RSSI externalisé pour ETI et PME : guide complet (coûts, délais, NIS2)

Par Mohamed Ali Ksouri, Expert technique Infrastructure & Cybersécurité — Gouvernance & Cybersécurité • Mars 2026 • 13 min de lecture • Sources : ANSSI / CESIN / Robert Half 2026

Ce que vous allez trouver dans cet article

Les 5 situations concrètes où l’externalisation s’impose (avec des exemples tirés de notre terrain) • Un comparatif honnête RSSI interne vs vCISO — coûts réels inclus • Ce qu’un RSSI externalisé fait les 90 premiers jours chez nos clients • Ce que personne ne vous dit avant de signer • Et la réponse à la question qu’on nous pose le plus souvent : mon DSI peut-il vraiment assurer le rôle tout seul ?

Sylvie dirige une ETI bretonne de 184 personnes dans la transformation agroalimentaire. En octobre dernier, trois choses lui sont tombées dessus en même temps : NIS2 dont elle ne savait pas vraiment si elle était concernée, son assureur cyber qui lui demandait une « gouvernance formalisée » pour renouveler son contrat, et un grand compte alimentaire qui exigeait une attestation de conformité pour continuer la relation commerciale. Son DSI — compétent, débordé — lui a dit sans détour : « Je ne suis pas formé pour ça, et je n’ai pas le temps de le devenir. »

Elle a alors demandé à un cabinet RH une estimation pour recruter un RSSI. La réponse : entre 90 000 et 115 000 euros de salaire brut, 6 à 9 mois minimum pour trouver quelqu’un de bien, et encore 3 mois d’intégration avant qu’il soit vraiment opérationnel. Sans compter les certifications, les outils, et le fait qu’un bon RSSI dans l’industrie agroalimentaire, ça ne court pas les rues.

C’est là qu’on lui a parlé du RSSI externalisé — ou vCISO (Virtual CISO), comme on dit de plus en plus dans les directions générales qui ont des contacts anglo-saxons. Elle a signé en novembre. On a démarré en décembre. En mars, son assureur a validé le renouvellement et son grand compte a reçu son attestation. Trois mois, pas douze.

Cet article est principalement écrit pour les ETI de 50 à 500 salariés. Mais les mêmes réflexions s’appliquent aux PME de 20 à 50 personnes confrontées aux mêmes pressions clients ou réglementaires — la taille change, la logique est identique

À qui s’adresse cet article ?

Vous êtes DG, DAF ou DSI d’une ETI ou PME française (20 à 500 salariés). Vous avez une pression réglementaire (NIS2, DORA, ISO 27001), une exigence client sur la sécurité, ou simplement la conviction que votre SI n’est pas suffisamment protégé — mais vous ne savez pas par où commencer ni combien ça coûte vraiment. Ce guide est fait pour vous. Si vous êtes RSSI ou consultant cyber, vous n’apprendrez probablement rien de nouveau ici.

Sommaire

C’est quoi, concrètement, un RSSI externalisé ?

La définition officielle, c’est : un Responsable de la Sécurité des Systèmes d’Information qui intervient à temps partagé chez plusieurs clients. Il assure les mêmes missions qu’un RSSI interne — définir la politique de sécurité, gérer les risques, piloter la conformité, faire le lien entre les équipes IT et la direction — mais à raison de 2 à 8 jours par mois selon votre situation.

En pratique, la nuance qui compte vraiment : ce n’est pas un consultant. Un consultant fait un audit, remet un rapport, et disparaît. Le RSSI externalisé (ou vCISO / Virtual CISO, selon l’appellation que vous préférez), lui, reste. Il connaît votre SI, vos prestataires, votre DSI par son prénom, et il répond au téléphone quand quelque chose de bizarre se passe un vendredi soir. C’est cette continuité qui fait toute la différence.

D’ailleurs, c’est pour ça qu’on préfère parler de « RSSI à temps partagé » plutôt que de prestation ponctuelle. La responsabilité est continue, même si la présence physique est intermittente.

Qui fait appel à ce type de service en 2026 ?

