Cybersécurité · Gouvernance · Spécialiste ISO 27001 et NIS2
RSSI à temps partagé : un responsable sécurité sans recruter à plein temps.
Pour les PME et les ESN qui ne justifient pas un RSSI à plein temps : nous pilotons votre sécurité de 1 à 4 jours par mois, du comité de direction aux questionnaires des clients. De 1 500 à 3 500 € HT par mois. Contrat de 12 mois.
- Prix publics, facturation mensuelle
- 1 à 4 jours par mois
- Rattaché à la direction, pas à la DSI
Ce que vous nous demandez
Quelqu’un qui pilote la sécurité, sans un poste à plein temps.
« Je veux que quelqu’un porte la sécurité devant la direction et nos clients, sans recruter un RSSI à temps plein. »
Un RSSI salarié coûte cher.
Et reste sous-occupé dans une entreprise de moins de 200 personnes.
Les questionnaires s’accumulent.
Clients, assureur, appels d’offres : personne n’a le temps ni la légitimité d’y répondre.
ISO 27001 et NIS2 arrivent.
Il faut piloter un plan sur des mois, pas seulement rédiger des documents.
La DSI ne peut pas s’auditer elle-même.
Le responsable sécurité doit pouvoir arbitrer, y compris contre l’informatique.
Pour qui
Quatre situations où le temps partagé sert tout de suite.
PME de 30 à 200 personnes
Pas de RSSI dédié, mais la sécurité revient à chaque comité de direction, dans les questionnaires des clients ou de l’assureur.
Entreprise en croissance
Vous préparez une levée : vos grands comptes attendent une trajectoire ISO 27001 ou SOC 2.
Avant une cession ou une levée
Un audit d’acquisition approche : la gouvernance sécurité doit tenir face aux auditeurs et aux investisseurs.
RSSI sur le départ
Votre RSSI part et le recrutement prend des mois : il faut un relais pour ne pas perdre les acquis.
Le rôle concrètement
Gouvernance, risques, animation transverse.
Sans se substituer à la DSI sur l’exploitation. Selon le format choisi, tout ou partie de ces missions.
- Pilotage du système de management de la sécurité de l’information (SMSI)
- Animation du comité sécurité mensuel
- Compte rendu trimestriel à la direction
- Cartographie et analyse des risques
- Plan de traitement des risques
- Politique de sécurité (PSSI) et documents associés
- Gestion des audits internes et externes
- Suivi des indicateurs de sécurité
- Lien avec l’ANSSI, la CNIL et les autorités
- Volet sécurité des appels d’offres
- Sensibilisation des salariés
- Gestion des incidents et retour d’expérience
- Veille réglementaire (NIS2, DORA, RGPD)
- Validation des projets et changements critiques
- Sécurité des fournisseurs et sous-traitants
Comment ça démarre
D’un premier échange à un rythme mensuel.
- 1
Rendez-vous de 30 minutes
Votre structure, vos exigences (clients, assureur, ISO 27001, NIS2) et votre niveau actuel. Nous vous proposons un format et un prix écrit.
- 2
État des lieux, 2 à 3 jours
Cadrage du périmètre, revue des documents, entretiens avec la direction et l’informatique, état des risques.
- 3
Plan d’action à 90 jours
Feuille de route priorisée, actions rapides identifiées, indicateurs cibles, validés en comité de direction avant exécution.
- 4
Cycle mensuel
Comité sécurité, compte rendu trimestriel à la direction, plan ajusté en continu pendant toute la durée du contrat.
L’état des lieux initial est offert pour un contrat de 12 mois.
Garde-fous
Ce qu’un RSSI à temps partagé fait, et ce qu’il ne fait pas.
Ce que nous faisons
- Un rattachement écrit à la direction, et un partage des rôles avec la DSI posé dès le démarrage.
- Des recommandations cohérentes avec votre informatique, appuyées sur des outils open source (Wazuh, Keycloak, Vault, Suricata, OpenCTI).
- Si un pentest, un audit d’écart ou une surveillance devient nécessaire, la même équipe prend le relais.
Ce que nous ne promettons pas
- Une astreinte permanente : la gestion de crise se fait aux heures ouvrées, astreinte sur devis.
- De remplacer la DSI sur l’exploitation : le RSSI définit et contrôle, la DSI met en œuvre.
- Une certification : nous la préparons, l’organisme certificateur décide.
La sortie
- Contrat de 12 mois, clause de sortie à 3 mois en cas de désaccord.
- Documents, registres, indicateurs et feuille de route restent à vous ; passation prévue au contrat.
Prix publics
Trois formats, un seul engagement.
Hors taxes, par mois, contrat de 12 mois. Le format se réajuste à mi-parcours si le périmètre évolue.
