Responsable de la Sécurité des Systèmes d'Information

Chez LockSelf, nous protégeons ce qui compte : les données sensibles des entreprises. Notre plateforme répond à deux usages critiques :
• la gestion sécurisée des mots de passe
• le partage de documents sensibles Nos technologies sont certifiées par l'ANSSI pour la robustesse de leurs mécanismes de chiffrement. Plus de 3 000 entreprises nous font confiance, dont Bouygues, SNCF, EY ou France Télévisions. Notre ambition : devenir la référence européenne de la gestion sécurisée des données en entreprise. Aujourd'hui, LockSelf c'est :
• 85 collaborateurs
• Une équipe tech organisée en squads par capacité métier — full-stack, autonomes sur leur périmètre produit
• Une culture d'exigence, d'impact et de responsabilité Nous sommes en phase d'accélération et d'internationalisation. C'est un moment clé pour nous rejoindre. Le poste Nos clients nous confient leurs mots de passe, leurs clés et leurs secrets d'infrastructure. Chez un éditeur cyber, la sécurité n'est pas une fonction support : c'est la condition d'existence du produit. Vous prenez la responsabilité de la sécurité des systèmes d'information de LockSelf : le système de management, la conformité réglementaire, la gestion des incidents, la maîtrise de nos fournisseurs et la relation avec les RSSI de nos clients et prospects. Votre mission : faire en sorte que ce que nous écrivons sur notre sécurité soit vrai, et démontrable. Pourquoi ce poste existe ? Les fonctions de RSSI sont aujourd'hui exercées par le Directeur Technique, en complément de son rôle. Cette organisation a produit un système de management complet, politique de sécurité, plans de continuité et de reprise, politique de gestion des incidents, cartographie des risques et engagé la mise en conformité NIS2. Elle atteint sa limite. La même personne conçoit, met en œuvre et contrôle les mesures de sécurité. Nous avons documenté ce cumul et mis en place des mesures compensatoires, mais ce n'est pas une solution durable. Nous recrutons un RSSI pour que la sécurité dispose d'une voix indépendante de la technique. Votre rattachement Vous êtes rattaché à la Direction Générale, et non à la Direction Technique. Ce choix est délibéré, et nous y tenons. Vous devez pouvoir examiner, challenger et, le cas échéant, contredire les choix de la Direction Technique sans conflit hiérarchique. Vous rendez compte directement aux organes de direction sur l'état de la sécurité, et c'est vous qui portez la décision de notification réglementaire en cas d'incident important. Le lien fonctionnel avec le CTO reste fort et quotidien. La sécurité se construit avec l'ingénierie, pas contre elle. Mais la ligne de rapport est séparée. Vos

