Domaines, examens, expérience exigée, formation continue et postes visés : comparaison du CISSP (ISC2) et du CISM (ISACA) pour les responsables sécurité.
Pour un RSSI, le CISM d'ISACA est centré sur le management de la sécurité : gouvernance, risques, programme et incidents. Le CISSP d'ISC2 couvre un champ plus large, à la fois managérial et technique, sur huit domaines. Si votre rôle est avant tout de piloter un programme de sécurité, le CISM est très ciblé ; si vous devez aussi arbitrer des choix d'architecture et dialoguer avec les équipes techniques, le CISSP est souvent plus adapté.
Le CISSP (Certified Information Systems Security Professional) s'adresse aux professionnels qui conçoivent, mettent en œuvre et gèrent un programme de cybersécurité. Il demande une vision transversale : de la gestion des risques à la sécurité des réseaux, en passant par l'identité et le développement logiciel.
Le CISM (Certified Information Security Manager) est pensé pour ceux qui gèrent, supervisent et évaluent la sécurité de l'information d'une organisation. Il met l'accent sur l'alignement de la sécurité avec les objectifs métier, la gestion des risques et la conduite d'un programme.
Les deux sont reconnus pour des postes de responsable sécurité, mais leur point de vue diffère : le CISSP part de la sécurité dans son ensemble, le CISM part de la gouvernance.
Le CISSP s'appuie sur huit domaines, dont le référentiel en vigueur depuis le 15 avril 2024 est le suivant :
Le CISM est structuré en quatre domaines : gouvernance de la sécurité de l'information, gestion des risques de sécurité de l'information, programme de sécurité de l'information et gestion des incidents. Le programme de sécurité y occupe la place la plus importante. ISACA a annoncé un nouveau référentiel d'examen applicable à partir du 3 novembre 2026 : les quatre domaines sont conservés, avec des pondérations légèrement ajustées et l'ajout de notions d'architecture d'entreprise et d'architecture de sécurité. Si vous passez l'examen après cette date, utilisez des supports alignés sur la nouvelle version.
Le CISSP est passé au format adaptatif (CAT) : la difficulté des questions s'ajuste à vos réponses, et l'examen s'arrête lorsque le système a suffisamment d'éléments pour conclure. Pour la version anglaise :
Le CISM est un examen linéaire classique :
Le format adaptatif du CISSP ne permet pas de revenir sur une question déjà validée, ce qui demande une préparation spécifique. Le CISM laisse davantage de liberté dans la gestion du temps, mais exige de raisonner systématiquement du point de vue du management.
Les deux certifications demandent cinq ans d'expérience, avec des critères différents.
Dans les deux cas, l'expérience est vérifiée après l'examen. Réussir l'épreuve ne suffit donc pas pour porter le titre.
Les deux certifications suivent un cycle de trois ans avec une obligation de formation continue.
Ces obligations sont compatibles avec l'activité d'un RSSI : conférences, formations, rédaction ou participation à des groupes de travail peuvent être prises en compte selon les règles de chaque organisme.
Les postes associés se recoupent en partie.
Dans les secteurs soumis à des exigences réglementaires comme NIS 2 ou DORA, les compétences de gouvernance du CISM trouvent une application directe ; voir notre article sur les obligations NIS 2 et DORA.
Certains responsables sécurité détiennent les deux certifications, mais ce n'est pas une obligation. Une approche pragmatique consiste à commencer par celle qui correspond à votre poste actuel, puis à envisager la seconde si votre rôle évolue. Un RSSI peut aussi compléter son profil avec une certification ISO/IEC 27001 Lead Implementer, très utile pour structurer un système de management, ou avec le C|CISO d'EC-Council, orienté direction de la sécurité. Pour une vue d'ensemble, consultez notre parcours de certifications en cybersécurité en 2026.
Securevalley Training est Authorized Silver Partner PECB et revendeur agréé EC-Council. Pour le CISSP et le CISM, nous proposons des préparations à la certification, sans lien de partenariat avec ISC2 ou ISACA.
Oui, dans son périmètre. Il couvre des domaines comme l'architecture, les réseaux ou le développement sécurisé, alors que le CISM reste centré sur la gouvernance, les risques, le programme et les incidents. Le CISSP n'est pas pour autant une certification d'expertise technique pointue.
Oui. L'examen est ouvert à tous, mais le titre n'est délivré qu'après validation de cinq ans d'expérience en management de la sécurité de l'information. Vous avez cinq ans après la réussite pour déposer votre demande.
Celle qui correspond à votre quotidien. Un profil technique qui évolue vers le management se tourne souvent vers le CISSP ; un profil gouvernance, risque ou conformité vers le CISM.
La disponibilité des langues varie selon l'organisme et évolue dans le temps. Vérifiez-la sur le site d'ISC2 ou d'ISACA avant de réserver votre session.
Le CISSP et le CISM valident tous deux une expérience solide en sécurité, avec des angles distincts. Choisissez en fonction de votre rôle réel : pilotage et gouvernance pour le CISM, vision transversale et arbitrage technique pour le CISSP. Dans les deux cas, anticipez l'exigence d'expérience et le maintien par la formation continue.