.svg)
.jpeg)
La politique de sécurité du système d'information (PSSI) est le document de référence qui fixe les règles de sécurité informatique d'une entreprise : ce qu'il faut protéger, contre quels risques, avec quelles règles et sous la responsabilité de qui. Elle est validée par la direction et s'applique à tous.
Pour une PME ou une ETI, la PSSI n'est pas un exercice théorique : c'est elle que demandent un client exigeant, un assureur, un auditeur ou la directive NIS2. Voici ce qu'elle contient, comment la rédiger et comment la faire vivre.
PSSI, charte informatique, procédures : ne pas confondre
Trois documents cohabitent souvent, et chacun a son rôle.
La PSSI fixe le cadre : objectifs, organisation, grandes règles. Elle change peu et s'adresse d'abord à la direction, à l'équipe informatique et aux auditeurs.
La charte informatique traduit ces règles pour les utilisateurs : mots de passe, messagerie, appareils personnels, usage de l'IA. Elle est courte et souvent annexée au règlement intérieur.
Les procédures décrivent le « comment » : créer un compte, restaurer une sauvegarde, réagir à un incident. Elles changent souvent et vivent à part, pour que la PSSI reste stable.
Ce que contient une PSSI
Les rubriques varient selon la taille de l'entreprise, mais on retrouve presque toujours :
- Le périmètre et les objectifs : sites, activités, systèmes et données concernés.
- L'organisation : qui décide, qui pilote la sécurité (responsable de la sécurité, délégué à la protection des données, prestataire), qui arbitre.
- L'inventaire et la classification des actifs : quelles données et quels systèmes sont les plus sensibles.
- L'analyse des risques : les menaces retenues et la façon de les traiter.
- La gestion des accès et des identités : comptes, droits, authentification multifacteur, comptes administrateurs.
- La sécurité de l'exploitation : mises à jour, protection des postes, journalisation, sauvegardes.
- La gestion des incidents : détection, alerte, réponse, notification.
- La continuité d'activité : plan de continuité et de reprise, et leurs tests.
- La sensibilisation et la formation des utilisateurs.
- Le contrôle et l'amélioration : audits, indicateurs, révision du document.
L'ANSSI publie depuis 2004 un guide d'élaboration de PSSI qui reste une bonne base de plan, à compléter par les exigences récentes (cloud, télétravail, IA).
Rédiger sa PSSI en 6 étapes
1. Obtenir l'engagement de la direction
La PSSI est signée par le dirigeant. Sans cet engagement, les règles restent des recommandations que personne n'applique.
2. Faire l'état des lieux
Inventaire des systèmes, des données sensibles, des prestataires et des pratiques réelles. Un audit de sécurité informatique donne une photographie fiable de départ.
3. Analyser les risques
Identifier ce qui pourrait arriver et ce que cela coûterait : rançongiciel, fuite de données, panne d'un prestataire, erreur humaine. La méthode EBIOS Risk Manager de l'ANSSI sert de référence, mais une analyse plus simple suffit souvent pour une PME.
4. Écrire les règles
Des phrases courtes, à la voie active, sans conditionnel : « l'authentification multifacteur est obligatoire pour tous les accès distants ». Renvoyer les détails techniques vers des procédures.
5. Valider, diffuser, former
Faire valider par la direction, présenter le document aux équipes et en tirer une charte utilisateur. Une règle inconnue n'est pas appliquée.
6. Contrôler et réviser
Vérifier que les règles sont appliquées (audits, indicateurs) et relire la PSSI au moins une fois par an, ou après un incident, un changement d'organisation ou de prestataire.
PSSI, NIS2 et ISO 27001
Pour les entreprises concernées par la directive NIS2, les mesures de gestion des risques à mettre en place comprennent explicitement des « politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information » (article 21). La PSSI est donc l'un des premiers documents qu'un contrôle demandera. Pour savoir si votre entreprise est concernée, voir notre article NIS2, c'est quoi ?.
La norme ISO 27001 impose elle aussi une politique de sécurité de l'information, approuvée par la direction. Une PSSI bien construite est le socle d'une future certification.
IT Systèmes est certifié ISO 27001 pour ses activités de conseil, projets, sécurité et infogérance, sur son site de Malakoff : nous appliquons à nous-mêmes la démarche que nous proposons à nos clients.
Les erreurs les plus fréquentes
- Copier un modèle sans l'adapter : la PSSI décrit alors une entreprise qui n'existe pas.
- Écrire un document trop long, que personne ne lit.
- Oublier les prestataires, alors qu'ils ont souvent les accès les plus étendus.
- Ne jamais vérifier que les règles sont appliquées.
- Ne pas réviser la PSSI après un changement d'outils ou d'organisation.
Se faire accompagner
Nous aidons les PME et les ETI à rédiger leur PSSI à partir d'un état des lieux réel, puis à mettre en place les mesures qui en découlent. Notre accompagnement en gouvernance, risques et conformité couvre l'analyse des risques, la rédaction des politiques et le suivi dans la durée, et s'articule avec notre offre de conformité NIS2.
Questions fréquentes
La PSSI est-elle obligatoire ?
Elle n'est pas imposée à toutes les entreprises. Elle l'est en pratique pour celles concernées par la directive NIS2 et pour celles qui visent la certification ISO 27001, et elle est de plus en plus demandée par les clients, les assureurs et les auditeurs.
Combien de pages doit faire une PSSI ?
Le moins possible pour rester lue. OpenClassrooms conseille de viser 10 à 20 pages et de renvoyer les détails techniques vers des procédures annexes.
Qui valide la PSSI ?
La direction générale, qui la signe. Le responsable de la sécurité ou le prestataire la rédige et la fait vivre, avec le délégué à la protection des données pour la partie données personnelles.
À quelle fréquence réviser la PSSI ?
Au moins une fois par an, et après tout événement important : incident de sécurité, changement de prestataire, nouveau site, nouvelle réglementation.
Sources
- ANSSI, PSSI : guide d'élaboration de politiques de sécurité des systèmes d'information, consulté le 05/11/2026.
- Directive (UE) 2022/2555 (NIS2), EUR-Lex, consulté le 05/11/2026.
- OpenClassrooms, rédigez une PSSI claire, structurée et accessible, consulté le 05/11/2026.
- Legiscope, guide pour rédiger une PSSI, consulté le 05/11/2026.
.svg)