Quel prestataire choisir pour un RSSI externalisé ?

L'essentiel en bref

• Les prestataires de RSSI externalisé se répartissent en quatre modèles : consultant indépendant ou cabinet d'avocats portant le rôle désigné, cabinet de conseil spécialisé avec forfait vCISO, prestataire de services de sécurité managés proposant le RSSI en complément, et plateforme de conformité européenne avec des experts certifiés nommément désignés.
• Le choix se joue sur une question : le prestataire vend-il le rôle désigné ou la fonction de pilotage ? Le rôle désigné porte la désignation et tient la documentation à jour. Le mandat de RSSI pilote la stratégie de sécurité, la priorisation des risques et le budget devant la direction. L'écart de prix entre ces deux périmètres est plus large que l'écart entre prestataires.
• Les tarifs publiés en France vont de 2 000 à 5 000 euros HT par mois, pour un TJM de 800 à 1 500 euros, soit environ 48 000 euros par an à raison de quatre jours mensuels (relevé en août 2026). Une part réduite du marché publie ses tarifs.
• Un logiciel seul ne peut pas porter le mandat. Le règlement d'exécution (UE) 2024/2690 exige au point 1.2.3 de son annexe qu'au moins une personne réponde directement devant les organes de direction de la sécurité des réseaux et des systèmes d'information. Étant un règlement, il s'applique directement en France, alors même que la directive NIS2 n'y est pas encore transposée.
• Kertos relève du quatrième modèle. L'agent d'IA KAIA assure le rôle de RSSI virtuel au quotidien et un expert certifié de l'équipe Kertos, nommément désigné, prend le mandat, le reporting et l'accompagnement des audits. L'hébergement et la compétence juridique restent en Europe.

Ce qu'une offre coûte par mois est la dernière question de cette sélection, pas la première. Deux propositions séparées de 2 000 euros décrivent régulièrement deux produits différents sur ce marché. Les sections qui suivent posent les modèles, les critères sur lesquels la décision se joue réellement, et les cas où un recrutement interne reste préférable.

Quels modèles de prestataires existent pour un RSSI externalisé ?

Consultant indépendant ou cabinet d'avocats portant le rôle désigné. Une personne porte le rôle, tient la documentation à jour et rend compte à intervalles fixes. La facturation se fait au forfait réduit ou à l'heure. Le travail opérationnel sur le SMSI reste largement chez vous.

Cabinet de conseil spécialisé avec forfait vCISO. L'accent porte sur la fonction de pilotage : stratégie de sécurité, priorisation des risques, reporting à la direction. Vous achetez des jours de conseil et non un résultat. Vérifiez combien de jours le forfait contient réellement, car c'est de là que vient l'écart de prix du marché.

Prestataire de services de sécurité managés avec RSSI en complément. Le produit central est l'exploitation technique, c'est-à-dire la supervision, la détection et la réponse. La prestation de RSSI vient se poser sur un produit de sécurité. Ce modèle tient quand vous souhaitez externaliser l'exploitation de toute façon, et tient moins bien quand votre besoin réel porte sur la gouvernance, les preuves et la capacité à passer un audit.

Plateforme de conformité européenne avec des experts certifiés nommément désignés. Le logiciel et le mandat viennent du même prestataire. Les preuves se constituent en continu dans le système qui porte aussi les risques, les mesures, les politiques et les sous-traitants, et un expert désigné assure le pilotage, le reporting et l'accompagnement des audits.

Une remarque de vocabulaire, parce qu'elle crée de vraies confusions dans les achats transfrontaliers. Les marchés anglophones parlent de vCISO, virtual CISO, fractional CISO ou CISO as a Service. Le marché allemand vend le même travail sous le terme externer CISO et, pour le rôle désigné plus étroit, externer Informationssicherheitsbeauftragter. En France, on dit RSSI externalisé. Les mots diffèrent, les deux périmètres sous-jacents non.

Comment savoir quel modèle vous convient ?

À partir de huit critères qui figurent rarement dans une comparaison d'offres, alors qu'ils déterminent la charge de votre première année.

Quatre questions séparent les offres plus vite que n'importe quelle comparaison tarifaire. Le prestataire vend-il le rôle désigné ou la fonction de pilotage ? La documentation est-elle produite pour vous ou seulement évaluée ? Qui est nommément désigné et comment la suppléance est-elle organisée en cas d'indisponibilité ? Que se passe-t-il lors d'un audit ou d'un incident, et est-ce compris dans le forfait ou facturé à l'usage ?