1 jour par mois
Maintenir la gouvernance sécurité en état.
par mois
- Comité sécurité mensuel (1 h)
- Suivi du plan d’action et des indicateurs
- Revue des incidents et alertes
- Questionnaires de sécurité ponctuels
- Veille réglementaire résumée
2 jours par mois
RecommandéUne PME qui construit son système de management.
par mois
- Tout le format 1 jour
- Pilotage du projet ISO 27001 ou NIS2
- Rédaction et mise à jour des politiques
- Audits internes ciblés
- Sensibilisation trimestrielle des équipes
- Comité de direction trimestriel sur place
4 jours par mois
Un RSSI opérationnel pour une entreprise en croissance ou une ETI.
par mois
- Tout le format 2 jours
- Présence sur place régulière, déplacements planifiés
- Pilotage de la certification ISO 27001 de bout en bout
- Coordination avec la DSI et les équipes produit
- Sécurité des fournisseurs suivie
- Appels d’offres complexes
- Gestion de crise aux heures ouvrées, astreinte sur devis
- Déplacements compris en Lorraine (Nancy, Metz, Épinal et alentours), chiffrés dans le devis ailleurs.
- Besoin d’un audit d’écart ou d’un pentest en parallèle ? Audit d’écart ISO 27001, test d’intrusion, SOC managé : sans changer d’interlocuteur.
Exemples de missions
Ce que fait un RSSI à temps partagé, selon votre situation.
Exemples types de contenu de mission, pour vous situer.
Éditeur de logiciel, 50 personnes, avant une levée
Cadrage du SMSI et du périmètre ; préparation ISO 27001 sur 9 mois ; comité sécurité mensuel et compte rendu aux investisseurs.
ESN, 120 personnes, audits clients fréquents
Réponse aux questionnaires de sécurité des grands comptes ; risques fournisseurs et sous-traitants ; sensibilisation des salariés.
ETI industrielle, entité importante NIS2
Mise en conformité NIS2 et préparation des signalements à l’ANSSI ; audit d’écart puis plan à 12 mois ; formation des équipes à la gestion d’incident.
Cabinet de conseil, RSSI sur le départ
Reprise du SMSI existant ; maintien de la certification ISO 27001 pendant le recrutement ; passation au futur RSSI interne.
Preuves
Ce que nous tenons déjà.
Chez des clients qui ne veulent pas être nommés.
- Partenaire officiel Odoo
- Prestataire référencé sur Cybermalveillance.gouv.fr
- Offreur de solutions référencé en cybersécurité par Grand Est Développement
- Prix publics
Organisme de formation à Metz
accès à distance des formateurs par un VPN chiffré, un seul port ouvert, journaux conservés le minimum nécessaire.
Jeune entreprise industrielle
deux serveurs, aucun port d’administration ouvert sur Internet, accès par réseau privé, sauvegarde chiffrée, toute l’installation décrite en code.
Pour aller plus loin
Pour aller plus loin.
RSSI à temps partagé : rôle, coût, limites
Ce que ça couvre, ce que ça coûte, et quand ce n’est pas la bonne réponse.
Lire ArticleFormation NIS2 des dirigeants
Ce que la directive prévoit pour les organes de direction.
Lire ArticleReCyF, le référentiel cyber de l’ANSSI
Le référentiel français, et ce qu’il demande.
Lire ServiceAccompagnement ISO 27001
De l’audit d’écart à l’audit officiel.
Lire ServiceNIS2
Diagnostic en 3 jours et plan d’action.
Lire ServiceAudit d’écart ISO 27001
Les 93 contrôles statués, plan chiffré.
LireQuestions fréquentes
Les questions qu’on nous pose.
Quelle différence avec un RSSI à temps plein ?
Un RSSI salarié représente un coût fixe à plein temps, et reste souvent sous-occupé dans une entreprise de moins de 200 personnes. Le temps partagé apporte la même compétence sur le périmètre réellement utile, à un coût mensuel connu, ajusté au risque : vous gardez l’expérience sans la charge fixe.
Quel engagement minimum ?
Le contrat type dure 12 mois, renouvelable. La sécurité se construit dans la durée : un engagement plus court ne permet pas d’obtenir de résultat sur le système de management ou la certification. Une clause de sortie à 3 mois est prévue en cas de désaccord.
Sur site ou à distance ?
Les deux. Le comité sécurité et les réunions clés peuvent se tenir chez vous, avec des déplacements planifiés depuis Maxéville, compris en Lorraine et chiffrés ailleurs dans le devis. Le travail documentaire, la veille et le suivi se font à distance. Le format de 4 jours par mois prévoit une présence plus régulière.
Comment s’articule le rôle avec la DSI existante ?
Le RSSI à temps partagé ne remplace pas la DSI : il définit les exigences, contrôle leur application et arbitre les risques. La DSI reste responsable de la mise en œuvre. Le partage des rôles est écrit dès le démarrage pour éviter les zones grises.
Que se passe-t-il en fin de mission ou à la succession ?
Documents, registres de risques, indicateurs et feuille de route restent votre propriété. Une passation structurée vers un RSSI interne ou un autre prestataire est prévue au contrat. Aucun outil propriétaire n’est introduit : c’est la conséquence directe du choix de l’open source.
À qui rapporte le RSSI à temps partagé ?
Idéalement à la direction générale, pas à la DSI, pour garantir son indépendance vis-à-vis de l’informatique. Dans une petite structure, il rapporte directement au dirigeant. Le rattachement est validé au démarrage et écrit dans la lettre de mission.
Contact
Trente minutes pour cadrer votre périmètre RSSI.
Votre structure, vos exigences de conformité, votre niveau actuel : nous vous proposons un format et un prix écrit.
Réponse écrite sous 1 jour ouvré. M-KIS, siège à Maxéville, à côté de Nancy.