> Pourquoi le certificat ISO ne suffit pas seul au BSI<\/a><\/p>\n
Ce qu’un vCISO fournit et ce que le terme de march\u00e9 ne r\u00e9glemente pas<\/h2>\n
Qu’est-ce qu’un vCISO ?<\/strong> Un vCISO ou CISO-as-a-Service est l’occupation externe de la fonction de CISO par un prestataire de services, g\u00e9n\u00e9ralement dans le cadre d’un contingent mensuel ou sur la base d’un taux journalier plut\u00f4t qu’en contrat \u00e0 dur\u00e9e ind\u00e9termin\u00e9e. Il assume la gestion strat\u00e9gique de la s\u00e9curit\u00e9 de l’information au niveau de la direction, sans faire partie de la direction g\u00e9n\u00e9rale.<\/p>\n
En pratique, le mandat couvre un p\u00e9rim\u00e8tre de t\u00e2ches clair. Le vCISO met en place ou d\u00e9veloppe davantage le syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information, r\u00e9dige des directives, effectue des analyses de risques et pr\u00e9pare les audits internes comme externes. S’y ajoutent les concepts de sensibilisation, les playbooks d’incident et le reporting r\u00e9gulier \u00e0 la direction. \u00c0 titre indicatif approximatif sans norme fixe, l’ampleur se situe entre un demi et quelques jours-personnes par mois, factur\u00e9 en forfait ou selon le temps pass\u00e9. Il n’existe pas de prix de march\u00e9 fixes, les indications des prestataires varient fortement.<\/p>\n
La distinction conceptuelle est importante. Le d\u00e9l\u00e9gu\u00e9 \u00e0 la s\u00e9curit\u00e9 de l’information externe g\u00e8re l’ISMS de mani\u00e8re op\u00e9rationnelle, le vCISO pilote strat\u00e9giquement au niveau de la direction. Dans les petites structures, cela se confond, car une seule personne porte les deux casquettes. Pour la gouvernance, ce n’est pas le titre qui compte, mais le profil de t\u00e2ches et la question de savoir qui, en fin de compte, r\u00e9pond devant l’autorit\u00e9 de surveillance.<\/p>\n
Paragraphe 38 BSIG : Ce que la direction ne peut pas acheter<\/h2>\n
La nouvelle BSIG est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025 et a remplac\u00e9 l’ancienne version de 2009. Pour la question des r\u00f4les, le paragraphe 38 est le levier d\u00e9cisif. Il oblige les directions des \u00e9tablissements particuli\u00e8rement importants et importants, conform\u00e9ment au paragraphe 30, \u00e0 mettre en \u0153uvre les mesures de gestion des risques \u00e0 prendre et \u00e0 en surveiller la mise en \u0153uvre. Le paragraphe 30 \u00e9num\u00e8re \u00e0 cet effet les dix mesures minimales, de l’analyse des risques \u00e0 la cryptographie en passant par la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement.<\/p>\n
\u00c0 ce stade, un examen pr\u00e9cis du libell\u00e9 s’impose. La loi allemande parle de mettre en \u0153uvre et de surveiller. Le terme d’approuver, utilis\u00e9 par de nombreux commentaires, provient de l’article 20 de la directive NIS2 et correspond \u00e0 l’anglais approve. Le l\u00e9gislateur a donc volontairement formul\u00e9 de mani\u00e8re plus forte que la norme europ\u00e9enne. Mettre en \u0153uvre signifie plus qu’approuver : la direction doit veiller \u00e0 ce que les mesures soient introduites et exploit\u00e9es efficacement avec des ressources et un ancrage. Elle garde en permanence un \u0153il sur leur efficacit\u00e9. Un prestataire externe peut pr\u00e9parer cela. La responsabilit\u00e9 en incombe \u00e0 la direction.<\/p>\n
Deux autres alin\u00e9as clarifient clairement les limites de la d\u00e9l\u00e9gation. Le paragraphe 38 alin\u00e9a 2 lie une violation fautive des obligations \u00e0 la responsabilit\u00e9 des membres de la direction envers leur propre \u00e9tablissement, selon les r\u00e8gles du droit des soci\u00e9t\u00e9s applicable. Et l’alin\u00e9a 3 exige que les membres de la direction participent r\u00e9guli\u00e8rement personnellement \u00e0 des formations afin de pouvoir identifier et \u00e9valuer les risques cyber. Un externe peut assurer la mise en \u0153uvre, mais la participation des organes reste obligatoire. Un vCISO peut former, mais il ne peut pas remplacer la participation. Celui qui pense qu’avec le contrat de service la conformit\u00e9 est externalis\u00e9e, a manqu\u00e9 le c\u0153ur de la norme.<\/p>\n
La r\u00e9partition des r\u00f4les : externe pour l’op\u00e9rationnel, interne pour la responsabilit\u00e9<\/h2>\n
La s\u00e9paration propre suit une ligne simple. Tout ce qui rel\u00e8ve du travail sp\u00e9cialis\u00e9 peut \u00eatre externalis\u00e9. Tout ce qui concerne la d\u00e9cision, l’allocation de ressources et la preuve de la surveillance reste \u00e0 l’interne. Le tableau suivant attribue les t\u00e2ches typiques.<\/p>\n
\n - L’obligation d’organe n’est pas d\u00e9l\u00e9gable :<\/strong> Le paragraphe 38 BSIG oblige la direction des \u00e9tablissements particuli\u00e8rement importants et importants \u00e0 mettre en \u0153uvre les mesures de risque et \u00e0 en surveiller la mise en \u0153uvre. La propre formation reste \u00e9galement \u00e0 la charge de la direction.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/nis2-apres-lecheance-cest-maintenant-que-commence-la-supervision-de-la-bsi-cover-fr-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-compliance-mittelstand-umsetzung-praxis-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>