Des réponses claires pour vos clients et votre assureur
Nous répondons avec vous aux questionnaires de sécurité et aux demandes d’audit fournisseur, pour que ventes et renouvellements avancent.
RSSI externalisé
RSSI externalisé pour les PME : un responsable sécurité à temps partagé.
Vos clients, votre assureur et les nouvelles règles européennes demandent tous qui est responsable du risque cyber chez vous. Nous prenons ce rôle à temps partagé, pour que vous ayez une réponse claire. Opérationnel en une à deux semaines.
Est-ce pour vous ?
Vous vous reconnaîtrez dans au moins une de ces situations.
- Un client vous a envoyé un questionnaire de sécuritéEt personne en interne ne sait y répondre avec assurance.
- Votre assureur pose de nouvelles questions au renouvellementDouble authentification, sauvegardes, plan en cas d’incident : il veut des preuves.
- Un appel d’offres ou un client demande ISO 27001Et il vous faut quelqu’un pour piloter le travail jusqu’à l’audit.
- NIS2 pourrait vous concerner, vous ou vos clientsEt vous voulez une réponse claire, puis un plan.
- Vous avez subi un incident de sécuritéOu vous l’avez frôlé, et vous voulez être mieux préparé la prochaine fois.
Ce qui est en jeu
Il faut quelqu’un pour porter le risque cyber. Aujourd’hui, c’est sans doute vous.
Auditeurs, assureurs et grands clients posent tous la même question : qui est responsable de la sécurité ici ? Sans réponse claire, les ventes ralentissent et les renouvellements se compliquent.
Recruter un responsable sécurité à temps plein est rarement réaliste. En France, un RSSI perçoit généralement 75 000 à 100 000 € bruts par an de salaire fixe (Robert Half, Guide des salaires 2027). S’y ajoutent les avantages et le coût du recrutement. Un RSSI externalisé vous apporte le même pilotage senior, à temps partagé, à la mesure de votre budget.
Ce que vous obtenez
Ce qui change pour votre entreprise.
Un plan à votre portée
Un plan sur 12 mois qui classe les risques selon leur impact sur l’activité et tient dans votre budget, revu chaque trimestre.
Des règles réellement appliquées
Des politiques courtes que vos équipes lisent, des mots de passe au contrôle des fournisseurs, tenues à jour quand les règles changent.
Prêt si un incident survient
Un plan d’incident que vos équipes ont répété, et quelqu’un pour piloter la réponse et préparer les notifications que vous déposez.
Des audits sans course contre la montre
Des preuves tenues à jour toute l’année : audits de certification, de clients ou internes, sans surprise.
Des comptes rendus clairs pour la direction
Un point régulier sur où vous en êtes et ce qui demande une décision, en langage clair.
Qui fait quoi
Nous pilotons la sécurité. Votre prestataire informatique fait tourner vos systèmes.
Ce que nous pilotons
- Fixer les priorités et le plan sur 12 mois
- Répondre avec vous aux questionnaires des clients et de l’assureur
- Rédiger les politiques et vérifier qu’elles sont appliquées
- Superviser le déploiement des mesures de sécurité, à la taille de votre entreprise
- Piloter la réponse en cas d’incident
- Rendre compte à la direction et préparer les audits
Ce qui reste chez votre prestataire informatique
- Installer et configurer les outils de sécurité
- Appliquer les mises à jour et faire les sauvegardes
- Surveiller vos systèmes au quotidien
Nous vérifions que son travail suit le plan. Vous avez une personne responsable de la sécurité, pas un fournisseur informatique de plus.
Pour commencer
Du premier appel à un plan opérationnel en un mois environ.
- 01
Appel gratuit
25 minutes · sans engagement
Nous parlons de votre activité, de ce que vous demandent vos clients et votre assureur, et de ce qui vous inquiète. Si un RSSI externalisé n’est pas la bonne réponse, nous vous le disons.
- 02
Où vous en êtes
Semaines 1 et 2
Nous faisons le point sur votre sécurité actuelle et listons les risques qui comptent le plus pour votre activité.
