La cybersécurité déborde du périmètre du RSSI
Pendant longtemps, la cybersécurité était considérée comme un sujet technique, cantonné au bureau du RSSI ou de l’équipe sécurité. En 2026, cette vision est non seulement dépassée, elle est dangereuse.
Les chiffres parlent d’eux-mêmes : selon l’ANSSI, 60% des cyberattaques réussies en France exploitent une erreur humaine. Phishing, mots de passe faibles, clics sur des liens malveillants… Ce ne sont pas les pare-feux qui cèdent, ce sont les collaborateurs qui ne sont ni formés, ni outillés.
Le Journal du Net posait récemment la question : « La cybersécurité, c’est le problème du RSSI… Vraiment ? » La réponse est claire. La sécurité est l’affaire de toute l’organisation. Et pour que cette responsabilité partagée fonctionne, il faut des processus structurés et des outils adaptés.
NIS2 et ANSSI : le cadre réglementaire accélère le changement
La directive européenne NIS2, transposée en droit français, impose désormais aux entreprises (y compris les PME et ETI dans certains secteurs) de formaliser leur gouvernance cyber. L’ANSSI a d’ailleurs lancé en mars 2026 un nouvel espace dédié NIS2 sur sa plateforme MesServicesCyber, pour accompagner les organisations dans leur mise en conformité.
Ce que NIS2 change concrètement :
- La direction générale est responsable de la cybersécurité, pas uniquement le RSSI
- Les incidents doivent être signalés dans des délais stricts (24h pour la notification initiale)
- La gestion des risques doit couvrir toute la chaîne, y compris les fournisseurs
- Des sanctions financières dissuasives en cas de non-conformité
Pour les DSI de PME et ETI, cela signifie une chose : il faut structurer les processus de sécurité et les rendre accessibles à tous les services, pas seulement à l’équipe technique.
Pourquoi le RSSI seul ne peut plus tenir la charge
Dans une PME de 200 collaborateurs, le RSSI (quand il existe) gère souvent la sécurité en plus d’autres missions. Il ne peut pas :
- Former individuellement chaque collaborateur aux bonnes pratiques
- Traiter tous les signalements de phishing en temps réel
- Suivre manuellement la conformité de chaque poste de travail
- Documenter chaque incident pour les obligations NIS2
- Coordonner la réponse aux incidents avec les RH, le juridique et la direction
Résultat : les incidents passent entre les mailles du filet, les signalements se perdent dans les e-mails, et la traçabilité exigée par NIS2 n’existe tout simplement pas.
La solution ne passe pas par l’embauche de dix experts en cybersécurité. Elle passe par la mise en place de processus outillés qui impliquent tous les métiers.
L’ITSM comme socle de la cybersécurité distribuée
Un outil ITSM moderne ne se limite plus à la gestion des tickets informatiques. Il devient le hub central où convergent les signalements, les processus de réponse et la documentation des incidents.
Voici comment un ITSM transforme la gestion cyber au quotidien :
1. Un portail de signalement accessible à tous
Chaque collaborateur peut signaler un e-mail suspect, un comportement anormal ou une perte de matériel via un portail simple. Plus besoin d’envoyer un mail au RSSI en espérant qu’il le lise à temps. Le signalement est horodaté, catégorisé et routé automatiquement.
2. Des workflows de réponse aux incidents structurés
Quand un incident de sécurité est déclaré, l’ITSM déclenche un workflow prédéfini : notification au RSSI, escalade à la direction si nécessaire, implication du juridique pour les obligations de notification, communication interne. Chaque étape est tracée.
3. Une base de connaissances pour l’autonomie
Les bonnes pratiques cyber sont documentées dans la base de connaissances : comment reconnaître un phishing, que faire en cas de ransomware, politique de mots de passe. Les collaborateurs trouvent les réponses sans solliciter le RSSI pour chaque question.
4. Le suivi de conformité NIS2 intégré
Chaque incident est enregistré avec son historique complet. Les rapports de conformité se génèrent en quelques clics. Le registre des incidents exigé par NIS2 se construit automatiquement, jour après jour.
Les métiers au coeur de la cybersécurité
Avec un ITSM bien configuré, la cybersécurité ne repose plus sur une seule personne. Chaque service joue son rôle :
- RH : gestion de l’onboarding/offboarding sécurisé, suivi des formations obligatoires, processus de départ avec révocation des accès
- Services généraux : signalement de badges perdus, contrôle d’accès physique, gestion des visiteurs
- Direction financière : validation des demandes de paiement suspectes (fraude au président), alertes sur les changements de RIB fournisseurs
- Managers : validation des droits d’accès de leurs équipes, sensibilisation locale, relai des campagnes de sécurité
- IT : coordination technique, gestion des vulnérabilités, réponse aux incidents majeurs
Ce modèle distribué est exactement ce que la directive NIS2 attend : une gouvernance cyber qui irrigue toute l’organisation, avec des processus formalisés et traçables.
Par où commencer : 4 étapes concrètes
Si votre organisation n’a pas encore structuré sa cybersécurité au-delà de l’IT, voici un plan d’action réaliste :
Étape 1 : Cartographier les processus cyber existants. Qui signale quoi ? À qui ? Comment ? Identifiez les trous dans la raquette.
Étape 2 : Créer un catalogue de services sécurité. Signalement phishing, demande de droits d’accès, déclaration de perte de matériel, demande d’exception sécurité… Rendez ces services visibles dans un portail unique.
Étape 3 : Automatiser les workflows critiques. Réponse aux incidents, escalades, notifications. Un ITSM permet de configurer ces automatisations sans développement.
Étape 4 : Mesurer et améliorer. Temps moyen de signalement, taux de résolution, nombre d’incidents par catégorie. Les tableaux de bord ITSM donnent la visibilité nécessaire pour piloter la sécurité comme un vrai processus métier.
KLX ESM : la cybersécurité accessible à toute l’organisation
KLX ESM est conçu pour les PME, ETI et collectivités qui veulent structurer leurs processus sans la complexité des grands outils du marché. Portail de signalement intuitif, workflows configurables sans code, base de connaissances intégrée et tableaux de bord de conformité : tout ce qu’il faut pour transformer la cybersécurité en responsabilité partagée.
La plateforme est hébergée en France, conforme RGPD, et s’adapte aux exigences de NIS2 dès sa configuration standard.
Sources : ANSSI, MesServicesCyber (mars 2026) / Journal du Net, « La cybersécurité, c’est le problème du RSSI… Vraiment ? » (2026) / Directive NIS2, transposition française