Sur une offre de RSSI, d’architecte sécurité ou de consultant GRC senior, un sigle revient plus souvent que les autres : CISSP. C’est la certification que les recruteurs citent quand ils cherchent quelqu’un capable de tenir une vision d’ensemble de la sécurité, de la gouvernance jusqu’au SOC. Elle a aussi la réputation d’être l’une des plus difficiles à décrocher. Pas forcément pour les raisons qu’on imagine.
Ce guide détaille ce que valide réellement le CISSP, les huit domaines de l’examen, son format adaptatif, son coût complet, la règle des cinq ans d’expérience et la voie officielle pour passer l’examen avant de les avoir, puis la façon dont il se positionne face au CCSP, au CEH et à l’OSCP.
Le CISSP (Certified Information Systems Security Professional) est la certification généraliste de l’ISC2, pensée pour les profils expérimentés de la sécurité de l’information. L’examen coûte 749 dollars (719 € en tarif standard Europe), dure 3 heures et compte 100 à 150 questions en format adaptatif, sans version française depuis 2022. Il faut 5 ans d’expérience dans au moins deux des huit domaines, mais il est possible de réussir l’examen avant et d’obtenir le statut d’Associate of ISC2 en attendant.
Sommaire
- Le CISSP, la certification de référence de l’ISC2
- Les huit domaines du CISSP et leur poids
- L’examen, format adaptatif et score requis
- Combien coûte le CISSP
- Prérequis, les cinq ans d’expérience et la voie Associate
- CISSP, CCSP, CEH ou OSCP, laquelle choisir
- Débouchés et salaires en France
- Se former pour viser le CISSP
- Questions fréquentes
Le CISSP, la certification de référence de l’ISC2
Le CISSP est délivré par l’ISC2, l’organisme international à but non lucratif qui gère aussi le CCSP, le SSCP et la certification d’entrée CC. Créé en 1994, il est l’un des plus anciens titres de la sécurité de l’information encore en circulation, et il est accrédité selon la norme ISO/IEC 17024 qui encadre la certification des personnes. Il reste vendor neutre : aucun éditeur, aucun produit, aucune plateforme.
Soyons clairs : le CISSP ne fera pas de vous un meilleur pentester. Il vérifie autre chose, votre capacité à raisonner sur l’ensemble d’un système d’information et à arbitrer entre risque, coût et contraintes métier. Là où l’OSCP vérifie que vous savez crocheter une serrure, le CISSP vérifie que vous savez concevoir la sécurité du bâtiment entier, puis expliquer au comité de direction pourquoi elle coûte ce prix.
Concrètement, il s’adresse aux profils qui pilotent ou structurent la sécurité : RSSI et adjoints, architectes sécurité, consultants en gouvernance et en audit, ingénieurs sécurité seniors qui prennent des responsabilités transverses. Pour un premier poste technique, ce n’est pas la bonne porte d’entrée.
Les huit domaines du CISSP et leur poids
Le contenu de l’examen suit le Common Body of Knowledge, découpé en huit domaines. Le référentiel en vigueur est celui du 15 avril 2024, qui a légèrement rééquilibré les poids au profit de la gestion des risques.
| Domaine | Contenu principal | Poids |
|---|---|---|
| 1. Sécurité et gestion des risques | Gouvernance, conformité, éthique, continuité d’activité, gestion des risques | 16 % |
| 2. Sécurité des actifs | Classification, cycle de vie et protection des données | 10 % |
| 3. Architecture et ingénierie de la sécurité | Principes de conception, modèles de sécurité, cryptographie, sécurité physique | 13 % |
| 4. Sécurité des communications et des réseaux | Architectures réseau, segmentation, canaux sécurisés | 13 % |
| 5. Gestion des identités et des accès (IAM) | Authentification, fédération, modèles d’autorisation | 13 % |
| 6. Évaluation et tests de sécurité | Audits, tests d’intrusion, revue de code, indicateurs | 12 % |
| 7. Opérations de sécurité | Supervision, gestion des incidents, forensic, plans de reprise | 13 % |
| 8. Sécurité du développement logiciel | SDLC sécurisé, DevSecOps, sécurité des API et du code | 10 % |
Le domaine 1 pèse le plus lourd, et c’est un signal. Un ingénieur très technique qui néglige la gouvernance et la continuité d’activité se met en difficulté dès les premières questions.
Ce que l’IA change dans le référentiel
ISC2 a complété sa présentation du référentiel avec une lecture domaine par domaine de l’intelligence artificielle. On y trouve les jeux de données d’entraînement et les poids des modèles traités comme des actifs à classifier, la défense contre l’injection de prompt et les attaques adverses côté architecture, la gestion des identités des agents IA et des comptes de service côté IAM, ou encore les vulnérabilités introduites par du code généré par un LLM côté développement. À retenir pour la préparation : ces sujets ne font pas l’objet d’un domaine à part, ils se glissent dans les huit existants.
