La question n'est pas de savoir si votre entreprise a besoin d'un responsable de la sécurité. NIS2, DORA, les questionnaires de vos clients et les audits de vos investisseurs l'exigent déjà. La question porte sur la forme : un poste salarié à temps plein, ou un RSSI externalisé qui intervient quelques jours par mois.

Ce que fait réellement un RSSI

Dans une PME ou une ETI, le rôle couvre quatre activités : piloter les risques, tenir la conformité, préparer la crise et rendre compte à la direction. L'exécution technique (déploiement d'outils, administration, supervision) relève en général de la DSI ou d'un prestataire d'infogérance.

  • Pilotage des risques : cartographie, registre, arbitrages budgétaires.
  • Conformité : politique de sécurité (PSSI), exigences NIS2, DORA, ISO 27001, preuves pour les audits.
  • Crise : procédure d'incident, exercices, chaîne de notification aux autorités.
  • Reporting : une lecture des risques compréhensible par un COMEX ou un conseil.

Les critères de décision

Le volume de travail réel

Une entreprise de 150 salariés sans activité régulée n'occupe pas un RSSI cinq jours par semaine sur le pilotage. Un RSSI à plein temps y finit souvent absorbé par de l'opérationnel. À l'inverse, un groupe multi-sites soumis à DORA ou à NIS2 comme entité essentielle justifie en général une équipe interne.

Le coût complet

Le coût d'un RSSI salarié ne se limite pas au salaire : charges, recrutement, formation, outillage et remplacement pendant les absences s'y ajoutent. Les baromètres de rémunération publiés en 2026 placent un RSSI expérimenté au-delà de 100 000 € brut annuels dans de nombreuses organisations. Un vCISO se facture au temps consommé, sans coût de recrutement.

Le délai

Le marché de l'emploi cyber reste tendu : l'Observatoire des métiers de l'ANSSI relève une hausse de 49 % des offres d'emploi en cybersécurité entre 2019 et 2024. Un recrutement de RSSI prend plusieurs mois. Un vCISO démarre en 2 à 4 semaines, ce qui compte quand une échéance d'audit ou de levée de fonds est fixée.

L'indépendance

Un intervenant externe rend compte directement à la direction et n'a pas de périmètre technique à défendre. C'est un avantage pour arbitrer entre DSI, métiers et prestataires. La limite : il connaît moins l'histoire de l'entreprise au démarrage, d'où l'importance d'un cadrage initial sérieux.

Quand le vCISO n’est pas la bonne réponse

  • Vous avez besoin d’une présence quotidienne sur site pour de la supervision opérationnelle.
  • Votre volume de décisions sécurité justifie déjà une équipe de plusieurs personnes.
  • Aucun interlocuteur interne ne peut porter les actions entre deux interventions.

Dans ce dernier cas, un vCISO peut servir de transition : structurer la fonction, rédiger la fiche de poste et accompagner le recrutement d'un RSSI interne.

Le bon modèle est celui qui produit des décisions et des preuves chaque trimestre, pas celui qui figure le mieux dans l'organigramme.

Questions fréquentes

Combien de jours par mois intervient un vCISO ?

Le volume est fixé au cadrage selon la taille, le niveau de maturité et les échéances réglementaires. Il est ajustable chaque mois, sans engagement long terme.

Un vCISO peut-il porter la responsabilité de la sécurité ?

Il pilote et conseille, mais la responsabilité reste à la direction. NIS2 (art. 20) prévoit d'ailleurs que les organes de direction approuvent les mesures de gestion des risques et en supervisent la mise en œuvre.

Le vCISO remplace-t-il la DSI ou l’infogérant ?

Non. Il définit les exigences, priorise et contrôle. L'exécution technique reste à la DSI ou au prestataire.

Ressource associée : Modèle de reporting sécurité pour COMEX.

Sources

Cet article informe et ne constitue pas un avis juridique.