{"id":7823,"date":"2025-09-18T09:00:00","date_gmt":"2025-09-18T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-4970\/"},"modified":"2026-07-04T12:29:12","modified_gmt":"2026-07-04T12:29:12","slug":"le-ciso-est-un-bouc-emissaire-pourquoi-le-role-doit-etre-fondamentalement-reforme","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2025\/09\/18\/le-ciso-est-un-bouc-emissaire-pourquoi-le-role-doit-etre-fondamentalement-reforme\/","title":{"rendered":"Le CISO est un bouc \u00e9missaire  &#8211;  Pourquoi le r\u00f4le doit \u00eatre fondamentalement r\u00e9form\u00e9"},"content":{"rendered":"<p><strong>Lorsque cela explose, c&rsquo;est le CISO qui trinque. Chez SolarWinds, chez Uber, chez Capital One  &#8211;  apr\u00e8s chaque gros incident de s\u00e9curit\u00e9, c&rsquo;est la m\u00eame t\u00eate qui tombe. Le Chief Information Security Officer porte la responsabilit\u00e9, mais n&rsquo;a ni le budget, ni l&rsquo;autorit\u00e9, ni le si\u00e8ge au conseil d&rsquo;administration pour accomplir sa mission. Une analyse d&rsquo;une structure de r\u00f4le toxique.<\/strong><\/p>\n<h2>L&rsquo;essentiel<\/h2>\n<ul>\n<li>La dur\u00e9e moyenne d\u2019un CISO est de 26 mois  &#8211;  la plus courte de toutes les fonctions de niveau C<\/li>\n<li>Seulement 12 % des CISO rendent directement compte au PDG  &#8211;  la majorit\u00e9 rel\u00e8ve du CIO ou du CTO et ne dispose pas d\u2019autorit\u00e9 budg\u00e9taire propre<\/li>\n<li>Apr\u00e8s un incident de s\u00e9curit\u00e9, le CISO est remplac\u00e9 dans 60 % des cas  &#8211;  m\u00eame si la cause r\u00e9side dans une sous-investissement ou dans des d\u00e9cisions commerciales<\/li>\n<li>Les taux d\u2019\u00e9puisement professionnel chez les CISO d\u00e9passent 50 %  &#8211;  les plus \u00e9lev\u00e9s de toutes les fonctions de direction informatique<\/li>\n<\/ul>\n<h2>Responsabilit\u00e9 sans pouvoir<\/h2>\n<p>Imaginez que vous \u00eates le responsable de la s\u00e9curit\u00e9 incendie d\u2019un immeuble de grande hauteur. Vous savez que l\u2019installation de sprinklers est obsol\u00e8te, que les issues de secours sont bloqu\u00e9es et que les portes coupe-feu ne se ferment pas. Vous r\u00e9digez des rapports. Vous escaladez les probl\u00e8mes. Mais la gestion de l\u2019immeuble r\u00e9pond : \u00ab C\u2019est trop cher. Nous ferons cela l\u2019ann\u00e9e prochaine. \u00bb Ensuite, il y a un incendie. Et on vous licencie parce que la s\u00e9curit\u00e9 incendie a \u00e9chou\u00e9.<\/p>\n<p>C\u2019est la r\u00e9alit\u00e9 de la plupart des CISO. Ils identifient les risques, les documentent, les escaladent  &#8211;  et se font outrepasser. Par des unit\u00e9s commerciales qui veulent livrer plus rapidement. Par le CIO, qui a besoin du budget pour d\u2019autres projets. Par le conseil d\u2019administration, qui voit la s\u00e9curit\u00e9 comme un centre de co\u00fbts. Jusqu\u2019\u00e0 ce que l\u2019attaque arrive.<\/p>\n<h2>Le probl\u00e8me structurel<\/h2>\n<p><strong>Ligne de reporting :<\/strong> Un CISO qui rend compte au CIO a un conflit d\u2019int\u00e9r\u00eats inh\u00e9rent. Le CIO optimise pour la vitesse et l\u2019efficacit\u00e9. La s\u00e9curit\u00e9 g\u00e9n\u00e8re de la friction. Dans cette configuration, la s\u00e9curit\u00e9 perd syst\u00e9matiquement  &#8211;  non pas par mauvaise intention, mais par inf\u00e9riorit\u00e9 structurelle.<\/p>\n<p><strong>R\u00e9alit\u00e9 budg\u00e9taire :<\/strong> La part moyenne de la cybers\u00e9curit\u00e9 dans le budget informatique se situe entre 5 et 10 %. Dans les secteurs r\u00e9glement\u00e9s, elle est l\u00e9g\u00e8rement sup\u00e9rieure. Autrement dit : pour chaque euro d\u00e9pens\u00e9 par l\u2019informatique, 90 centimes vont \u00e0 des projets que le CISO doit s\u00e9curiser  &#8211;  avec les 10 centimes restants.