Le poste Vous prenez la responsabilité de la sécurité des systèmes d'information du groupe (RSSI) et la fonction de Délégué à la Protection des Données (DPO). Vous êtes rattaché(e) au DSI du groupe et vous encadrez l'équipe Sécurité de l'information. Notre système de management de la sécurité de l'information est certifié ISO/IEC 27001:2022. Ce n'est pas une ligne sur une plaquette : c'est ce qui nous ouvre les référencements chez nos clients grands comptes - banque, télécoms, industrie, secteur public. Vous aurez à le maintenir, à l'étendre à de nouvelles agences (françaises ou internationales), et à le faire vivre au quotidien. La particularité du poste, et ce qui le distingue d'un poste de RSSI en entreprise utilisatrice, tient à sa dimension business. Nos clients nous auditent, nous questionnent, nous notent. Sur ce terrain-là, vous êtes en première ligne, aux côtés de nos ingénieurs d'affaires. Vos missions Piloter le SMSI et la conformité Faire vivre la politique de sécurité, l'analyse de risque, le corpus documentaire et les indicateurs du SMSI. Préparer et passer les audits (interne, surveillance, renouvellement) et piloter les plans d'action jusqu'à la clôture des constats. Étendre le périmètre certifié aux nouvelles agences et aux entités internationales du groupe. Anticiper ce qui arrive : NIS2, exigences réglementaires répercutées par nos clients, encadrement des usages de l'IA générative. Porter la protection des données personnelles Assurer la fonction de DPO : registre des traitements, analyses d'impact, demandes d'exercice de droits, violations de données. Être l'interface de la CNIL, et gérer les notifications dans les délais réglementaires. Encadrer la sous-traitance et l'évaluation des fournisseurs sur le volet des données personnelles. Embarquer les métiers les plus exposés : RH, recrutement, business, juridique. Tenir la sécurité opérationnelle Piloter le dispositif de détection et de réponse et la relation avec notre prestataire SOC. Superviser la gestion des incidents, la gestion des vulnérabilités et le programme de tests d'intrusion. Sécuriser les projets IT en amont, plutôt qu'en veto de fin de course. Construire et éprouver le dispositif de gestion de crise cyber. Faire de la sécurité un argument commercial Répondre aux questionnaires sécurité de nos clients et aux volets sécurité des appels d'offres et des référencements. Élaborer, négocier et suivre les plans d'assurance sécurité contractuels. Piloter les évaluations tierces et les notations que nos clients nous imposent. Accompagner les équipes commerciales en soutenance, quand il faut convaincre un RSSI en face. Faire grandir l'équipe et la culture sécurité Encadrer et faire progresser l'équipe Sécurité de l'information. Construire et défendre le budget, arbitrer entre internalisation et externalisation. Animer le réseau des relais SMSI en agence. Piloter le programme de sensibilisation : campagnes de phishing, e-learning, charte informatique et IA. Garantir le niveau de qualité de la formation interne en sécurité pour l'ensemble des métiers. Le profil que nous recherchons Formation et expérience : diplôme d'école d'ingénieur ou Bac+5 en informatique ou cybersécurité, et 7 à 12 ans d'expérience en sécurité de l'information. Un parcours atypique assorti d'une expérience démontrée est tout aussi recevable. Un SMSI, vous l'avez déjà piloté : pas seulement contribué. Vous avez conduit au moins un cycle complet de certification ou de renouvellement ISO 27001 en tant que responsable. Le RGPD, vous le pratiquez : vous avez été DPO ou référent RGPD opérationnel, et vous avez géré une vraie violation de données, pas seulement lu la doctrine. Vous êtes à l'aise face à un client : questionnaire sécurité, plan d'assurance sécurité, soutenance où il faut défendre son dispositif. Une expérience en ESN, en conseil ou dans un environnement multi-sites est un vrai plus. Vous êtes solide techniquement : SIEM, EDR, SOC externalisé, gestion des vulnérabilités, authentification forte, sécurité du poste de travail et des environnements Microsoft et cloud. Non pas pour tout faire vous-même, mais pour décider juste et challenger vos prestataires. Certifications : ISO 27001 Lead Implementer ou Lead Auditor, CISSP, CISM, CIPP/E, ISO 27005 Risk Manager, EBIOS RM sont appréciées. Aucune n'est éliminatoire : votre expérience compte davantage que vos acronymes. Langues : français courant, anglais professionnel indispensable. L'espagnol est un atout réel : une partie de notre périmètre est en Espagne. Aptitudes / Savoir-être Analyse, synthèse et communication : vous savez expliquer un risque à un comité de direction comme à un consultant en mission. Pédagogie et influence : vous obtenez l'adhésion sans vous appuyer sur l'autorité hiérarchique. Pragmatisme et sens du risque : vous distinguez ce qui doit être verrouillé de ce qui peut être accepté et documenté. Rigueur : un SMSI certifié se démontre par des preuves, la discipline de traçabilité n'est pas n...