Mise en œuvre d'un programme de sécurité
Nous élaborons et mettons en œuvre des programmes de sécurité personnalisés et évolutifs, alignés sur vos objectifs métier, prêts à grandir avec vous.
RSSI Virtuel
RSSI virtuel pour les PME — un dirigeant sécurité intégré à votre PME, sans embauche à temps plein.
Gouvernance sécurité fractionnée pour les PME françaises et francophones — un responsable certifié qui porte le risque qui repose aujourd'hui sur vous. Actif en une à deux semaines, pas en six mois.
Le fossé
Une PME a besoin d'un RSSI. Elle ne peut pas en payer un.
NIS2, DORA, RGPD, ISO 27001 — l'ensemble réglementaire européen part du principe que vous avez quelqu'un de qualifié pour piloter votre programme sécurité. Auditeurs, assureurs et clients grands comptes posent tous la même question : qui est responsable ici ?
Un RSSI à temps plein coûte 90 000 € à 185 000 € par an en salaire seul, hors avantages et coûts de recrutement. La plupart des PME ne peuvent pas justifier ce poste — et ne devraient pas avoir à le faire. Un vRSSI comble le fossé : la même direction stratégique, dimensionnée pour votre entreprise et votre budget.
Notre programme vRSSI
Onze responsabilités, un seul interlocuteur.
Gestion des risques
Un registre des risques vivant, que le conseil lit réellement. Menaces et plans de traitement priorisés selon l'impact métier.
Conformité réglementaire
NIS2, DORA, RGPD, ISO 27001, PCI DSS — nous prenons en charge l'analyse d'écarts, la feuille de route, la remédiation et la préparation à l'audit.
Réponse aux incidents
Un plan de réponse testé, des exercices de simulation, et le leadership dont votre équipe a besoin quand un incident survient. Sous NIS2 et RGPD, les délais de notification sont serrés ; nous veillons à les respecter.
Reporting au conseil et à la direction
Des briefings mensuels exploitables par votre PDG et votre conseil. Posture, exposition, décisions à prendre — en langage clair, sans théâtre sécurité.
Préparation aux audits
Audits internes, certification ISO 27001, évaluations sécurité clients. Nous vous préparons, participons à l'audit et traitons les constats.
Politiques et procédures
Nous rédigeons les politiques dont votre entreprise a réellement besoin, dans un langage que les gens liront — et veillons à ce qu'elles soient appliquées, pas classées.
Sensibilisation à la sécurité
Formations pratiques et simulations de phishing qui transforment votre maillon faible en première ligne de défense.
Pilotage des outils de sécurité
Nous supervisons le déploiement, la configuration et la surveillance des contrôles dont vous avez réellement besoin — pas ceux qu'un éditeur veut vous vendre.
Exploitation du SMSI
Pilotage quotidien de votre Système de Management de la Sécurité de l'Information : surveillance de l'efficacité, maintien des preuves, planification des améliorations.
Amélioration continue
Les normes sont un plancher, pas un plafond. Nous évaluons, identifions ce qui ne fonctionne pas et élevons le niveau — trimestre après trimestre.
Comment se déroule une mission
Quatre phases. Deux semaines pour démarrer.
- 01
Premier entretien
25 minutes · gratuit · sans engagement
Une conversation directe sur votre activité, votre posture sécurité actuelle et les obligations les plus urgentes. Nous vous disons honnêtement si une mission vRSSI est le bon cadre — ou si autre chose serait plus pertinent à ce stade.
- 02
Diagnostic de sécurité
Semaine 1–2
Revue structurée de vos contrôles, politiques et niveau de conformité actuels. Sortie : une base claire, un registre des risques priorisé et une courte liste d'actions à enclencher immédiatement.
- 03
Feuille de route et construction du programme
À partir de la semaine 3
Votre vRSSI élabore une feuille de route sécurité sur mesure — alignée sur vos objectifs métier, vos obligations réglementaires et votre budget — puis entame la construction de votre SMSI, de vos politiques et de votre cadence opérationnelle.
- 04
Pilotage continu
Forfait mensuel
Revues de risques, mises à jour des politiques, sécurité fournisseurs, briefings dirigeants, préparation aux audits et surveillance continue de la conformité. Intensifié pendant un sprint, allégé en régime de croisière.
Ce qui est inclus
Ce que couvre réellement le forfait mensuel.
- Un vRSSI nommément désigné, seul responsable de votre sécurité.
- Un briefing mensuel exploitable par votre direction et votre conseil.