<\/p>\n<p><strong>Pi\u00e8ge de carri\u00e8re :<\/strong> Le r\u00f4le est une position perdant-perdant. Si rien ne se passe, la cybers\u00e9curit\u00e9 \u00e9tait \u00ab inutilement co\u00fbteuse \u00bb. Si quelque chose se produit, la cybers\u00e9curit\u00e9 a \u00ab \u00e9chou\u00e9 \u00bb. Aucun r\u00e9sultat n\u2019est positivement visible pour le CISO. Les meilleurs CISO sont invisibles  &#8211;  et sont les premiers \u00e0 \u00eatre supprim\u00e9s d\u00e8s qu\u2019il s\u2019agit de r\u00e9aliser des \u00e9conomies.<\/p>\n<h2>Ce que Joe Sullivan chez Uber a montr\u00e9<\/h2>\n<p>Le cas Joe Sullivan est paradigmatique. En tant que CISO d\u2019Uber, il a dissimul\u00e9 un vol de donn\u00e9es  &#8211;  et en a \u00e9t\u00e9 condamn\u00e9 p\u00e9nalement. Cette condamnation \u00e9tait juridiquement fond\u00e9e. Mais elle a aussi r\u00e9v\u00e9l\u00e9 ceci : le CISO agissait seul. La d\u00e9cision de dissimulation avait \u00e9t\u00e9 prise dans un environnement o\u00f9 les incidents de s\u00e9curit\u00e9 \u00e9taient trait\u00e9s comme un risque commercial \u00e0 g\u00e9rer  &#8211;  et non comme un probl\u00e8me exigeant une communication transparente.<\/p>\n<p>Depuis l\u2019affaire Sullivan, chaque CISO se demande : \u00ab Si cela tourne mal, je finirai devant les tribunaux. \u00bb Ce climat ne renforce pas la s\u00e9curit\u00e9, mais cr\u00e9e des CISO d\u00e9fensifs, qui privil\u00e9gient la documentation comme bouclier plut\u00f4t que l\u2019anticipation active des risques.<\/p>\n<h2>Comment le r\u00f4le devrait fonctionner<\/h2>\n<p><strong>Reporting au niveau du conseil d\u2019administration :<\/strong> Le CISO doit rendre compte directement au conseil d\u2019administration ou au conseil de surveillance  &#8211;  et non au CIO. Dans les secteurs r\u00e9glement\u00e9s, NIS2 et DORA l\u2019exigent d\u00e9j\u00e0. Cela doit devenir la norme.<\/p>\n<p><strong>Budget propre :<\/strong> La cybers\u00e9curit\u00e9 n\u00e9cessite un budget autonome, non r\u00e9affectable par le CIO. R\u00e9f\u00e9rence : au moins 10 % du budget informatique global, et 15 % pour les entreprises KRITIS.<\/p>\n<p><strong>Responsabilit\u00e9 partag\u00e9e :<\/strong> NIS2 va dans la bonne direction : les dirigeants sont personnellement responsables de la cybers\u00e9curit\u00e9. Pas seulement le CISO  &#8211;  mais l\u2019ensemble du conseil d\u2019administration. Lorsque le PDG est autant tenu pour responsable que le CISO, les budgets d\u00e9di\u00e9s \u00e0 la s\u00e9curit\u00e9 sont n\u00e9goci\u00e9s diff\u00e9remment.<\/p>\n<h2>Conclusion : Sauver le r\u00f4le, pas la t\u00eate<\/h2>\n<p>L\u2019\u00e9puisement professionnel des CISO n\u2019est pas un probl\u00e8me individuel, mais syst\u00e9mique. Tant que le r\u00f4le associe responsabilit\u00e9 et absence d\u2019autorit\u00e9, il perdra les meilleurs talents  &#8211;  et les entreprises deviendront moins s\u00fbres, et non plus s\u00fbres. La r\u00e9forme commence par la ligne de reporting et se termine par la r\u00e9partition des responsabilit\u00e9s.<\/p>\n<h2>Key Facts<\/h2>\n<p><strong>Dur\u00e9e de vie du CISO :<\/strong> 26 mois en moyenne  &#8211;  compar\u00e9 \u00e0 72 mois pour le CFO et 54 mois pour le CIO.<\/p>\n<p><strong>\u00c9puisement professionnel :<\/strong> 54 % des CISO signalent une surcharge chronique, 24 % ont activement cherch\u00e9 un poste en dehors de la cybers\u00e9curit\u00e9 au cours des 12 derniers mois (IANS Research, 2024).<\/p>\n<h2>Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Chaque entreprise a-t-elle besoin d\u2019un CISO ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">\u00c0 partir d\u2019une certaine taille  &#8211;  oui. Pour moins de 200 employ\u00e9s, un vCISO (Chief Information Security Officer virtuel) externe suffit souvent, qui conseille strat\u00e9giquement et d\u00e9l\u00e8gue la s\u00e9curit\u00e9 op\u00e9rationnelle \u00e0 des prestataires g\u00e9r\u00e9s. L\u2019essentiel est que la responsabilit\u00e9 soit clairement attribu\u00e9e et \u00e9tay\u00e9e par une autorit\u00e9 r\u00e9elle.