Sur ce dernier point, le référentiel allemand BSI IT-Grundschutz fournit une liste de contrôle contractuelle qui se transpose sans difficulté. Son exigence de base ISMS.1.A5 (édition 2023) impose trois éléments au contrat conclu avec un responsable de la sécurité externe : l'ensemble des missions du rôle ainsi que les droits et obligations associés, un accord de confidentialité approprié, et une fin de contrat maîtrisée incluant la remise des missions au donneur d'ordre. Ces trois points ont leur place dans tout contrat de ce type.

Combien coûte un RSSI externalisé en France ?

Les tarifs publiés vont de 2 000 à 5 000 euros HT par mois. Les chiffres ci-dessous proviennent des pages publiques de prestataires et de bases de données de rémunération, relevés en août 2026.

Deux remarques de lecture. Les tarifs publiés proviennent de prestataires qui vendent la prestation, ce qui les rend utiles comme ordre de grandeur et discutables comme référence de marché. Et une part réduite du marché publie quoi que ce soit, de sorte qu'une comparaison limitée aux tarifs affichés porte sur un échantillon qui s'est choisi lui-même. Demandez au moins une offre à la moitié qui chiffre sur devis. Le même exercice pour le rôle de délégué à la protection des données figure dans notre aperçu des coûts d'un DPO externe.

Faut-il désigner ce rôle, et un mandat externalisé suffit-il ?

Aucune obligation générale de désigner un RSSI n'existe en droit français. L'obligation naît du référentiel qui s'applique à vous, et la situation française présente une particularité.

La première ligne est celle qui compte pour les entreprises SaaS et cloud françaises. Le règlement d'exécution (UE) 2024/2690 est un règlement : il s'applique directement, sans texte national de transposition. Son article 1er vise notamment les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de services d'informatique en nuage, les fournisseurs de services de centres de données, les réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche en ligne, les plateformes de réseaux sociaux et les prestataires de services de confiance. Pour ces catégories, l'exigence d'une personne désignée existe donc déjà en France, alors que la transposition de NIS2 est toujours attendue.

Sur l'état de la transposition, deux faits sont utiles à connaître avant d'engager un budget. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025 et sa commission spéciale à l'Assemblée nationale a adopté son texte le 10 septembre 2025, sans vote en séance publique depuis. Et la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026 pour défaut de transposition, en demandant une somme forfaitaire et des astreintes journalières. En attendant, l'enregistrement proposé par l'ANSSI sur MesServicesCyber reste un pré-enregistrement volontaire. Notre aperçu de la préparation à la directive NIS2 détaille ce calendrier.

Un point mérite d'être corrigé, car il apparaît dans certaines offres. Un mandat externalisé ne transfère pas la responsabilité. Il transfère l'exécution des missions, à laquelle s'ajoute l'engagement contractuel du prestataire sur le résultat. Un prestataire qui vous promet de reprendre votre responsabilité décrit mal la situation juridique.

« vCISO » désigne-t-il une personne ou un logiciel ?

Les deux, et c'est précisément le problème. Le même sigle recouvre deux produits différents et les offres précisent rarement lequel vous obtenez.

Le premier est une personne en mandat à temps partiel, dite virtuelle uniquement parce que le travail se fait à distance. Le second est un produit logiciel, de plus en plus piloté par l'IA, qui tient les risques, suit les mesures, produit les preuves et signale les écarts. Les deux sont utiles. Ils répondent à des questions différentes.

Le logiciel assure le travail courant à une vitesse qu'un traitement manuel n'atteint pas, parce que les intégrations remontent l'état réel des systèmes et que les écarts apparaissent immédiatement plutôt qu'au moment de préparer l'audit. Ce qu'il ne peut pas faire, c'est porter la responsabilité devant les organes de direction que décrit le point 1.2.3 de l'annexe du règlement d'exécution (UE) 2024/2690, ni signer l'avis écrit qu'un auditeur ou un grand compte réclame.

Pour toute offre comportant vCISO dans son intitulé, posez donc les deux questions. Quel système tient les preuves, et qui est la personne désignée le jour où cela compte et signataire le moment venu ? Une offre qui ne fournit que l'un des deux n'est pas mauvaise, elle est incomplète, et la moitié manquante retombe sur vos équipes. Le choix du logiciel qui tourne sous un mandat est traité dans notre comparatif des logiciels de SMSI.

Quand un recrutement interne est-il préférable ?

Dans trois situations. D'abord lorsque les décisions de sécurité se prennent quotidiennement dans le processus produit ou d'ingénierie et qu'une présence cadencée est trop lente. Ensuite lorsque le modèle économique est lui-même critique du point de vue de la sécurité, par exemple pour une infrastructure critique ou l'exploitation de vos propres centres de données, car le rôle occupe alors un temps plein. Enfin lorsque de grands clients ou des investisseurs exigent expressément une fonction pourvue en interne : c'est une exigence contractuelle et non technique.