responsabilités:
Piloter le système de management de la sécurité
• Maintenir et faire vivre le corpus documentaire : politique de sécurité, politique de gestion des incidents, plans de continuité et de reprise
• Conduire les réexamens périodiques et porter les décisions aux organes de direction
• Tenir le registre des mesures : pour chaque exigence, la décision prise, la mesure en place, la preuve, le responsable et l'échéance de revue
• Assumer et documenter les positions de proportionnalité lorsqu'une exigence n'est pas appliquée pleinement Conduire la conformité réglementaire
• NIS2 : LockSelf est entité importante au titre de l'annexe I. Le programme est lancé et structuré sur les treize domaines du règlement d'exécution ; il reste à le mener à terme
• Cyber Resilience Act — les obligations de signalement s'appliquent depuis septembre 2026, les exigences essentielles et le marquage CE en décembre 2027. C'est un chantier à part entière, qui porte sur le produit
• RGPD : en lien avec le DPO, sur la sécurité des traitements et la notification des violations
• Assurer la veille réglementaire et anticiper ce qui arrive Qualifier et traiter les incidents
• Qualifier les incidents au double titre opérationnel et réglementaire
• Décider des notifications et piloter la chaîne de décision et sa suppléance
• Animer les examens post-incident et les exercices
• Porter la procédure de divulgation coordonnée des vulnérabilités et le point de contact sécurité Maîtriser la chaîne d'approvisionnement
• Tenir le registre des fournisseurs et évaluer leurs pratiques de sécurité
• Porter les exigences de sécurité dans les contrats et suivre les incidents qui les concernent
• Nos hébergeurs, notre prestataire de supervision et nos outils métier sont autant de dépendances à maîtriser Accompagner la relation client
• Répondre aux questionnaires sécurité et aux audits clients
• Participer à l'avant-vente aux côtés de nos sales : rendez-vous prospects, présentation de notre posture de sécurité, réponses aux questions des RSSI et des équipes achats côté prospect
• Soutenir les équipes commerciales sur les appels d'offres publics et les dossiers OIV
• Être l'interlocuteur des RSSI de nos clients Faire progresser la maturité
• Évaluer le niveau de maturité, définir la trajectoire, piloter les indicateurs
• Animer la sensibilisation et la formation, y compris celle des organes de direction
• Conduire le programme de tests de sécurité et d'audits Vos six premiers mois Vous ne partez pas d'une page blanche, et vous n'héritez pas non plus d'un chantier flou. Les sujets sont identifiés et outillés. Trois priorités :
• Mettre en œuvre le régime de signalement du Cyber Resilience Act, déjà applicable, et constituer le registre des fournisseurs
• Continuer et instrumentaliser les travaux menés pour la mise en conformité NIS2
• Achever la couverture de la journalisation et arrêter le système de classification des actifs Le reste, première évaluation de maturité, programme de tests structuré, trajectoire sur les certifications souhaitées par LockSelf. Notre vision de la sécurité Chez un éditeur cyber, un écart de sécurité n'est pas seulement un risque : c'est une entaille dans la confiance de nos clients. Faire de la sécurité chez LockSelf, c'est trouver l'équilibre entre :
• Exigence réglementaire et utilité réelle des mesures
• Rythme de livraison et maîtrise du risque
• Ce qui protège et ce qui coche une case
• Ce qu'on peut affirmer et ce qu'on peut prouver Nous avons construit tout notre corpus sur un principe simple : écrire dans une politique quelque chose qui n'est pas vrai est pire que de ne rien écrire. Le règlement prévoit lui-même qu'une exigence puisse ne pas être appliquée, à condition de le justifier. Nous préférons un écart assumé à une conformité de façade. Ce que le poste n'est pas
• La supervision est assurée par un prestataire externe : vous le pilotez, vous ne faites pas la détection
• Les tests d'intrusion sont conduits en interne et par des prestataires : vous définissez le programme et exploitez les résultats
• La fonction de DPO existe et reste distincte, même si vous travaillerez étroitement avec elle
• L'exploitation reste à l'équipe infrastructure. Vous n'aurez pas d'accès privilégié aux environnements de production — c'est la condition de votre indépendance

Profil recherché
• Une expérience confirmée de la sécurité des systèmes d'information, dont une part significative en responsabilité : RSSI, RSSI adjoint, consultant sécurité senior en mission longue ou équivalent
• Une pratique réelle du cadre réglementaire : NIS2 et son règlement d'exécution, RGPD, CRA
• La maîtrise d'une méthode d'analyse de risques, EBIOS Risk Manager ou équivalent et des référentiels ISO/IEC 27001 et 27002 comme cadre de structuration
• Une compréhension technique suffisante pour challenger l'ingénierie : architectures cloud, cycle de développement sécurisé, gestion des accès à privilèges, cryptographie appliquée. Vous n'aurez pas à coder, mais vous devrez savoir quand une réponse est insuffisante
• La capacité à écrire. Une part substantielle du poste consiste à produire des documents que lisent des auditeurs, des clients et des dirigeants
• L'envie de travailler dans une organisation où la sécurité se construit, plutôt que d'appliquer un cadre déjà figé
• Une maîtrise réelle des outils d’IA. Vous serez seul sur un périmètre large, et l’IA est ce qui vous permettra de le tenir, à condition de savoir vérifier ce qu’elle produit. Ce qui fera la différence
• Une connaissance du Cyber Resilience Act c'est rare, et nous le valorisons
• Une expérience chez un éditeur de logiciel, ou auprès de clients OIV et du secteur public
• La connaissance des référentiels ANSSI : CSPN, SecNumCloud, PAMS
• Une certification CISSP, ISO 27001 Lead Implementer ou Lead Auditor
• Le jugement : savoir distinguer ce qui protège réellement de ce qui coche une case
• La capacité à dire non, et à dire oui. Un RSSI qui bloque tout n'est pas écouté ; un RSSI qui ne bloque jamais ne sert à rien
• Une première expérience de scale-up, où les processus se construisent en même temps que l'entreprise grandit Évolution Vous arrivez sur un périmètre déjà large, seul sur la fonction. Selon la trajectoire de l'entreprise et la montée en charge réglementaire, la question d'une équipe sécurité se posera. Nous ne valorisons pas les titres, nous valorisons l'impact. Vie d'entreprise
• Salaire : à définir selon profil
• Prime d'intéressement
• Un environnement de travail hybride : 2 jours de télétravail par semaine et des bureaux à Paris (Île-de-France).
• Disponibilité : Début d'année 2027
• Un remboursement de 50% des frais de transport
• Une mutuelle premium remboursée à 50%. (Alan premium)
• Tickets restaurant