L’examen, format adaptatif et score requis
| Élément | Détail |
|---|---|
| Format | Computerized Adaptive Testing (CAT) |
| Nombre de questions | 100 à 150 |
| Durée | 3 heures |
| Score de réussite | 700 sur 1000 |
| Types de questions | QCM et questions avancées (glisser-déposer, zones cliquables) |
| Langue pour un candidat francophone | Anglais (version française fermée depuis 2022) |
| Lieu de passage | Centres de test Pearson VUE |
Le format adaptatif change la manière de passer l’examen. Le niveau de chaque question dépend de vos réponses précédentes, et le test s’arrête dès que l’algorithme est statistiquement sûr de votre résultat, parfois dès la centième question. Pas de retour en arrière possible. Une question validée l’est définitivement.
La réalité, c’est que la difficulté vient moins du volume de connaissances que de l’état d’esprit attendu. Sur le terrain, un ingénieur face à une faille corrige d’abord. À l’examen, la réponse attendue est souvent d’évaluer le risque, d’informer la bonne personne et de respecter le processus. C’est le retour qui revient le plus souvent chez les candidats très techniques qui échouent : ils connaissaient la réponse technique, pas la réponse du manager.
Dernier point pour un candidat français. ISC2 a fermé les inscriptions à la version française de l’examen en février 2022, sans la rouvrir depuis. Il faut donc passer l’examen en anglais, avec un vocabulaire de gouvernance et de droit parfois plus piégeux que le vocabulaire technique. Le détail des sous-domaines est publié dans le référentiel officiel du CISSP.
Combien coûte le CISSP
| Poste de dépense | Coût indicatif |
|---|---|
| Frais d’examen (ISC2, via Pearson VUE) | 749 $, soit 719,04 € en tarif standard Europe |
| Report de session | 50 $ (40 €) |
| Annulation | 100 $ (80 €) |
| Cotisation annuelle de maintien (AMF) | 135 $ par an une fois certifié, 50 $ pour un Associate |
| Formation de préparation en France (5 jours, examen non inclus) | 3 000 à 3 800 € HT |
En préparation autonome, le budget se limite à l’examen et à quelques supports : guide officiel, banques de questions, cours vidéo. Comptez moins de 1 000 € au total. Avec une session de cinq jours en organisme, on dépasse vite les 4 000 €. Le CISSP n’étant pas une certification enregistrée au répertoire français, l’examen ne se finance pas au CPF. Dans la pratique, les formations de préparation sont souvent prises en charge par l’employeur.
Prérequis, les cinq ans d’expérience et la voie Associate
ISC2 exige cinq ans d’expérience professionnelle rémunérée, à temps plein et cumulée, dans au moins deux des huit domaines du CISSP. Une année peut être compensée par un diplôme de niveau licence ou équivalent, ou par une certification figurant sur la liste reconnue par ISC2. Cette liste a été révisée en 2026, vérifiez-la au moment du dépôt.
Le point qui change tout pour un profil plus junior
Vous pouvez passer l’examen sans avoir les cinq ans. En cas de réussite, vous obtenez le statut d’Associate of ISC2, avec six ans pour compléter l’expérience manquante. Le statut coûte 50 $ par an et se valorise déjà sur un CV. Beaucoup de candidats choisissent cette voie pour passer l’examen tant que la préparation est fraîche.
Réussir l’examen ne suffit pas pour porter le titre. Il faut ensuite faire valider son parcours par un membre certifié de l’ISC2 en règle, dans les neuf mois qui suivent l’examen. Si vous ne connaissez personne, ISC2 peut assurer cet endossement.
- Étape 1 · InscriptionCréation du compte ISC2 et réservation d’une date chez Pearson VUE.
- Étape 2 · Examen3 heures, 100 à 150 questions, résultat provisoire à la sortie.
- Étape 3 · EndossementValidation de l’expérience par un membre certifié, dans les 9 mois.
- Étape 4 · CertificationTitre CISSP, ou statut Associate of ISC2 si l’expérience manque encore.
- Étape 5 · Maintien120 crédits de formation continue (CPE) sur trois ans et cotisation annuelle.
CISSP, CCSP, CEH ou OSCP, laquelle choisir
Ces quatre certifications reviennent souvent dans la même conversation, alors qu’elles ne répondent pas du tout au même besoin.
| CISSP | CCSP | CEH | OSCP | |
|---|---|---|---|---|
| Organisme | ISC2 | ISC2 | EC-Council | OffSec |
| Nature | Généraliste, management et architecture | Sécurité cloud | Hacking éthique, connaissances | Test d’intrusion, 100 % pratique |
| Expérience attendue | 5 ans (ou statut Associate) | 5 ans, levés si CISSP actif | Accessible plus tôt | Solides bases techniques |
| Profil visé | RSSI, architecte, consultant GRC | Architecte et ingénieur sécurité cloud | Profils qui entrent dans l’offensif | Pentesters |
| Notre guide | Vous y êtes | Guide CCSP | Guide CEH | Guide OSCP |
Pour la plupart des parcours, l’ordre logique est le suivant. D’abord une compétence technique prouvée, avec le CEH ou l’OSCP si vous allez vers l’offensif. Puis le CISSP au moment où vous prenez des responsabilités transverses. Enfin le CCSP pour spécialiser cette vision sur le cloud, d’autant que le CISSP dispense de toute condition d’expérience pour le passer. Viser le CISSP en premier, sans pratique derrière, revient à apprendre la théorie du pilotage sans avoir jamais tenu un manche.
