En 2019 selon une enquête du CPME 1 41 % des entreprises interrogées de 0 à 9 salariés et 44% des entreprises de 9 à 49 salariés ont déjà subi une ou plusieurs attaques ou tentatives d'attaques informatiques. En ayant une culture sécurité des systèmes d'information (CSSI) efficace où les employés protègent les actifs informationnels, les petites et moyennes entreprises (PME) pourraient améliorer la sécurité de leurs systèmes d'information (Dojkovski et Al 2007). Cependant, les recherches antérieures ont largement ignoré le développement d'une telle culture pour les PME. L'objectif de cette recherche est de répondre à la question : « Comment évaluer la maturité de la culture sécurité des SI dans les PME ». Cette communication propose un modèle théorique qui doit permettre d'évaluer la maturité de la culture SSI d'une PME. Ce modèle est construit en se basant sur la théorie des trois niveaux de la culture sécurité de Schlienger et Teufel (2003) adapté de Schein (1985). Dans cette communication nous présentons également notre méthode de recherche et les cas prévus. Par la suite ce modèle fera l'objet d'une validation par des études de cas.