« RSSI externalisé », « RSSI à temps partagé », « vCISO », « RSSI as a service » : derrière ces appellations se cachent des prestations très différentes, de la demi-journée mensuelle d’un consultant isolé au dispositif complet adossé à une équipe et à un outil. La plupart des acteurs ne publient pas leur prix, ce qui rend la comparaison presque impossible. Voici une grille pour y voir clair.

Ce qu’un RSSI externalisé doit faire

La fonction de RSSI tient en quatre responsabilités : connaître les risques, faire décider la direction, piloter le plan d’actions, et représenter l’organisation face aux tiers (clients, auditeurs, assureurs, autorités). Elle ne consiste pas à administrer les pare-feu ni à surveiller les alertes : ce sont des métiers distincts, que l’Observatoire des métiers de la cybersécurité de l’ANSSI décrit séparément.

Cette distinction est le premier filtre. Une offre de RSSI externalisé qui consiste surtout à vendre de la supervision n’est pas une offre de gouvernance.

Les quatre modèles du marché

Le consultant indépendant. Souvent un ancien RSSI expérimenté. Excellent rapport qualité-prix, relation directe. Limite : aucune continuité en cas d’indisponibilité, et une charge qui plafonne avec le nombre de clients.

L’ESN ou l’intégrateur. Le RSSI externalisé y est fréquemment une porte d’entrée vers des projets d’infrastructure. Bonne connaissance technique ; risque de conflit d’intérêts entre le conseil et la vente.

Le prestataire de services de sécurité managés. Il apporte la détection et la réponse. La gouvernance y est souvent un complément de l’offre de supervision plutôt que son cœur.

Le cabinet spécialiste GRC. La gouvernance, le risque et la conformité sont son métier principal. Limite : il ne remplace pas un prestataire de supervision, et doit savoir travailler avec lui.

Comparatif

Critère Indépendant ESN MSSP Cabinet GRC
Cœur de métier Gouvernance Infrastructure Détection Gouvernance et conformité
Continuité Faible Bonne Bonne Bonne
Indépendance des recommandations Bonne À vérifier À vérifier Bonne si pas de revente
Outillage du pilotage Bureautique Variable Tableaux de bord de détection Plateforme GRC
Prix publié Rarement Rarement Rarement Rarement

La question du prix

La dernière ligne du tableau est la plus révélatrice. L’opacité tarifaire n’est pas toujours une manœuvre : une partie du coût dépend réellement du périmètre. Mais elle empêche le client de comparer le coût d’une externalisation au coût complet d’un recrutement, qui inclut le salaire chargé, le recrutement lui-même, la formation continue et le risque de départ dans un marché tendu. L’étude 2025 de l’ISC2 sur la main-d’œuvre en cybersécurité relève d’ailleurs que 29 % des organisations déclarent ne pas pouvoir se permettre d’embaucher les compétences dont elles ont besoin.

Quel que soit le prestataire consulté, demandez un chiffrage annuel global, à périmètre défini, et mettez-le en regard du coût complet d’un recrutement. Pour donner un ordre de grandeur, notre offre RSSI augmenté, qui associe un consultant Phishia dédié et l’accès à l’ensemble de la plateforme GALEA, démarre à 800 € HT par mois pour une structure de moins de 10 collaborateurs et à 2 000 € HT par mois pour une PME de moins de 250 collaborateurs, en engagement annuel. Le temps consultant est défini chaque mois selon votre taille.

Le modèle Phishia

  • Un RSSI adossé à une équipe. Votre interlocuteur s’appuie sur nos consultants spécialisés (analyse de risque, conformité, fournisseurs, identités, continuité). Une absence n’interrompt pas la fonction.
  • Un pilotage outillé. Le plan d’actions, les risques, les contrôles de conformité et les preuves sont tenus dans GALEA. Le travail réalisé reste consultable par votre direction, et reste chez vous si vous changez de prestataire.
  • Un rythme fixe. Comité trimestriel avec la direction générale, points de suivi réguliers avec votre relais interne, disponibilité en cas d’incident.
  • Une intervention à distance. Le RSSI externalisé Phishia travaille à distance, ce qui permet de maîtriser le coût de la fonction. Les ateliers qui le justifient (analyse de risque, exercice de crise) peuvent faire l’objet d’interventions complémentaires.
  • Un objectif d’autonomie. Nous transférons progressivement à votre équipe ce qu’elle peut porter seule. Une externalisation qui crée une dépendance permanente n’est pas un service rendu.

Les questions à poser avant de signer

  1. Combien de jours ou d’heures par mois, et comment la consommation est-elle suivie ?
  2. Qui remplace le RSSI en cas d’absence, et cette personne connaît-elle déjà votre dossier ?
  3. Le prestataire vend-il des produits ou des services qu’il pourrait être amené à recommander ?
  4. Où sont conservés les livrables, et que récupérez-vous en fin de contrat ?
  5. Qui est votre relais interne, et combien de temps doit-il y consacrer ?

Phishia accompagne des PME et des ETI depuis Paris, Nantes et Toulouse. Si vous hésitez entre recruter et externaliser, nous pouvons poser les deux scénarios côte à côte avec vous, chiffres à l’appui.

Questions fréquentes

Un RSSI externalisé peut-il être désigné comme interlocuteur auprès de l’ANSSI dans le cadre de NIS2 ?

Les modalités précises dépendront des textes d’application français. Dans tous les cas, la responsabilité reste celle de l’entité et de ses dirigeants : le RSSI externalisé porte la fonction, pas la responsabilité juridique.

Faut-il un relais interne ?

Oui. Souvent le responsable informatique ou administratif, avec un temps formellement réservé. Sans relais, les décisions prises en comité ne sont pas exécutées.

Peut-on combiner RSSI externalisé et supervision externalisée ?

Oui, c’est même fréquent. Le RSSI pilote et arbitre ; le prestataire de supervision détecte et répond. Les deux doivent avoir un canal d’échange défini.

Sources

Liens consultés le 2 octobre 2026. Les prix indiqués sont des prix « à partir de », hors taxes, issus de notre grille tarifaire en vigueur à la date de publication.