- 03
Votre plan
Semaines 2 à 4
Un plan sur 12 mois, avec priorités, responsables et coûts, validé par la direction.
- 04
Pilotage dans la durée
Chaque mois
Nous faisons avancer le plan : revues, questionnaires, exercices d’incident, audits et comptes rendus à la direction.
Pour commencer
Un pilotage senior, sans le salaire d’un temps plein.
Un forfait mensuel fixe et un engagement de 12 mois, jamais à l’heure. Les programmes plus larges, où nous pilotons l’ensemble de votre système de management de la sécurité, ajoutent un forfait de démarrage. Le montant exact figure dans la proposition, après l’appel.
- À partir de
- 1 200 €HT par mois
- Durée
- Opérationnel en 1 à 2 semaines
- Votre temps
- Environ 1 h par semaine
Devis ferme après l'appel gratuit.
Réserver une consultation gratuite de 25 minutesPour votre DSI, DPO ou DAF
Les onze volets couverts par le forfait mensuel.
Les formules programme couvrent les onze. La formule d’entrée, dès 1 200 € HT par mois, en couvre l’essentiel sous forme de conseil : revues trimestrielles, risques prioritaires, politiques de base, plan de réponse aux incidents, supervision de vos mesures de sécurité, veille réglementaire et point annuel avec la direction.
- Programme de sécurité. Nous pilotons un système de management de la sécurité aligné sur ISO 27001, à la taille de votre entreprise.
- Gestion des risques. Un registre des risques et un plan de traitement, revus chaque trimestre.
- Réponse aux incidents. Un plan, répété lors d’exercices sur table, et quelqu’un pour piloter la réponse et coordonner les notifications aux autorités, aux personnes concernées et aux clients.
- Pilotage de la conformité. Une vue unique sur le RGPD, NIS2, DORA, ISO 27001 et PCI DSS, chaque obligation reliée à une mesure. Les questionnaires de vos clients, traités avec vous.
- Comptes rendus à la direction. Des revues trimestrielles et des points qui traduisent l’état technique en décisions pour l’entreprise.
- Audits internes. Planifiés et menés en interne, avec la préparation aux audits de certification si vous en avez besoin.
- Politiques. Rédigées, revues et tenues à jour, puis diffusées à vos équipes et acceptées par elles.
- Formation et sensibilisation. Formation annuelle des équipes, simulations d’hameçonnage et campagnes de sensibilisation.
- Mesures de sécurité. Nous supervisons le déploiement des mesures mises en place par votre prestataire informatique : à la bonne taille, sans surdimensionnement.
- Suivi. Nous vérifions que les mesures fonctionnent, avec quelques indicateurs clairs.
- Amélioration continue. Écarts et incidents transformés en actions correctives, trimestre après trimestre.
Les règles et référentiels couverts par une seule mission.
LOI UE
NIS2
La directive européenne sur la cybersécurité des entreprises moyennes et grandes de 18 secteurs, et de leurs fournisseurs par contrat.
En savoir plus
LOI UE · FINANCE
DORA
Les règles de résilience informatique des banques, assureurs et autres entités financières, et de leurs prestataires informatiques.
En savoir plus
LOI UE
RGPD
La protection des données personnelles : réponse aux violations, analyses d’impact et coordination avec votre DPO.
En savoir plus
CERTIFICATION
ISO 27001
La certification de sécurité que demandent vos clients. Pilotée par un Lead Auditor ISO 27001 certifié PECB.
En savoir plus
VIE PRIVÉE · CERTIFICATION
ISO 27701
Le management certifiable des données personnelles. Depuis l’édition 2025, la norme est autonome : ISO 27001 n’est plus un prérequis.
En savoir plus
PAIEMENT
PCI DSS
La sécurité des paiements par carte : périmètre, auto-évaluation et supervision des corrections.