- Un registre des risques vivant, revu et repriorisé chaque mois.
- La mise à jour des politiques et procédures au fil de votre activité et de la réglementation.
- Les revues de sécurité fournisseurs et tiers sur les contrats nouveaux et renouvelés.
- Les questionnaires de sécurité clients et les due diligences, traités pour vous.
- Le pilotage de la réponse à incident, y compris la notification au régulateur dans les délais.
- La préparation et la présence aux audits — internes, de certification et clients.
- La veille réglementaire sur NIS2, DORA, RGPD, ISO 27001 et PCI DSS.
- Un benchmark trimestriel face à votre cadre cible, avec feuille de route révisée.
- Les preuves et la documentation maintenues en continu, pas reconstituées avant chaque audit.
- Un accès direct à votre vRSSI entre les points programmés — sans file d'attente.
Pour qui
Vous avez probablement besoin d'un vRSSI si…
La plupart de nos missions concernent des PME de 10 à 500 collaborateurs dans des secteurs réglementés ou traitant des données clients sensibles. Les signaux ci-dessous ressortent généralement tôt dans nos premiers entretiens.
- Vous traitez, stockez ou transmettez des données personnelles ou financières sensibles.
- Vous êtes soumis à NIS2, DORA, RGPD, ISO 27001 ou PCI DSS — et quelqu'un doit en assumer la responsabilité.
- Clients, partenaires ou assureurs vous posent des questions précises sur votre posture sécurité.
- Vous avez subi un incident ou un quasi-accident au cours des 24 derniers mois.
- Votre équipe IT pilote bien les opérations mais n'a pas d'expérience formelle en gouvernance sécurité.
- Vous visez une certification ISO 27001 (ou similaire) et avez besoin d'un leadership expert pendant l'audit.
- Votre conseil ne peut pas exposer clairement votre exposition aux risques cyber — et ça commence à devenir inconfortable.
- Vous êtes en forte croissance et des pratiques informelles créent des écarts de conformité.
Cadres couverts
Réglementation UE, certification ISO, sécurité des paiements — une seule mission.
OBLIGATOIRE · UE
NIS2
Gestion des risques, notification des incidents, gouvernance et sécurité de la chaîne d'approvisionnement pour les entités essentielles et importantes dans 18 secteurs.
En savoir plus
OBLIGATOIRE · FINANCE
DORA
Gestion des risques TIC, tests de résilience opérationnelle et supervision des prestataires tiers pour les entités financières européennes.
En savoir plus
OBLIGATOIRE · UE
RGPD
Gouvernance de la protection des données, gestion des violations, supervision des AIPD et coordination du DPO.
En savoir plus
CERTIFICATION
ISO 27001
Conception du SMSI, pilotage de l'audit interne et préparation à la certification. Conduit par des Lead Auditors accrédités PECB.
En savoir plus
VIE PRIVÉE · CERTIFICATION
ISO 27701
Conception et certification du Système de Management de la Protection de la Vie Privée — étendant votre SMSI au RGPD.
En savoir plus
PAIEMENTS
PCI DSS
Délimitation du périmètre des données titulaires, accompagnement SAQ, remédiation des écarts et suivi continu de la conformité.
En savoir plus
vs RSSI à temps plein
Même responsabilité. Structure de coût différente.
| Critère | vRSSI Cyber-Management | RSSI à temps plein |
|---|---|---|
| Coût annuel | Une fraction d'un salaire à temps plein ; périmètre dimensionné à vos besoins | 90 000 € à 185 000 €+ en salaire seul, hors avantages et recrutement |
| Délai de démarrage | 1–2 semaines après le premier entretien | 3 à 6 mois pour recruter, intégrer et monter en compétence |
| Étendue de l'expertise | Équipe multi-référentiels et multi-secteurs derrière chaque mission | Périmètre limité au profil recruté |
| Flexibilité | Intensification pendant un sprint, allègement en régime de croisière | Effectif fixe — difficile et coûteux à ajuster |
| Couverture réglementaire UE | NIS2, DORA, RGPD, ISO 27001, PCI DSS et plus | Variable selon le profil |
| Risque de continuité | Porté par une équipe — aucun point de défaillance unique | Élevé — un départ crée immédiatement un vide de leadership |
| Idéal pour | PME et entreprises en croissance (10–500 collaborateurs) sous réglementation européenne | Grandes entreprises avec opérations sécurité à temps plein |
Cas concret
Une PME réglementée, un sprint NIS2 de 11 semaines.
