Crise d’épuisement des RSSI : pourquoi 63 % des responsables sécurité sont à bout

L’ampleur de l’épidémie d’épuisement des RSSI

Le rapport Proofpoint Voice of the CISO 2025, interrogeant 1 600 responsables sécurité dans 16 pays, a révélé que 63 % ont vécu ou été témoins d’un épuisement professionnel au cours de l’année écoulée. Sophos situe ce chiffre encore plus haut, à 76 %. Par ailleurs, 94 % des RSSI déclarent être stressés au travail et 66 % affirment faire face à des attentes excessives.

Gartner avait prédit en 2023 que près de la moitié des leaders en cybersécurité changeraient d’emploi d’ici 2025, avec 25 % quittant complètement la profession. Cette prédiction s’est largement réalisée : 24 % des RSSI du Fortune 500 sont en poste depuis seulement un an, et la durée moyenne de poste oscille entre 18 et 26 mois, bien en dessous de la moyenne de la C-suite à 4,9 ans.

Trois forces qui poussent les RSSI à la rupture

Responsabilité personnelle et le précédent SolarWinds

Les accusations de fraude portées par la SEC en 2023 contre le RSSI de SolarWinds, Timothy Brown, ont marqué la première fois qu’un RSSI en exercice faisait face à une responsabilité personnelle pour des défaillances de cybersécurité. Bien que la SEC ait classé l’affaire en novembre 2025, le précédent a reconfiguré la profession. Un sondage Fastly auprès de 1 800 responsables informatiques a révélé que 93 % des organisations ont mis à jour leurs politiques pour traiter la responsabilité des RSSI, 41 % impliquant les RSSI plus profondément dans les décisions du conseil d’administration et 38 % fournissant un soutien juridique accru.

Selon les règles actuelles de divulgation de la SEC, les entreprises cotées doivent signaler les incidents de cybersécurité significatifs dans un délai de quatre jours ouvrables. Les RSSI portent désormais le double fardeau de répondre aux incidents tout en gérant les délais de divulgation réglementaire, sachant que les erreurs pourraient entraîner des conséquences personnelles.

Fatigue des alertes et le fardeau 24h/24

Plus de 90 % des RSSI rapportent des semaines de travail régulières dépassant 40 heures, avec 95 % travaillant au-delà des heures contractuelles. Plus préoccupant, 83 % passent la moitié de leurs soirées et week-ends à penser au travail, et 71 % décrivent leur équilibre vie professionnelle-vie personnelle comme fortement penché vers le travail.

La pénurie de compétences en cybersécurité amplifie la pression. L’étude ISC2 Workforce 2025 rapporte que 59 % des organisations font face à des lacunes critiques en compétences, contre 44 % l’année précédente. Lorsque les équipes sont en sous-effectif, les RSSI absorbent le surplus, et 88 % des organisations ont subi des conséquences cybersécuritaires attribuables à ces pénuries.

Périmètre élargi sans soutien accru

Les RSSI se voient confier la gouvernance de l’IA, la sécurité cloud, le risque de chaîne d’approvisionnement et la conformité vie privée en plus de leurs mandats existants, sans ajuster les structures de poste ni les budgets. Proofpoint a constaté que 76 % des RSSI se sentent exposés à une cyberattaque significative dans les 12 prochains mois, contre 70 % précédemment, alors que 58 % admettent que leurs organisations ne sont pas préparées à y répondre.

Le paradoxe de la rémunération souligne le dysfonctionnement. La rémunération des RSSI a augmenté de 6,7 % en 2025, avec des packages allant de 250 000 à 700 000 dollars. Pourtant, la satisfaction diminue. Une rémunération plus élevée sans soutien structurel n’est essentiellement qu’une prime de risque : elle reconnaît le danger sans le réduire.

Les dommages collatéraux sur la sécurité de l’entreprise

L’épuisement des RSSI n’est pas qu’un problème de ressources humaines. Il dégrade directement la posture de sécurité de l’entreprise. Selon le sondage Cynet CISO Stress Survey, 65 % des RSSI déclarent que le stress compromet leur capacité à protéger leur organisation. Quand la personne responsable de la sécurité ne peut pas fonctionner à pleine capacité, l’ensemble de l’organisation devient plus vulnérable.

Les effets en cascade sont mesurables. 74 % des RSSI rapportent avoir perdu des membres de leur équipe à cause du turnover lié au stress. 92 % des RSSI ayant subi une perte de données affirment que les employés partants ont joué un rôle, contre 73 % l’année précédente. Les organisations avec une mauvaise visibilité sécuritaire subissent des taux d’épuisement de 63 % contre 44 % pour celles utilisant des outils de surveillance basés sur le risque. L’épuisement nourrit l’attrition, l’attrition nourrit les brèches, et les brèches nourrissent davantage d’épuisement.

Briser le cercle vicieux

Lutter contre l’épuisement des RSSI nécessite des changements structurels, pas des webinaires bien-être. Les données pointent vers plusieurs interventions à fort impact.

Responsabilité au niveau du conseil. Les RSSI ont besoin de lignes de rapport directes vers le conseil d’administration et d’une autorité explicite correspondant à leur responsabilité. Quand la sécurité est un risque d’entreprise partagé plutôt que le fardeau d’une seule personne, l’épuisement par isolement diminue.

Périmètre défini. Les organisations doivent cesser de traiter le poste de RSSI comme un fourre-tout. La gouvernance de l’IA, la vie privée et la sécurité de la chaîne d’approvisionnement devraient avoir des responsables dédiés avec des chemins d’escalade clairs.

Opérations pilotées par la visibilité. La recherche de Bitsight montre un écart de 19 points de pourcentage en matière d’épuisement entre les équipes disposant d’une surveillance solide des actifs et celles qui n’en disposent pas. De meilleurs outils de priorisation des menaces réduisent directement la charge cognitive.

Réseaux de soutien entre pairs. La conférence RSA a souligné que les RSSI engagés dans des communautés de pairs rapportent une plus grande résilience et des scores d’isolement plus bas.

Effectifs et budgets réalistes. Avec 33 % des organisations manquant de ressources pour doter adéquatement leurs équipes de sécurité, attendre des RSSI qu’ils compensent par le sacrifice personnel est un compte à rebours vers l’échec.

Sources et lectures complémentaires

• 2025 Voice of the CISO Report — Proofpoint
• Gartner Predicts Nearly Half of Cybersecurity Leaders Will Change Jobs by 2025 — Gartner
• 2025 ISC2 Cybersecurity Workforce Study — ISC2
• The State of Cybersecurity Burnout in 2025 — Bitsight
• CISO Liability Risks Spur Policy Changes at 93% of Organizations — Infosecurity Magazine
• SolarWinds Dismissed: What the SEC’s U-turn Signals for Cyber Enforcement — Harvard Law
• The Strongest Security Starts Within: CISO Health Priority in 2026 — RSA Conference
• Over 90% of CISOs Report Frequent 40+ Hour Work Weeks — Security Magazine