Principalement des ETI et PME de 30 à 500 salariés dans des secteurs où la pression réglementaire monte : industrie, santé, agroalimentaire, services numériques, logistique. Mais aussi des entreprises qui travaillent avec de grands donneurs d’ordres qui leur demandent des preuves de maturité cyber. En 2026, c’est devenu une demande très fréquente dans les appels d’offres B2B — même dans des secteurs qu’on n’aurait pas soupçonnés il y a 3 ans.

Chiffre clé : seulement 18 % des ETI disposent d’un CISO ou RSSI à temps plein (EY-Numeum 2024). Ce sont ces organisations qui constituent aujourd’hui le principal marché du RSSI externalisé en France — et aussi celles qui sont le plus exposées en cas d’incident ou de contrôle réglementaire.

→ Données de référence sur la maturité cyber des entreprises françaises : Baromètre CESIN 2025

Il n’y a pas de règle universelle, ni pour les ETI ni pour les PME. Mais dans notre expérience, quand on discute avec des dirigeants qui finissent par franchir le pas, il y a presque toujours un de ces cinq déclencheurs — souvent deux ou trois en même temps.

→ Vérifier si votre organisation est concernée par NIS2 : Guide officiel NIS2 — ANSSI

→ Texte officiel de la directive NIS2 (Journal officiel de l’UE) : Directive (UE) 2022/2555 — EUR-Lex

→ Signaler un incident cyber ou trouver un prestataire qualifié : Cybermalveillance.gouv.fr

RSSI interne vs RSSI externalisé : le vrai comparatif

On entend parfois : « Un RSSI à temps partagé, c’est forcément moins bien qu’un RSSI dédié. » C’est vrai dans l’absolu. C’est faux dans le contexte d’une ETI de 100 personnes qui n’a ni les moyens ni les besoins d’un RSSI plein temps. Ce qui compte, c’est le niveau de couverture adapté à votre réalité, pas un idéal théorique inaccessible.

Une précision qui mérite d’être dite : ce tableau ne valorise pas l’externalisation par défaut. Si vous avez 600 salariés dans un secteur bancaire ou de santé avec des SI complexes, un RSSI interne temps plein reste la bonne réponse — éventuellement épaulé par un consultant externe pour les sujets de niche. Mais en dessous de 300-400 personnes, la majorité des ETI n’ont pas les volumes qui justifient un poste à temps plein, et elles le paient cher en manques de couverture.

Ce qui se passe concrètement les 90 premiers jours

C’est souvent la question qu’on pose en deuxième, après le prix : « Et concrètement, il fait quoi ? » Voici la séquence réelle qu’on suit chez i-lead Sentinel, pas une promesse commerciale.

Semaine 1-2 — On ne commence pas par des solutions. On commence par écouter.

Le premier réflexe d’un bon RSSI externalisé, ce n’est pas d’installer des outils. C’est de comprendre votre organisation : comment vous travaillez, qui a accès à quoi, quels sont vos projets en cours, quelles sont vos dépendances critiques. On passe beaucoup de temps avec le DSI, parfois avec la DAF ou le DG. Ces premiers échanges révèlent souvent des choses que personne n’avait formalisées.

Mois 1 — La cartographie : voir ce qu’on ne voit plus

L’inventaire complet du SI — postes, serveurs, applications, accès cloud, prestataires ayant des accès distants — est souvent la première vraie surprise. On trouve régulièrement des comptes d’anciens collaborateurs encore actifs, des serveurs oubliés exposés sur Internet, des accès VPN sans MFA qui datent de 2019. Pas parce que les équipes sont négligentes. Parce que sans quelqu’un dont c’est le seul travail, ces choses s’accumulent naturellement.

Mois 2 — Le plan de remédiation : prioriser sans tout promettre

Sur la base de ce qu’on a trouvé, on produit un plan de traitement des risques. Chaque action est chiffrée, planifiée, et présentée avec un niveau de priorité. Ce n’est pas une liste de courses exhaustive — c’est une feuille de route réaliste qui tient compte de votre budget et de votre capacité à absorber les changements. On le présente à la direction de façon compréhensible, pas avec du jargon technique.