Une entreprise B2B de services en Europe continentale — environ 80 collaborateurs, classée entité importante sous NIS2 — nous a sollicités après que son plus gros client a demandé des preuves de conformité NIS2 lors d'un renouvellement de contrat.
Premier entretien le lundi, diagnostic sécurité livré le vendredi suivant. L'analyse d'écarts a fait ressortir 14 priorités ; 8 pouvaient être traitées dans l'outillage existant, 6 exigeaient un investissement. En onze semaines, l'entreprise disposait d'un registre des risques opérationnel, d'un plan de réponse aux incidents testé, d'un processus de sécurité fournisseurs actualisé et d'une cadence de reporting cyber au conseil — suffisant pour rassurer le client et l'autorité de contrôle.
La mission s'est poursuivie en forfait mensuel. Leur auditeur n'a relevé aucune non-conformité lors de la revue externe suivante.
FAQ
Questions fréquentes.
En quoi un vRSSI est-il différent d'un consultant en sécurité ?
Un consultant livre un projet défini, puis se retire. Un vRSSI porte une responsabilité continue sur l'ensemble de votre programme sécurité — stratégie, risques, encadrement, reporting au conseil et conformité. Pensez « directeur sécurité », pas « prestataire ponctuel ». Les deux sont complémentaires : un vRSSI mandate souvent des consultants pour des missions précises (tests d'intrusion, forensique, audits de certification) et intègre leurs constats dans le programme.
Sous quel délai pouvez-vous réellement démarrer ?
Une à deux semaines après le premier entretien. Nous cadrons la mission lors de l'échange, signons le contrat sous quelques jours et lançons le diagnostic en semaine 1. À comparer à un recrutement à temps plein : 3 à 6 mois pour recruter, négocier et intégrer avant que le moindre travail ne commence.
Remplacez-vous notre équipe IT ?
Non — nous travaillons aux côtés de vos équipes IT et ingénierie existantes. Un vRSSI définit la stratégie sécurité, porte la gouvernance, gère les risques et rend compte à la direction. Votre équipe IT continue d'opérer, le vRSSI lui apportant le cadre sécurité qu'elle n'a souvent pas le temps de construire elle-même.
Un vRSSI peut-il nous mener à la certification ISO 27001 ?
Oui — c'est l'un des résultats les plus fréquents de nos missions. Nos praticiens détiennent l'accréditation PECB ISO/IEC 27001 Lead Auditor. Nous concevons votre SMSI, pilotez l'audit interne, vous préparons à l'audit de certification externe et restons engagés pendant les audits de surveillance suivants.
Que se passe-t-il si nous avons un incident pendant la mission ?
Votre vRSSI pilote la réponse : confinement, notification à l'autorité de contrôle, communication client, coordination forensique et reprise. Sous NIS2 et RGPD, les fenêtres de notification sont serrées (24 à 72 heures selon l'incident) — disposer d'un dirigeant sécurité expérimenté aux commandes dès la première minute, c'est la différence entre un incident maîtrisé et une crise.
Comment la mission est-elle facturée ?
Deux composantes, toutes deux fixes : un forfait d'amorçage couvrant le premier entretien, le diagnostic sécurité et la construction de la feuille de route (phases 01-03), et un forfait mensuel pour le pilotage continu (phase 04). Pas de mauvaise surprise, pas de facturation horaire. Les deux montants sont dimensionnés selon la taille, la complexité et l'exposition réglementaire de votre organisation, et communiqués en toute transparence dans la proposition après le premier entretien — vous savez exactement ce que vous engagez avant de signer.
Pouvons-nous passer à un RSSI à temps plein plus tard ?
Oui — et beaucoup de nos clients le font, lorsqu'ils grandissent vers un poste à temps plein. Nous pouvons vous aider à définir le rôle, rédiger la fiche de poste et briefer les candidats pendant le recrutement. Le travail accompli par le vRSSI — votre SMSI, vos politiques, processus, registre des risques — se transmet proprement au RSSI entrant.
Travaillez-vous dans notre région ou notre secteur ?
Nous accompagnons des entreprises en France métropolitaine et dans les DROM — Guadeloupe, Martinique, Guyane, La Réunion, Mayotte — ainsi que les PME francophones de Belgique, du Luxembourg et de Suisse. Bilingues français/anglais, nous intervenons à distance en priorité, et sur site pour les missions qui le justifient. La majorité de nos missions concernent des secteurs réglementés (finance, santé, industrie, services professionnels) ou des PME traitant des volumes significatifs de données personnelles ou commerciales.