RSSI externalisé (à temps partagé)
Une fonction sécurité tenue de bout en bout, sans poste à temps plein.
Réponse courte
RSSI externalisé : de quoi s’agit-il, pour qui, à quel prix ?
Un RSSI externalisé quelques jours par mois : feuille de route, arbitrage des risques, pilotage des fournisseurs et des incidents, reporting à la direction. Public concerné : PME en croissance, sans responsable sécurité identifié. Durée indicative : Engagement de 6 à 12 mois, quelques jours par mois. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Beaucoup d’organisations ont besoin de quelqu’un qui tienne la sécurité de bout en bout, sans pouvoir justifier un poste de RSSI : définition à temps plein. Le RSSI à temps partagé occupe cette fonction à un rythme défini, quelques jours par mois, avec un périmètre écrit : feuille de route, arbitrages de risque, suivi des fournisseurs, point de contact quand un client, un assureur ou un auditeur pose une question.
Le rôle relève de la décision et de la coordination plus que de l’exécution. Nous construisons avec la direction la liste des risques qui comptent, une feuille de route sur douze mois, un comité de pilotage qui se réunit vraiment et un tableau de bord de quelques indicateurs que la direction lit en cinq minutes. Les chantiers techniques restent portés par vos équipes ou vos prestataires ; nous vérifions qu’ils avancent et que les priorités tiennent.
Deux limites sont posées dès le contrat. La responsabilité de la sécurité reste celle de la direction, qui signe les décisions d’acceptation de risque : le RSSI externalisé éclaire et recommande. Et nous disons quand un besoin sort du temps partagé : une crise ou un chantier lourd se traite par une mission dédiée, avec son propre cadrage.
En résumé
- Durée indicative
- Engagement de 6 à 12 mois, quelques jours par mois
- Prix
- sur devissur devis après cadrage ; le rythme en jours par mois fixe le prix
- Référentiels appliqués
- ISO/IEC 27001:2022ISO/IEC 27002:2022NIST CSF 2.0EBIOS Risk ManagerGuide d’hygiène informatique de l’ANSSI
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
RSSI externalisé : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Feuille de route et priorités
Un plan sur douze mois relié au budget, ordonné par exposition au risque, revu à chaque trimestre.
Gouvernance
Rôles, comité de pilotage, circuit de décision, reporting à la direction avec quelques indicateurs suivis dans le temps.
Gestion des risques
Registre des risques tenu à jour, arbitrages documentés, décisions d’acceptation de risque soumises à la signature de la direction.
Fournisseurs et clients
Revue des prestataires critiques, réponses aux questionnaires de sécurité, relation avec les auditeurs et les assureurs.
Incidents et crise
Procédure de gestion d’incident, annuaire de crise, exercice annuel, point de contact quand l’événement se produit.
Veille réglementaire
Suivi des obligations qui vous concernent (NIS 2, RGPD, DORA, exigences clients) et de leur effet sur la feuille de route.
RSSI externalisé : que livre la mission ?
- Lettre de mission : périmètre, jours par mois, indicateurs, limites
- Feuille de route sécurité sur douze mois, revue chaque trimestre
- Registre des risques et décisions d’acceptation tracées
- Tableau de bord trimestriel pour la direction
- Comptes rendus de chaque comité de pilotage
- Bilan annuel et priorités de l’année suivante
Qu’est-ce que cela change pour vous ?
- Un interlocuteur sécurité identifié, côté clients, assureurs et autorités
- Des décisions de risque prises et tracées par la direction
- Une feuille de route que le budget peut suivre
RSSI externalisé : pour qui est-ce utile ?
- PME en croissance, sans responsable sécurité identifié
- Éditeurs SaaS dont les clients exigent un interlocuteur sécurité nommé
- Entités concernées par NIS 2 ou DORA sans compétence interne dédiée
- Organisations dont le RSSI part et qui veulent une transition sans trou
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
RSSI externalisé : combien de temps dure la mission ?
Durée indicative : Engagement de 6 à 12 mois, quelques jours par mois. Les 5 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Fixer ce qui est couvert, le rythme des échanges et ce qu’un bon résultat signifie pour vous.
- 02
Mise en place
Accès, outils et référentiel de départ : l’état initial est relevé avant le premier cycle.
- 03
Cycles réguliers
Revue, veille ou traitement des alertes, au rythme prévu par le contrat.
- 04
Points de suivi et rapports
Un point à rythme fixe et un compte rendu écrit des décisions, des écarts et des actions.
- 05
Bilan et ajustement
Revoir le périmètre, la fréquence et le budget à chaque échéance prévue au contrat.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
RSSI externalisé : ce qu’on nous demande
Combien de jours par mois faut-il prévoir pour un RSSI à temps partagé ?
Le rythme dépend de la taille de l’organisation, de sa complexité et des obligations qui pèsent sur elle. Les premiers mois sont plus chargés, parce qu’ils servent à cadrer le périmètre, établir la feuille de route et installer le comité ; le rythme baisse ensuite. Nous fixons le nombre de jours au cadrage, avec une revue trimestrielle qui permet de l’ajuster dans un sens ou dans l’autre. Le prix découle de ce rythme et de l’éventuelle astreinte.
Un RSSI externalisé engage-t-il sa responsabilité en cas d’incident ?
La responsabilité de la sécurité reste celle de la direction, qui décide et signe l’acceptation des risques. Le contrat de prestation précise le périmètre, les moyens engagés et les limites : nous nous engageons sur le travail à fournir, pas sur l’absence d’incident, que personne ne peut promettre. Faites relire la lettre de mission par votre conseil juridique et par votre assureur, notamment pour les clauses de responsabilité et de confidentialité.
Peut-on avoir le même prestataire comme RSSI et pour les tests d’intrusion ?
C’est possible, mais nous le traitons comme un conflit d’intérêts potentiel : celui qui a défini les mesures n’est pas le mieux placé pour juger de leur efficacité. Selon votre référentiel, qui peut exiger l’indépendance des testeurs, nous affectons des consultants distincts ou nous vous recommandons un autre prestataire pour la partie test. La règle est posée par écrit au démarrage.
À quel moment vaut-il mieux embaucher un RSSI que le partager ?
Lorsque la fonction demande une présence quotidienne : équipe sécurité à animer, projets nombreux à relire, astreinte permanente, contraintes réglementaires lourdes. Un poste à temps plein se justifie alors, et nous pouvons organiser la transition : transmission de la feuille de route, des registres et des relations avec les fournisseurs, puis passage de relais sur quelques semaines.
Pour comprendre avant de décider
- ArticleRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Quelles prestations s’y associent ?
Audit organisationnel
Savoir où en est la sécurité de l’organisation, au-delà de ses outils.
1 à 3 semaines selon la taille de l’organisationsur devis
Accompagnement ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
6 à 12 mois du cadrage à l’audit de certification, selon le point de départdès 1 900 €
PSSI et procédures
Des règles courtes, que l’on retrouve dans les pratiques.
3 à 8 semaines selon le nombre de politiques et de procéduressur devis
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « RSSI externalisé » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début