Ce document, c’est aussi votre preuve documentaire pour votre assureur et vos clients. Si vous cherchez à faire un audit cyber préalable ou à valider votre niveau de maturité NIS2, notre page prestations cybersécurité détaille les étapes de ce diagnostic initial. Pour aller plus loin sur la gestion des vulnérabilités dans le cadre NIS2 : Gestion des vulnérabilités et NIS2 — i-lead Sentinel.

Mois 3 — On met en place, on ne théorise plus

Le RSSI pilote la mise en œuvre des mesures prioritaires : déploiement MFA sur les accès critiques, conformité des sauvegardes, rédaction de la PSSI (Politique de Sécurité du Système d’Information), initialisation du processus de patch management. À la fin du trimestre, vous avez des fondations documentées et défendables. Pas la perfection — personne ne l’atteint en 90 jours — mais une base solide qui prouve votre démarche.

Combien ça coûte, honnêtement ?

Voici les fourchettes réelles qu’on pratique chez i-lead Sentinel, et que vous retrouverez à peu près chez les autres prestataires sérieux du marché. La transparence sur les prix est importante pour nous — on perd du temps avec des prospects qui n’ont pas les moyens, et eux en perdent autant.

Ces fourchettes incluent les déplacements sur site quand c’est nécessaire, la disponibilité téléphonique pour les urgences, et les outils de reporting. Ce qu’elles n’incluent pas : les licences logicielles (EDR, outils de supervision), les formations de vos équipes, et les prestations techniques ponctuelles. Ces coûts sont identifiés dans le plan de remédiation du mois 2 — il n’y a pas de mauvaise surprise en cours de route.

Une chose qu’on nous dit parfois : « C’est quand même cher pour 2 jours par mois. » C’est une façon de voir les choses. L’autre façon : vous achetez de l’expertise accumulée sur des dizaines de clients différents, une veille permanente sur les menaces et la réglementation, et une réactivité en cas d’incident qui vaut bien plus que le tarif journalier d’un RSSI senior.

Ce que personne ne vous dit avant de signer

On va être directs sur quelques points qu’on aurait aimé trouver dans les articles qu’on lit sur le sujet.

Premièrement : un RSSI externalisé ne résout pas tout, et ne remplace pas un DSI compétent. Les deux rôles sont complémentaires — l’un pilote la sécurité, l’autre gère l’IT au quotidien. Si votre DSI est en difficulté sur sa mission principale, ce n’est pas le RSSI externalisé qui compensera.

Deuxièmement : les premiers mois, ça peut sembler lent. La cartographie et le plan de remédiation prennent du temps parce qu’on refuse de bâcler le diagnostic. Certains clients nous ont dit en semaine 4 : « On n’a encore rien fait. » C’est faux — on a fait l’état des lieux. Mais si vous attendez des résultats visibles immédiatement, la frustration peut arriver.

Troisièmement — et c’est sans doute le plus important : l’efficacité d’un RSSI externalisé dépend beaucoup de l’implication de la direction. Si la cybersécurité n’a pas de champion au niveau DG ou DAF, les plans de remédiation restent des documents. On l’a vu. Les meilleures missions sont celles où la direction est impliquée, pas juste informée.

FAQ – RSSI externalisé pour ETI et PME : guide complet (coûts, délais, NIS2)

Vous voulez savoir si le RSSI externalisé est adapté à votre situation ?

Vous êtes DG d’une ETI entre 50 et 300 salariés concernée par NIS2 ? Ou dirigeant d’une PME sous pression client sur la sécurité ? On propose un entretien de 45 minutes — gratuit, sans engagement, sans présentation commerciale. Vous exposez votre situation, on vous dit franchement si c’est le bon moment, la bonne formule, et si c’est réaliste avec votre budget. Si ce n’est pas le cas, on vous dira aussi ce qui l’est. Pour en discuter : sentinel@i-lead.fr — ou directement via www.i-lead.fr/contact