En savoir plus
Même responsabilité. Autre structure de coût.
| Critère | RSSI externalisé Cyber-Management | RSSI à temps plein |
|---|---|---|
| Coût annuel | Dès 14 400 € par an (1 200 € HT par mois) ; périmètre ajusté à vos besoins | 75 000 à 100 000 € bruts de salaire fixe en France (Robert Half, Guide des salaires 2027), hors avantages et coûts de recrutement |
| Délai de démarrage | 1 à 2 semaines après le premier appel | 3 à 6 mois pour recruter, intégrer et rendre opérationnel |
| Étendue de l’expertise | Un consultant senior qui couvre plusieurs référentiels et secteurs, et fait appel à des spécialistes (par exemple des testeurs d’intrusion) pour des tâches précises | Limitée à la personne recrutée |
| Souplesse | Plus de temps pendant un audit ou un incident, moins en régime de croisière | Effectif fixe, difficile et coûteux à ajuster |
| Continuité | Tout est documenté dans vos propres outils et transmissible : aucun savoir enfermé dans une seule tête | Un départ laisse un vide immédiat |
| Pour qui | Entreprises de 10 à 500 salariés soumises à des règles européennes ou à la pression de leurs clients | Grandes entreprises dotées d’équipes sécurité à plein temps |
FAQ
Ce que nous demandent dirigeants et responsables informatiques.
En quoi un RSSI externalisé diffère-t-il d’un consultant en sécurité ?
Un consultant livre un projet, puis se retire. Un RSSI externalisé pilote votre sécurité dans la durée (priorités, risques, comptes rendus et conformité) et vous rend compte ; la responsabilité reste celle de votre direction. Il fait souvent appel à des consultants pour des travaux précis, comme les tests d’intrusion, et veille à ce que leurs conclusions soient suivies.
Combien de notre temps cela demande-t-il ?
En général une heure par semaine environ pour votre interlocuteur : un point régulier, des réponses à nos questions et des décisions. Davantage pendant un audit ou un incident.
Remplacez-vous notre prestataire informatique ?
Non. Nous fixons les priorités, rédigeons les règles, contrôlons le travail et rendons compte à la direction. Votre équipe ou votre prestataire informatique continue d’installer, de configurer et d’exploiter vos systèmes. Nous vérifions que ce travail technique suit le plan.
Un RSSI externalisé peut-il nous mener à la certification ISO 27001 ?
Oui, c’est l’un des résultats les plus fréquents. Votre consultant détient la certification PECB ISO/IEC 27001 Lead Auditor. Nous concevons votre système de management, pilotons l’audit interne, vous préparons à l’audit de certification et restons présents pendant les audits de surveillance.
Que se passe-t-il en cas d’incident ?
Votre RSSI externalisé coordonne la réponse avec votre équipe ou votre prestataire informatique : décisions, notifications que vous déposez, communication aux clients et reprise, avec un appui forensique spécialisé si besoin. Les délais sont courts : 72 heures pour notifier une violation de données à la CNIL. Sous NIS2, l’alerte précoce en 24 heures s’applique déjà en Belgique et au Luxembourg, et s’appliquera en France à l’entrée en vigueur de la loi.
Comment la mission est-elle facturée ?
Un forfait mensuel fixe avec un engagement de 12 mois, jamais à l’heure. Il commence à 1 200 € HT par mois pour les plus petites entreprises. Les programmes plus larges, où nous pilotons l’ensemble de votre système de management de la sécurité, ajoutent un forfait de démarrage. Les montants exacts figurent dans la proposition, avant tout engagement.
Pourrons-nous recruter un RSSI à temps plein plus tard ?
Oui, et nous le préparons. Nous pouvons vous aider à définir le poste, rédiger la fiche de poste et briefer les candidats. Tout ce que nous avons construit (politiques, processus, registre des risques) est documenté dans vos outils et se transmet sans perte.
Où intervenez-vous ?
En France métropolitaine et dans les DROM (Guadeloupe, Martinique, Guyane, La Réunion, Mayotte), ainsi qu’auprès des PME francophones de Belgique, du Luxembourg et de Suisse. À distance en priorité, sur site quand la mission le justifie. La plupart de nos clients relèvent de secteurs réglementés ou traitent beaucoup de données personnelles ou commerciales.