Exemple de PSSI : Modèle Concret et Structure Type (2026)

Chercher "un exemple de PSSI" en espérant trouver un document à copier-coller est une impasse, et c'est volontaire. Une Politique de Sécurité des Systèmes d'Information décrit les règles, les responsabilités et les priorités propres à une entreprise donnée, elle n'a de valeur que si elle reflète la réalité de l'organisation qui la porte. Ce qui peut en revanche se réutiliser, c'est la structure, le squelette du document. Ce tutoriel détaille cette structure type, section par section, avec un exemple concret de contenu pour chacune, à adapter ensuite à votre propre système d'information.

Pourquoi un modèle copié tel quel ne fonctionne jamais

Une PSSI téléchargée sur un site générique et signée sans modification présente trois problèmes récurrents, elle mentionne des outils que l'entreprise n'utilise pas, elle fixe des règles dont personne ne vérifie l'application, et elle ne survit pas au premier contrôle sérieux, puisqu'elle ne correspond à rien de réel. Une PSSI n'est utile que si elle décrit ce qui se passe vraiment, ou ce qui doit changer pour que ce soit le cas.

Structure type d'une PSSI

Voici les sections qui composent une PSSI pour une PME ou une ETI, dans l'ordre logique de rédaction. Chaque section est décrite avec son objectif et un exemple concret de ce qu'elle doit contenir.

Exemple de contenu, section par section

Voici, pour chaque section, un exemple de formulation type que vous pouvez reprendre comme point de départ, à condition de remplacer chaque élément entre crochets par la réalité de votre entreprise.

1. Préambule et périmètre

La présente Politique de Sécurité des Systèmes d'Information (PSSI) s'applique à
l'ensemble des systèmes, applications et données de [Nom de l'entreprise], hébergés
en propre ou chez des prestataires tiers (cloud, infogérance). Elle concerne tous
les collaborateurs, stagiaires et prestataires ayant accès au système d'information,
sur [nombre] sites.

3. Organisation et responsabilités

La direction générale porte la responsabilité finale de la sécurité du système
d'information. [Nom / fonction] est désigné référent sécurité et pilote
l'application de la présente PSSI. Toute exception à une règle définie ci-dessous
doit être validée par écrit par le référent sécurité, avec une date de retour
à la normale.

4. Gestion des accès

Chaque collaborateur dispose d'un compte nominatif, aucun compte n'est partagé
entre plusieurs personnes. L'authentification multifacteur (MFA) est obligatoire
sur la messagerie professionnelle et les accès distants. Les droits d'accès sont
revus tous les [6/12] mois, et supprimés le jour du départ effectif de tout
collaborateur ou prestataire.

6. Sauvegardes et continuité

Les données critiques identifiées en annexe font l'objet d'une sauvegarde
[quotidienne/hebdomadaire], selon la règle 3-2-1 (3 copies, 2 supports distincts,
1 copie hors ligne ou hors site). Un test de restauration est réalisé au minimum
une fois par [trimestre/an], avec compte-rendu écrit.

7. Gestion des incidents

Tout événement suspect (email frauduleux, comportement anormal d'un poste,
message de rançongiciel) doit être signalé immédiatement à [contact/adresse],
sans tenter d'intervention individuelle non coordonnée. Le référent sécurité
qualifie l'incident et déclenche la procédure de réponse adaptée sous [délai].

Erreurs fréquentes en rédigeant sa PSSI à partir d'un modèle

• Copier des outils non utilisés, mentionner un SIEM, un EDR ou un outil GRC que l'entreprise n'a pas encore déployé, ce qui rend le document faux dès sa signature.
• Ne jamais nommer de responsable, une PSSI sans référent sécurité identifié nommément n'est appliquée par personne.
• Fixer des fréquences irréalistes, annoncer une revue trimestrielle qu'aucune ressource ne suivra, plutôt qu'une fréquence annuelle réellement tenue.
• Oublier les prestataires, la majorité des PSSI de PME ne couvrent que les collaborateurs internes, alors que les accès prestataires (infogérance, comptable externe, developpeur freelance) sont souvent le maillon le plus faible.

Adapter la structure à la taille de votre entreprise

Toutes les sections ne demandent pas le même niveau de détail selon la taille de l'organisation.

Pour aller plus loin sur le choix des outils permettant de faire vivre ce document dans le temps (document simple, wiki interne, plateforme GRC), consultez notre guide sur les solutions de gestion PSSI.

Questions fréquentes

Existe-t-il un modèle de PSSI gratuit à télécharger ?
Des trames génériques existent (ANSSI, CLUSIF), mais un modèle copié tel quel ne reflète jamais la réalité d'une entreprise précise. La structure type peut être reprise, mais chaque section doit être réécrite avec les risques, outils et processus réels de l'organisation.

Quelles sont les sections obligatoires d'une PSSI ?
Une PSSI type comprend au minimum le périmètre et les objectifs, l'organisation et les responsabilités, la gestion des accès, la protection des postes et serveurs, la gestion des sauvegardes, la réponse aux incidents, et les règles applicables aux prestataires et sous-traitants.

Combien de pages doit faire une PSSI pour une PME ?
Il n'y a pas de longueur imposée. Pour une PME de moins de 50 salariés, une PSSI utile et réellement suivie tient souvent en 8 à 15 pages, contre plusieurs dizaines pour une ETI avec des obligations de certification.