CDI - Responsable de la Sécurité des Systèmes d'Information - RSSI (H/F)

Lockself; Paris; Hybrid; EUR 90,000 - 150,000; Full time

Benefits offered by this job

Prime d'intéressement

Télétravail hybride

Remboursement des frais de transport %

Mutuelle Alan premium

Job summary

LockSelf recherche un RSSI pour piloter le système de sécurité des informations, indépendamment de la technique, et rendre compte à la direction. Vous coordonnerez la conformité NIS2, RGPD et CRA, tout en gérant les incidents et la relation avec les clients et partenaires.

Le poste implique de travailler en lien étroit avec le CTO mais avec une ligne de reporting séparée, afin de garantir une sécurité objective et structurée, dans un contexte d’entreprise à taille humaine.

Qualifications

• Expérience confirmée en sécurité des systèmes d'information (RSSI ou poste équivalent).
• Connaissance des cadres NIS2, RGPD et Cyber Resilience Act.
• Maîtrise de la gestion des incidents et de la chaîne d'approvisionnement.
• Capacité à écrire et documenter les politiques et procédures.
• Connaissance des standards ISO/IEC 27001/27002 et des méthodes d analyse de risques.

Responsibilities

• Piloter le système de management de la sécurité et faire vivre les politiques et plans de continuité.
• Conduire la conformité réglementaire (NIS2, CRA, RGPD) et assurer la veille.
• Qualifier et traiter les incidents et superviser la chaîne de décision.
• Gérer la relation avec les fournisseurs et les clients sur les questions de sécurité.
• Faire progresser la maturité de la sécurité et animer des formations et exercices.

Skills

RSSI

NIS2

RGPD

Cyber Resilience Act

Gestion des incidents

Veille réglementaire

Gestion des fournisseurs

Rédaction de documents

Architecture cloud

Écriture et communication

Tools

ISO 27001

ISO 27002

EBIOS Risk Manager

Job description

Responsable de la Sécurité des Systèmes d'Information - RSSI (H/F)

LockSelf développe une plateforme cyber dédiée aux collaborateurs autour de 3 usages principaux : la gestion de leurs mots de passe et le partage et le stockage sécurisé de documents.

Articulée autour des 3solutions certifiées par l’ANSSI pour leur robustesse et la qualité des mécanismes de chiffrement utilisés, la suite LockSelf est utilisée par plus de 3 000 entreprises.

LockSelf se positionne aujourd’hui comme une référence sur le marché français de la cyber et de nombreux grands groupes nous font confiance (Bouygues, SNCF, EY ou encore France Télévision).

En forte croissance depuis 3 ans sur un marché en pleine expansion, notre ambition à court terme est d'asseoir notre présence en France en consolidant notre proposition de valeur et en continuant à innover pour proposer une solution accessible à tous (DSI et directions métiers).

LockSelf c’est aussi et avant tout une entreprise à taille humaine (80 personnes) avec une moyenne d’âge inférieure à 30 ans et une volonté forte de mettre chaque personne en situation de réussite !

Missions principales

Nos clients nous confient leurs mots de passe, leurs clés et leurs secrets d'infrastructure. Chez un éditeur cyber, la sécurité n'est pas une fonction support : c'est la condition d'existence du produit.

Vous prenez la responsabilité de la sécurité des systèmes d'information de LockSelf : le système de management, la conformité réglementaire, la gestion des incidents, la maîtrise de nos fournisseurs et la relation avec les RSSI de nos clients et prospects.

Votre mission : faire en sorte que ce que nous écrivons sur notre sécurité soit vrai, et démontrable.

Pourquoi ce poste existe ?

Les fonctions de RSSI sont aujourd'hui exercées par le Directeur Technique, en complément de son rôle. Cette organisation a produit un système de management complet, politique de sécurité, plans de continuité et de reprise, politique de gestion des incidents, cartographie des risques et engagé la mise en conformité NIS2.

