Économie comparée du RSSI partagé prestation vs produit sur trois ans

Pour conclure cette série d’articles sur la conformité réglementaire et le pilotage cyber des PME et ETI françaises, je propose un exercice de comparaison économique frontal. Soit une Entité Importante française type (80 salariés, 15 millions d’euros de chiffre d’affaires, secteur Annexe II de NIS2, soumise par ailleurs au RGPD et selon ses produits potentiellement au CRA) qui doit construire et maintenir sa fonction RSSI pendant trois ans. Quelles sont les options économiques disponibles ?

Trois scénarios méritent d’être analysés : le recrutement d’un RSSI interne, le RSSI partagé en mode prestation cabinet, le RSSI partagé en mode produit outillé. Chaque scénario présente des forces et des faiblesses qu’il faut nommer honnêtement.

Scénario 1 — RSSI interne recruté

Le recrutement d’un RSSI interne en CDI dans une ETI de 80 salariés est techniquement possible mais économiquement difficile. Un RSSI senior expérimenté dans les référentiels NIS2, CRA et RGPD se rémunère typiquement entre 70 et 95 k€ bruts annuels, soit avec charges patronales un coût employeur entre 95 et 135 k€ par an. Sur trois ans, le coût total se situe entre 285 et 405 k€, hors outils et formations.

Ce scénario présente un avantage majeur : la disponibilité permanente et la connaissance fine de l’organisation. Il présente aussi trois inconvénients structurels. Premièrement, la difficulté à recruter le bon profil dans un marché tendu, avec des délais qui peuvent atteindre 6 à 12 mois. Deuxièmement, le risque de turnover : un RSSI senior en ETI a tendance à partir au bout de 18 à 30 mois vers une structure plus grande qui peut lui offrir un parcours d’évolution. Troisièmement, la perte sèche en cas de départ : la connaissance accumulée ne se transmet que partiellement à un successeur.

Pour une ETI de moins de 200 salariés, le scénario RSSI interne est rarement le plus rationnel économiquement. Il convient mieux aux organisations dont la taille permet une équipe sécurité de trois à cinq personnes.

Scénario 2 — RSSI partagé en prestation cabinet

Le RSSI partagé en prestation cabinet est le scénario dominant sur le marché français en 2026. Un consultant senior intervient à raison de deux à cinq jours par mois chez le client, avec un tarif journalier entre 1 000 et 1 500 euros pour un senior expérimenté. Le coût annuel se situe typiquement entre 30 et 90 k€, selon l’intensité de la mission et la qualité du consultant.

Sur trois ans, le coût total se situe entre 90 et 270 k€. À périmètre constant, le scénario prestation est moins coûteux que le scénario interne, et il offre l’avantage d’accéder à un consultant senior expérimenté que l’organisation ne pourrait pas recruter à plein temps.

Ses inconvénients structurels sont ceux que j’ai détaillés dans un précédent article : dépendance à la personne du consultant, non-reproductibilité des livrables, non-scalabilité du modèle. La qualité dépend très largement de la qualité du consultant individuel, qui peut varier considérablement d’un cabinet à l’autre et d’une mission à l’autre.

Scénario 3 — RSSI partagé en mode produit outillé

Le RSSI partagé en mode produit outillé est encore émergent en France en 2026 mais commence à se structurer. Le client souscrit à un dispositif standardisé qui combine intake structuré, pipeline de production automatisé, rapport mensuel multi-référentiel, analyse de risque industrialisée, plan de contrôle annuel et exercice de crise. Le coût annuel se situe typiquement entre 12 et 30 k€, soit le tiers à la moitié du scénario prestation.

Sur trois ans, le coût total se situe entre 36 et 90 k€. C’est le scénario le moins coûteux des trois, par un facteur de trois à cinq par rapport au RSSI interne, et par un facteur de deux à trois par rapport au RSSI partagé en prestation.

Sa qualité dépend de la qualité du dispositif produit, pas de la disponibilité d’un consultant individuel. Cette dépendance au dispositif présente l’avantage de la stabilité (le produit ne tombe pas malade et ne change pas d’employeur) et l’inconvénient d’une rigidité plus grande (le produit livre ce qu’il livre, l’adaptation à un contexte très spécifique peut être plus difficile que dans un cadre de prestation sur mesure).

Tableau comparatif à trois ans

Synthèse économique pour une Entité Importante française type, sur trois ans :

• Scénario 1 — RSSI interne : 285 à 405 k€, avantage de la disponibilité permanente, risque de turnover.
• Scénario 2 — Prestation cabinet : 90 à 270 k€, avantage de l’expertise senior, risque de variabilité de qualité.
• Scénario 3 — Produit outillé : 36 à 90 k€, avantage du coût et de la stabilité, contrainte d’adaptation au contexte.

Cette comparaison ne dit pas qu’un scénario est universellement supérieur aux autres. Elle dit qu’à coût équivalent les trois scénarios ne produisent pas la même valeur, et que le scénario optimal dépend du profil de l’organisation, de sa maturité cyber actuelle, et de sa stratégie.

Pour quel profil chaque scénario est-il optimal ?

Le RSSI interne est optimal pour les organisations de 200 salariés et plus, avec une activité régulée et complexe (santé, finance, défense, infrastructures critiques), qui ont la capacité d’absorber un coût fixe annuel élevé et qui ont besoin d’une présence permanente.

Le RSSI partagé en prestation est optimal pour les organisations entre 50 et 200 salariés, avec un contexte spécifique (groupe international, contraintes contractuelles fortes des donneurs d’ordre, projet de transformation cyber sur mesure), qui valorisent la relation personnalisée et qui acceptent la dépendance à un consultant identifié.

Le RSSI partagé en mode produit est optimal pour les organisations entre 50 et 200 salariés, avec un contexte standardisable (secteur industriel ou services classique, pas de complexité internationale, exigences réglementaires standard), qui priorisent la rationalité économique et la qualité reproductible.

Pour beaucoup d’ETI françaises, c’est en réalité une combinaison qui s’impose : un dispositif produit en socle pour absorber la majorité du périmètre conformité, complété ponctuellement par des missions de prestation pour les sujets non couverts ou les contextes très spécifiques.

En conclusion de la série

Cette série d’articles s’est attachée à montrer plusieurs choses. Que les référentiels qui s’imposent aux organisations françaises sont plus subtils que ne le laisse penser le discours dominant, que ce soit sur NIS2 et le ReCyF, sur le CRA et l’intended use, sur l’AI Act et la distinction fournisseur/déployeur, ou sur le Digital Omnibus. Qu’une lecture rigoureuse de ces textes ouvre des marges de proportionnalité que beaucoup ne mobilisent pas. Que les approches outillées peuvent répondre à une part significative des obligations à un coût largement inférieur aux approches classiques. Et que le marché du RSSI partagé en France connaît une mutation structurelle vers la logique produit, encore embryonnaire mais inévitable.

Pour les directions qui pilotent ces sujets en 2026, la question n’est pas de savoir si la conformité cyber va peser sur l’organisation : la réponse est oui. La question est de savoir comment construire un dispositif rationnel, proportionné, durable, qui permette à l’organisation de remplir ses obligations sans grever sa marge opérationnelle. Cette construction est possible. Elle suppose de se libérer de quelques évidences héritées du marché de la prestation, et de regarder honnêtement les alternatives qui émergent.

C’est, à mon sens, le sujet de gouvernance le plus structurant pour les ETI françaises sur les cinq prochaines années.

Découvrez nos formations et services.