Débouchés et salaires en France
Le CISSP accompagne des postes de RSSI, d’architecte sécurité, de consultant en gouvernance et en audit, de responsable de la sécurité opérationnelle ou d’ingénieur sécurité senior. Côté rémunération, le repère le plus utilisé en France est l’étude du CESIN : le salaire fixe moyen des RSSI y ressort à 96 543 € brut par an en 2024, pour un médian à 90 000 € (étude CESIN et OpinionWay relayée par Le Monde Informatique). Le panel de Hays, plus large, situe le médian des RSSI autour de 76 800 € brut annuels en 2026.
Un point d’honnêteté. Aucune étude française sérieuse n’isole la prime salariale liée au seul CISSP. Sur le terrain, la certification ouvre surtout des portes : elle fait passer un CV le filtre des offres qui la mentionnent, et elle rassure un employeur sur votre capacité à parler gouvernance autant que technique. Le salaire, lui, suit le poste. Pour explorer les métiers concernés, consultez les fiches architecte cybersécurité et ingénieur cybersécurité.
Se former pour viser le CISSP
Le CISSP n’est couvert par aucune formation dédiée chez Guardia CS à ce jour. Deux formations pour les professionnels construisent en revanche une bonne partie des bases attendues sur les domaines techniques du référentiel, en particulier l’architecture, les réseaux et les opérations de sécurité.
Sécurité systèmes et réseaux
9 mois · en ligne, cours du soir · financement CPF, France Travail
Administrateur d’infrastructures sécurisées
12 mois · titre RNCP niveau 6 · financement CPF, France Travail
Corentin Beltrame
Chargé des admissions en formation continue, Guardia Cybersecurity School
« Les profils qui nous parlent du CISSP ont souvent déjà plusieurs années d’informatique derrière eux. La vraie question, c’est le trou dans le parcours : sur quels domaines la personne n’a jamais travaillé ? C’est là qu’une formation financée a du sens, bien avant de réserver l’examen. »
Construisez les bases techniques du CISSP avec une formation finançable
Le CISSP demande une vision d’ensemble, mais elle repose sur des fondations techniques réelles. Les formations pour les professionnels de Guardia Cybersecurity School les construisent en cours du soir, avec un financement CPF ou France Travail.
Questions fréquentes
Combien coûte la certification CISSP ?
L’examen coûte 749 dollars, soit 719,04 € en tarif standard pour l’Europe, payés à l’ISC2 lors de la réservation chez Pearson VUE. Une fois certifié, il faut ajouter une cotisation annuelle de 135 dollars. Une formation de préparation de cinq jours en France coûte entre 3 000 et 3 800 € HT, examen non inclus.
Peut-on passer le CISSP sans cinq ans d’expérience ?
Oui. Un candidat qui réussit l’examen sans l’expérience requise obtient le statut d’Associate of ISC2 et dispose de six ans pour la compléter. Une année d’expérience peut aussi être compensée par un diplôme de niveau licence ou par une certification reconnue par ISC2.
L’examen CISSP existe-t-il en français ?
Non. ISC2 a fermé les inscriptions à la version française en février 2022. Un candidat francophone passe l’examen en anglais, ce qui demande d’être à l’aise avec le vocabulaire de la gouvernance et du droit autant qu’avec le vocabulaire technique.
Combien de temps faut-il pour préparer le CISSP ?
Pour un professionnel qui a déjà plusieurs années d’expérience, les plans de préparation courants s’étalent sur deux à quatre mois de travail régulier. Le temps dépend surtout du nombre de domaines sur lesquels vous n’avez jamais travaillé. Les bootcamps de cinq jours servent de révision intensive, pas de point de départ.
CISSP ou CCSP, lequel passer en premier ?
Le CISSP dans la grande majorité des cas. Il couvre l’ensemble de la sécurité de l’information, et un CISSP actif dispense de toute condition d’expérience pour le CCSP. Le CCSP vient ensuite spécialiser cette vision sur le cloud.
Combien de temps la certification CISSP est-elle valable ?
Trois ans. Pour la renouveler, il faut cumuler 120 crédits de formation continue (CPE) sur ce cycle et payer la cotisation annuelle de 135 dollars, commune à toutes les certifications ISC2 que vous détenez.