Dans la pratique, l'ordre est souvent mixte : un mandat externalisé construit le SMSI et accompagne la première certification, puis une ressource interne reprend l'exploitation tandis que le prestataire reste pour les audits, les incidents et la revue annuelle. Si c'est votre plan, inscrivez la remise ordonnée des missions au contrat dès le départ.

Où se situe Kertos dans cette comparaison ?

Dans le quatrième modèle, sur deux niveaux. L'agent d'IA KAIA assure le rôle de RSSI virtuel au quotidien : il tient les risques, les mesures, les politiques et les preuves à jour au travers de plus de 100 intégrations, répond aux questions techniques dans le contexte de vos propres données et rend visible ce qui manque avant qu'un auditeur ne le demande. Au second niveau, un expert certifié de l'équipe Kertos, nommément désigné, prend le mandat : stratégie de sécurité, priorisation des risques, reporting à la direction et accompagnement des audits et des incidents. Les certifications sont réparties dans l'équipe ; chaque personne ne détient pas chacune d'elles.

Les référentiels couverts sont l'ISO 27001, l'ISO 27701, l'ISO 42001, le RGPD, NIS2, le règlement européen sur l'IA, SOC 2, TISAX et C5, dans un même système plutôt qu'en projets séparés. La plateforme et la société sont européennes, l'hébergement repose sur une infrastructure européenne et la compétence juridique reste dans l'espace européen. C'est là que se joue la différence entre résidence des données et souveraineté des données : un lieu d'hébergement dans l'Union ne dit rien du droit auquel la maison mère est soumise.

Résultats constatés sur ce modèle : 100 % de réussite sur les audits accompagnés, environ 80 % d'effort manuel en moins, 98 % de satisfaction client et jusqu'à 60 % de coûts en moins par rapport au conseil classique. AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines, sans recourir à des consultants externes.

Questions fréquentes

Que fait concrètement un RSSI externalisé ?

Il pilote la sécurité de l'information sur la base d'un mandat, le cœur du rôle étant le pilotage et non l'exploitation technique. Six blocs de travail sont habituels : stratégie de sécurité et feuille de route ; gestion des risques ; construction et exploitation du SMSI selon l'ISO/IEC 27001 ; traduction des exigences réglementaires issues de NIS2, de TISAX, de SOC 2 ou de l'attestation C5 en mesures concrètes ; reporting à la direction ; accompagnement des audits, des questionnaires de sécurité clients et des incidents.

Quelle différence entre RSSI externalisé, vCISO et RSSI as a Service ?

En pratique, ces termes décrivent le même mode de prestation et les prestataires les emploient indifféremment. La distinction qui porte du sens est le périmètre et non l'étiquette : une mission qui porte le rôle désigné et tient la documentation à jour est un produit différent d'une mission qui pilote la stratégie, les risques et le budget devant la direction. C'est ce qui explique une fourchette mensuelle allant de quelques centaines à plusieurs milliers d'euros. Demandez lequel des deux périmètres l'offre couvre.

En combien de temps un mandat de RSSI externalisé démarre-t-il ?

Deux à six semaines jusqu'au début du mandat sont habituelles, selon la revue contractuelle et l'intégration. À titre de comparaison, l'enquête State of Cybersecurity 2025 de l'ISACA relève que 45 % des organisations européennes mettent trois à six mois à pourvoir un poste junior en sécurité de l'information. Cet écart est la véritable raison pour laquelle les entreprises externalisent avant une certification ou une échéance NIS2.

La France impose-t-elle aujourd'hui de désigner un RSSI ?

Non, aucune obligation nationale de désignation n'est en vigueur : NIS2 n'est pas transposée en droit français à ce jour et le dispositif NIS1 de 2018 n'impose aucun rôle nommément. La nuance importante est que le règlement d'exécution (UE) 2024/2690 s'applique, lui, directement, et exige une personne répondant devant les organes de direction pour les catégories d'entités visées à son article 1er, dont les fournisseurs de services d'informatique en nuage. Vérifié le 10 août 2026 pour l'état de la transposition et le 28 août 2026 pour le règlement.

Un RSSI externalisé peut-il aussi être le délégué à la protection des données ?

Techniquement oui, c'est rarement souhaitable. Les deux rôles peuvent entrer en conflit d'objectifs, puisque le délégué à la protection des données contrôle les traitements que le RSSI contribue à sécuriser. Le cumul est déconseillé par plusieurs autorités de sécurité, notamment pour les organismes publics, et le raisonnement vaut également en entreprise.