Politique SSI Template for France

Bien qu'il n'existe pas d'obligation légale explicite d'avoir une Politique SSI, elle devient indispensable pour respecter le RGPD et la loi Informatique et Libertés. Les entreprises traitant des données personnelles doivent démontrer leur conformité, et une Politique SSI constitue une mesure technique et organisationnelle appropriée au sens de l'article 32 du RGPD. Pour les opérateurs d'importance vitale (OIV), elle peut être exigée par l'ANSSI.

Un avocat n'est pas strictement nécessaire pour rédiger une Politique SSI, mais il est recommandé pour les entreprises complexes ou sensibles. Un juriste spécialisé en droit du numérique peut vous aider à aligner la politique sur le RGPD, la loi Informatique et Libertés, et le Code de la Défense. Pour les PME, un consultant RGPD ou un DPO externe peut suffire.

L'absence ou l'incomplétude d'une Politique SSI peut entraîner des sanctions CNIL allant jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. En cas de violation de données, l'absence de mesures de sécurité appropriées peut aggraver les sanctions. Les assurances cyber peuvent également refuser de couvrir les sinistres si les mesures de sécurité de base ne sont pas documentées.

En France, une Politique SSI doit intégrer les exigences du RGPD (privacy by design, analyse d'impact), de la loi Informatique et Libertés modifiée, et du Référentiel Général de Sécurité (RGS) pour les administrations. Elle doit prévoir la notification des violations à la CNIL sous 72h, définir les rôles du DPO, et respecter les recommandations de l'ANSSI pour la cybersécurité.

Une Politique SSI est un document stratégique qui définit la gouvernance globale de la sécurité informatique et les responsabilités de la direction. La Charte informatique est un document opérationnel qui fixe les règles d'usage des outils informatiques pour les utilisateurs. La Politique SSI englobe la stratégie de sécurité tandis que la Charte se concentre sur les comportements attendus des employés.

La création d'une Politique SSI prend généralement 2 à 6 semaines selon la taille de l'entreprise. Il faut compter 1-2 semaines pour l'audit des risques, 1-2 semaines pour la rédaction, et 1-2 semaines pour la validation et les ajustements. Les grandes entreprises ou secteurs réglementés peuvent nécessiter 2-3 mois pour intégrer toutes les exigences de conformité.

Les erreurs fréquentes incluent : copier une politique générique sans l'adapter au contexte français, omettre les références au RGPD et à la loi Informatique et Libertés, ne pas définir clairement les rôles et responsabilités, oublier la procédure de notification CNIL, et ne pas prévoir de mise à jour régulière. Il faut aussi éviter un langage trop technique qui limite l'appropriation par les équipes.

Une Politique SSI doit être révisée au minimum annuellement ou lors de changements majeurs (nouveaux systèmes, évolutions réglementaires, incidents). Surveillez les mises à jour de la CNIL, les recommandations ANSSI, et les évolutions du RGPD. Documentez chaque révision avec un historique des versions et assurez-vous que tous les utilisateurs sont formés aux nouveaux éléments.