<\/p>\n<\/details>\n<details>\n<summary><strong>Comment NIS2 modifie-t-il le r\u00f4le du CISO ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">NIS2 rend les dirigeants personnellement responsables. Cela change la dynamique : la cybers\u00e9curit\u00e9 passe d\u2019une affaire de CISO \u00e0 une priorit\u00e9 du conseil d\u2019administration. Les CISO gagnent en autorit\u00e9, car le conseil d\u2019administration est d\u00e9sormais personnellement tenu pour responsable et \u00e9coute activement.<\/p>\n<\/details>\n<details>\n<summary><strong>Combien gagne un CISO en Allemagne ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Entre 120 000 et 250 000 euros, selon la taille de l\u2019entreprise et le secteur d\u2019activit\u00e9. Compar\u00e9 aux salaires am\u00e9ricains (300 000 \u00e0 600 000 dollars), ce niveau est faible  &#8211;  une autre raison de la p\u00e9nurie de talents qualifi\u00e9s sur ce poste en Europe.<\/p>\n<\/details>\n<h2>Articles connexes<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/?p=5141\">NIS2 et responsabilit\u00e9 des dirigeants : pourquoi la cybers\u00e9curit\u00e9 est une affaire de chef<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2025\/12\/11\/post_id-3617\/\">Cybers\u00e9curit\u00e9 2025 : l\u2019ann\u00e9e en revue<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2025\/09\/11\/post_id-3611\/\">DORA en pratique : premi\u00e8res exp\u00e9riences du secteur financier<\/a><\/li>\n<\/ul>\n<p style=\"font-weight:700;color:#e6e3da;font-size:1.05em;margin:48px 0 16px;\">Mais du r\u00e9seau MBF Media<\/p>\n<div style=\"display:flex;flex-direction:column;gap:14px;margin-bottom:40px;\"><a href=\"https:\/\/www.digital-chiefs.de\/149-000-offene-it-stellen-wie-cios-ki-copiloten-als-fachkraeftersatz-nutzen\/\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#d65663;\">Digital Chiefs<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Perspectives de niveau C sur la s\u00e9curit\u00e9 informatique sur digital-chiefs.de<\/span><\/a><a href=\"https:\/\/mybusinessfuture.com\/ki-made-in-germany-935-startups-oekosystem\/\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#aa8ac2;\">MyBusinessFuture<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Leadership et digitalisation sur mybusinessfuture.com<\/span><\/a><\/div>\n","protected":false},"excerpt":{"rendered":"Lorsque cela explose, c&rsquo;est le CISO qui trinque. Chez SolarWinds, chez Uber, chez Capital One &#8211; apr\u00e8s chaque gros incident de s\u00e9curit\u00e9, c&rsquo;est la m\u00eame t\u00eate qui tombe. Le Chief Information Security Officer porte la responsabilit\u00e9, mais n&rsquo;a ni le budget, ni l&rsquo;autorit\u00e9, ni le si\u00e8ge au conseil d&rsquo;administration pour accomplir sa mission. Une analyse [&hellip;]","protected":false},"author":55,"featured_media":4971,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ciso","_yoast_wpseo_title":"Le CISO est un bouc \u00e9missaire - Pourquoi le r\u00f4le doit \u00eatre fondamentalement r\u00e9","_yoast_wpseo_metadesc":"CISO bouc \u00e9missaire ? Pourquoi ce r\u00f4le doit \u00eatre r\u00e9form\u00e9 pour renforcer la s\u00e9curit\u00e9 r\u00e9elle. D\u00e9couvrez les solutions et agissez maintenant.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-4970"],"footnotes":""},"categories":[260],"tags":[],"class_list":["post-7823","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":4970,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7823","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7823"}],"version-history":[{"count":8,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7823\/revisions"}],"predecessor-version":[{"id":19979,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7823\/revisions\/19979"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/4971"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7823"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7823"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7823"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}