En bref
Un RSSI externalisé, ou RSSI à temps partagé, tient la fonction de responsable de la sécurité des systèmes d’information quelques jours par mois : feuille de route, arbitrage des risques, pilotage des fournisseurs et des incidents, reporting à la direction. Son coût dépend du nombre de jours, du périmètre et de l’astreinte, et se fixe après un cadrage. Il convient aux organisations qui n’ont pas besoin d’un poste à temps plein ; il ne décharge jamais la direction de sa responsabilité.
Que fait un RSSI externalisé au quotidien ?
Un RSSI : définition à temps partagé exerce la fonction de gouvernance, pas celle d’administrateur système. Le référentiel NIST CSF 2.0 place cette fonction au premier rang sous le nom « Gouverner » : contexte de l’organisation, stratégie de gestion des risques, rôles et responsabilités, politiques, supervision, gestion des risques liés aux fournisseurs. C’est bien le territoire d’un RSSI.
- Établir et tenir à jour une feuille de route sécurité reliée au budget.
- Animer un comité de pilotage et produire un tableau de bord lisible par la direction.
- Tenir le registre des risques et préparer les décisions d’acceptation, signées par la direction.
- Suivre les fournisseurs critiques et répondre aux questionnaires de sécurité des clients.
- Préparer la gestion de crise : procédure, annuaire, exercice, point de contact en cas d’incident.
- Suivre les obligations qui vous concernent (NIS 2, RGPD, DORA, exigences contractuelles).
Combien coûte un RSSI externalisé ?
Il n’existe pas de tarif universel, et méfiez-vous des chiffres publiés sans périmètre. Le prix découle de quelques paramètres que le cadrage fixe : le nombre de jours par mois, la taille et la complexité de l’organisation, le niveau de réglementation qui s’applique, la présence d’une astreinte pour les incidents, et le temps consacré au reporting.
Les premiers mois pèsent plus lourd que les suivants, car il faut établir l’état des lieux, la feuille de route et les instances. Beaucoup de contrats prévoient donc un rythme plus soutenu au démarrage, puis un rythme de croisière, avec une revue trimestrielle qui permet de l’ajuster. Chez Reconmind, le prix est sur devis après cadrage, jamais au forfait avant d’avoir compris le périmètre.
RSSI à temps partagé, RSSI interne ou conseil ponctuel ?
Le temps partagé convient quand le besoin est continu mais pas quotidien : pilotage, arbitrages, relation avec les clients et les autorités. Un RSSI interne s’impose lorsque la fonction demande une présence permanente : équipe à animer, projets nombreux, astreinte, contraintes réglementaires lourdes. Un conseil ponctuel convient à un chantier précis : une analyse d’écarts, une préparation d’audit.
Le piège inverse existe aussi : confier la fonction au directeur informatique par défaut. Celui qui exploite les systèmes et celui qui évalue leurs risques ont des priorités différentes, et la même personne s’arbitre mal elle-même. Le guide NIST SP 800-100 décrit les rôles de la gouvernance de la sécurité et insiste sur l’attribution claire des responsabilités, du dirigeant au responsable sécurité.
Quelles limites faut-il connaître avant de signer ?
Faites relire la lettre de mission par votre conseil juridique, et vérifiez avec votre assureur que la fonction externalisée n’affecte pas vos garanties.
- La responsabilité de la sécurité reste celle de la direction : le RSSI externalisé recommande, la direction décide et signe.
- Le prestataire s’engage sur un travail à fournir, pas sur l’absence d’incident, que personne ne peut promettre.
- La disponibilité doit être précisée : jours fixes, délais de réponse, remplaçant en cas d’absence.
- La confidentialité et le traitement des informations sensibles sont écrits dans le contrat.
- L’indépendance compte : un prestataire qui définit les mesures et teste ensuite leur efficacité est en position de conflit d’intérêts potentiel.
Quelles questions poser avant de choisir un RSSI externalisé ?
Le candidat idéal sur le papier n’est pas toujours celui qui conviendra à votre organisation. Quelques questions suffisent à écarter les profils qui vendent un titre plutôt qu’un travail.
- 1Qui exercera la mission, nommément, et qui le remplace en cas d’absence ? Un contrat signé avec un cabinet dont l’interlocuteur change tous les trimestres perd l’essentiel de sa valeur.
- 2Quels livrables sont attendus à chaque trimestre, et lesquels relèvent d’une mission séparée facturée à part ?
- 3Quelle est la position du prestataire quand il vend aussi des tests ou des outils ? Demandez comment il s’assure que ses recommandations ne dépendent pas de ce qu’il peut vendre ensuite.
- 4Comment les jours non utilisés un mois sont-ils traités : reportés, perdus, remboursés ?
- 5Quelles références, et dans quels secteurs, sont vérifiables auprès d’un client qui accepte d’en parler ?
Comment cadrer les trois premiers mois ?
- 1Mois 1 : état des lieux, entretiens, inventaire des actifs et des fournisseurs critiques, premiers risques majeurs.
- 2Mois 2 : feuille de route sur douze mois, indicateurs, premier comité de pilotage, politique et procédures prioritaires.
- 3Mois 3 : premiers chantiers lancés, premier tableau de bord à la direction, exercice de crise sur table, revue du rythme de jours.
À retenir
- 1Le RSSI à temps partagé tient la gouvernance, pas l’administration technique.
- 2Son coût dépend des jours par mois, du périmètre et de l’astreinte : exigez ces lignes au contrat.
- 3La direction reste responsable et signe l’acceptation des risques.
- 4Un poste interne se justifie quand la fonction demande une présence quotidienne.
Sources citées
- The NIST Cybersecurity Framework (CSF) 2.0, National Institute of Standards and Technology (NIST)
- SP 800-100, Information Security Handbook: A Guide for Managers, National Institute of Standards and Technology (NIST)
Comment savoir si un RSSI externalisé fait son travail ?
Une fonction de gouvernance se juge sur ses traces, pas sur le nombre d’heures facturées. Au bout de trois à six mois, vous devez pouvoir montrer des documents vivants et des décisions prises, et non une présence de principe.