Elle atteint sa limite. La même personne conçoit, met en œuvre et contrôle les mesures de sécurité. Nous avons documenté ce cumul et mis en place des mesures compensatoires, mais ce n'est pas une solution durable.

Nous recrutons un RSSI pour que la sécurité dispose d'une voix indépendante de la technique.

Vous êtes rattaché à la Direction Générale, et non à la Direction Technique. Ce choix est délibéré, et nous y tenons.

Vous devez pouvoir examiner, challenger et, le cas échéant, contredire les choix de la Direction Technique sans conflit hiérarchique. Vous rendez compte directement aux organes de direction sur l'état de la sécurité, et c'est vous qui portez la décision de notification réglementaire en cas d'incident important.

Le lien fonctionnel avec le CTO reste fort et quotidien. La sécurité se construit avec l'ingénierie, pas contre elle. Mais la ligne de rapport est séparée.

Vos responsabilités :

Piloter le système de management de la sécurité

• Maintenir et faire vivre le corpus documentaire : politique de sécurité, politique de gestion des incidents, plans de continuité et de reprise
• Conduire les réexamens périodiques et porter les décisions aux organes de direction
• Tenir le registre des mesures : pour chaque exigence, la décision prise, la mesure en place, le preuve, le responsable et l'échéance de revue
• Assumer et documenter les positions de proportionnalité lorsqu'une exigence n'est pas appliquée pleinement

Conduire la conformité réglementaire

• NIS2 : LockSelf est entité importante au titre de l'annexe I. Le programme est lancé et structuré sur les treize domaines du règlement d'exécution ; il reste à le mener à terme
• Cyber Resilience Act — les obligations de signalement s'appliquent depuis septembre 2026, les exigences essentielles et le marquage CE en décembre 2027. C'est un chantier à part entière, qui porte sur le produit
• RGPD : en lien avec le DPO, sur la sécurité des traitements et la notification des violations
• Assurer la veille réglementaire et anticiper ce qui arrive

Qualifier et traiter les incidents

• Qualifier les incidents au double titre opérationnel et réglementaire
• Décider des notifications et piloter la chaîne de décision et sa suppléance
• Animer les examens post-incident et les exercices
• Porter la procédure de divulgation coordonnée des vulnérabilités et le point de contact sécurité

Maîtriser la chaîne d'approvisionnement

• Tenir le registre des fournisseurs et évaluer leurs pratiques de sécurité
• Porter les exigences de sécurité dans les contrats et suivre les incidents qui les concernent
• Nos hébergeurs, notre prestataire de supervision et nos outils métier sont autant de dépendances à maîtriser

Accompagner la relation client

• Répondre aux questionnaires sécurité et aux audits clients
• Participer à l'avant-vente aux côtés de nos sales : rendez-vous prospects, présentation de notre posture de sécurité, réponses aux questions des RSSI et des équipes achats côté prospect
• Soutenir les équipes commerciales sur les appels d'offres publics et les dossiers OIV
• Être l'interlocuteur des RSSI de nos clients

Faire progresser la maturité

• Évaluer le niveau de maturité, définir la trajectoire, piloter les indicateurs
• Animer la sensibilisation et la formation, y compris celle des organes de direction
• Conduire le programme de tests de sécurité et d'audits

Vos six premiers mois

Vous ne partez pas d'une page blanche, et vous n'héritez pas non plus d'un chantier flou. Les sujets sont identifiés et outillés.

Trois priorités :

• Mettre en œuvre le régime de signalement du Cyber Resilience Act, déjà applicable, et constituer le registre des fournisseurs
• Continuer et instrumentaliser les travaux menés pour la mise en conformité NIS2
• Achever la couverture de la journalisation et arrêter le système de classification des actifs

Le reste, première évaluation de maturité, programme de tests structuré, trajectoire sur les certifications souhaitées par LockSelf.

Notre vision de la sécurité

Chez un éditeur cyber, un écart de sécurité n'est pas seulement un risque : c'est une entaille dans la confiance de nos clients.

Faire de la sécurité chez LockSelf, c'est trouver l'équilibre entre :

• Exigence réglementaire et utilité réelle des mesures
• Rythme de livraison et maîtrise du risque
• Ce qui protège et ce qui coche une case
• Ce qu'on peut affirmer et ce qu'on peut prouver

Nous avons construit tout notre corpus sur un principe simple : écrire dans une politique quelque chose qui n'est pas vrai est pire que de ne rien écrire. Le règlement prévoit lui-même qu'une exigence puisse ne pas être appliquée, à condition de le justifier. Nous préférons un écart assumé à une conformité de façade.

Ce que le poste n'est pas

• La supervision est assurée par un prestataire externe : vous le pilotez, vous ne faites pas la détection
• Les tests d'intrusion sont conduits en interne et par des prestataires : vous définissez le programme et exploitez les résultats
• La fonction de DPO existe et reste distincte, même si vous travaillerez étroitement avec elle
• L'exploitation reste à l'équipe infrastructure. Vous n'aurez pas d'accès privilégié aux environnements de production c'est la condition de votre indépendance

Profil recherché et pré-requis

• Une expérience confirmée de la sécurité des systèmes d'information, dont une part significative en responsabilité : RSSI, RSSI adjoint, consultant sécurité senior en mission longue ou équivalent
• -Une pratique réelle du cadre réglementaire : NIS2 et son règlement d'exécution, RGPD, CRA
• La maîtrise d'une méthode d'analyse de risques, EBIOS Risk Manager ou équivalent et des référentiels ISO/IEC 27001 et 27002 comme cadre de structuration
• Une compréhension technique suffisante pour challenger l'ingénierie : architectures cloud, cycle de développement sécurisé, gestion des accès à privilèges, cryptographie appliquée. Vous n'aurez pas à coder, mais vous devrez savoir quand une réponse est insuffisante
• La capacité à écrire. Une part substantielle du poste consiste à produire des documents que lisent des auditeurs, des clients et des dirigeants
• L'envie de travailler dans une organisation où la sécurité se construit, plutôt que d'appliquer un cadre déjà figé
• Une maîtrise réelle des outils d’IA. Vous serez seul sur un périmètre large, et l’IA est ce qui vous permettra de le tenir, à condition de savoir vérifier ce qu’elle produit.

Ce qui fera la différence

• Une connaissance du Cyber Resilience Act c'est rare, et nous le valorisons
• Une expérience chez un éditeur de logiciel, ou auprès de clients OIV et du secteur public
• La connaissance des référentiels ANSSI : CSPN, SecNumCloud, PAMS
• Une certification CISSP, ISO 27001 Lead Implementer ou Lead Auditor
• Le jugement : savoir distinguer ce qui protège réellement de ce qui coche une case
• La capacité à dire non, et à dire oui. Un RSSI qui bloque tout n'est pas écouté ; un RSSI qui ne bloque jamais ne sert à rien
• Une première expérience de scale-up, où les processus se construisent en même temps que l'entreprise grandit

Pourquoi nous rejoindre ?

Vous arrivez sur un périmètre déjà large, seul sur la fonction. Selon la trajectoire de l'entreprise et la montée en charge réglementaire, la question d'une équipe sécurité se posera. Nous ne valorisons pas les titres, nous valorisons l'impact.

• Salaire : à définir selon profil
• Prime d'intéressement
• Un environnement de travail hybride : 2 jours de télétravail par semaine et des bureaux à Paris (Île-de-France).
• Disponibilité : Début d'année 2027
• Un remboursement de 50% des frais de transport
• Une mutuelle premium remboursée à 50%. (Alan premium)

Le processus de recrutement

Pendant le processus de recrutement, au moins l’un des entretiens se fera en physique pour que tu puisses rencontrer l’équipe.

Entretien avec notre responsable RH

Nous échangerons pour mieux connaître ton parcours et ta personnalité.

Entretien avec ton/ta futur(e) manager

Un test et son débrief pour évaluer tes compétences et ta méthodologie.

Si tout est concluant, nous te rencontrerons dans nos locaux ou en visioconférence pour finaliser le processus.