Le marché du RSSI partagé pour les PME et ETI françaises connaît une croissance soutenue depuis cinq ans. La pression réglementaire (RGPD, NIS2, CRA, AI Act, DORA pour le secteur financier) a converti ce qui était une fonction réservée aux grandes entreprises en un besoin opérationnel pour la quasi-totalité des organisations dotées d’un système d’information un peu sérieux. Pourtant, à mesure que la demande croît, le modèle dominant de service (le RSSI partagé en prestation, vendu à la journée ou au forfait mensuel) montre des limites de plus en plus visibles.
Ces limites ne tiennent pas à la qualité des consultants. Elles tiennent à la structure même du modèle économique. Et elles expliquent pourquoi le marché français du RSSI partagé devrait, à mon sens, basculer vers une logique produit dans les cinq prochaines années, sauf à laisser le terrain aux acteurs anglo-saxons qui ont déjà fait ce basculement sur leur propre marché.
Trois limites structurelles du modèle prestation
Première limite : la dépendance à la personne physique du consultant. Quand un cabinet vend du RSSI partagé en prestation, il vend en réalité le temps d’un consultant identifié. Si ce consultant tombe malade, change d’employeur, ou se trouve mobilisé sur une mission concurrente, le client perd l’essentiel de la valeur acquise. La transition vers un autre consultant impose plusieurs semaines voire plusieurs mois de remontée en compétence, pendant lesquels la fonction RSSI est partiellement défaillante. Cette fragilité est rarement explicitée dans les propositions commerciales, mais elle est structurelle.
Deuxième limite : la non-reproductibilité des livrables. Chaque consultant produit ses analyses, ses rapports, ses recommandations selon sa propre méthodologie, son propre style, son propre format. Pour le client, cela signifie qu’il est très difficile de comparer la valeur produite d’un mois sur l’autre, ou d’un consultant à l’autre. Pour l’auditeur ou l’assureur cyber qui examine le dossier, cela signifie qu’il faut à chaque revue refaire le travail d’interprétation. Cette non-standardisation est invisible tant que tout va bien et devient critique en situation de contrôle ou d’incident.
Troisième limite : la non-scalabilité. Un consultant senior peut piloter trois à cinq missions RSSI partagé en parallèle, pas plus. Si le marché doit absorber plusieurs milliers de PME et ETI nouvellement assujetties à NIS2, le calcul donne un besoin de plusieurs centaines de consultants seniors disponibles. Or le marché du recrutement cyber est tendu, les profils seniors sont rares, et le délai de formation d’un consultant junior à la qualité d’un senior est de plusieurs années. La logique prestation va structurellement buter sur la disponibilité des ressources, avec pour conséquences attendues l’inflation des tarifs et la dégradation de la qualité moyenne du marché.
Ce que change une logique produit
Une logique produit applique au RSSI partagé les mêmes principes industriels qu’à un éditeur SaaS classique. L’intake client est standardisé via un formulaire structuré, alimenté par le client lui-même avec un support minimal de l’éditeur. Le pipeline de production des livrables est automatisé : les sources externes (CTI sectorielle, base de vulnérabilités KEV, base de fuites, registre d’incidents publics) sont consommées par un moteur de traitement, qui produit les rapports mensuels structurés selon un format reproductible. La valeur du consultant senior se concentre sur la conception du dispositif, la validation des livrables avant diffusion, et l’arbitrage avec le client sur les décisions stratégiques, pas sur la production opérationnelle des rapports.
Ce modèle est radicalement différent du modèle prestation. Il déplace la valeur de l’humain individuel vers le dispositif outillé. Le consultant senior intervient comme architecte et superviseur de produit, pas comme opérateur. Cela permet plusieurs choses : un coût client divisé par trois à cinq par rapport à une prestation équivalente, une qualité de livrable reproductible et auditable, une scalabilité réelle vers plusieurs centaines voire milliers de clients par opérateur senior.
Pourquoi le marché français résiste à ce basculement
Trois facteurs expliquent l’inertie du marché français en faveur du modèle prestation. Premier facteur : la culture du conseil en France valorise le contact humain, l’expertise individuelle, la relation personnalisée. Vendre un produit, c’est culturellement perçu comme vendre quelque chose de moins valorisant qu’un service expert sur mesure. Cette perception est légitime mais elle n’est pas pertinente pour des PME qui n’ont ni le budget ni le besoin d’un consultant sur mesure.
Deuxième facteur : les cabinets installés sur le marché prestation ont peu d’intérêt économique à le faire basculer vers du produit. Leur modèle de rentabilité repose sur la marge de prestation, pas sur la vente de licences. Basculer vers un produit suppose d’investir lourdement dans le développement du dispositif sans certitude de retour, et de cannibaliser sa propre activité prestation existante. Peu de cabinets ont la trésorerie et la culture pour conduire cette mue.
Troisième facteur : l’écosystème des éditeurs SaaS spécialisés (Vanta, Drata, Secureframe, dont des équivalents français commencent à émerger) traite essentiellement les sujets de certification (ISO 27001, SOC 2) et non le pilotage RSSI complet. La couche de méthodologie, de quantification du risque, de pilotage stratégique reste à industrialiser. C’est précisément l’espace que pourrait occuper un acteur français qui combinerait l’expertise méthodologique senior et la rigueur industrielle d’un éditeur.
Les signaux qui annoncent le basculement
Plusieurs signaux indiquent que ce basculement est en marche, même s’il est encore embryonnaire en France. La croissance des solutions de GRC outillées (Egerie, Tenacy, Squad) qui automatisent une partie du pilotage cyber. L’émergence de méthodologies industrialisées d’analyse de risque, comme l’industrialisation de la méthode EBIOS Risk Manager. Le développement de la Cyber Threat Intelligence sectorielle automatisée. La diffusion progressive du modèle Open FAIR pour la quantification financière du risque cyber.
Aucun de ces éléments pris isolément ne constitue un produit RSSI partagé complet. Mais leur combinaison, articulée par une méthodologie cohérente, peut produire un dispositif qui couvre l’essentiel de ce qu’un RSSI partagé en prestation délivre — à un coût et à une qualité tout à fait différents.
Ce que ça implique pour les directions qui commandent ces services
Si vous êtes dirigeant ou directeur financier d’une PME ou d’une ETI qui réfléchit à un dispositif de RSSI partagé, trois questions méritent d’être posées à vos prestataires potentiels.
Première question : le dispositif que vous me proposez est-il personne-dépendant, ou s’appuie-t-il sur un produit industrialisé que peut maintenir et opérer une équipe ? Si le dispositif repose entièrement sur la disponibilité d’un consultant identifié, vous achetez de la fragilité contractuelle.
Deuxième question : les livrables que vous me délivrerez sont-ils standardisés et reproductibles, ou seront-ils dépendants du style et de la méthodologie du consultant en mission ? Si la réponse est ambiguë, vous achetez de la variabilité non maîtrisée.
Troisième question : combien le même dispositif coûterait-il à votre cabinet pour produire la même valeur si vous serviez cent clients simultanément avec une logique industrielle, plutôt que dix avec une logique de prestation ? Cette question peut sembler indiscrète, mais elle révèle si votre prestataire a réfléchi à la scalabilité de son modèle, ou s’il vend du temps-homme indexé sur la rareté de ses ressources.
En conclusion
Le marché français du RSSI partagé en prestation a vingt ans devant lui, peut-être trente. Mais sa croissance va probablement plafonner dans les trois à cinq prochaines années, faute de ressources humaines suffisantes pour absorber la demande. Le basculement vers une logique produit n’est pas une question de mode commerciale, c’est une nécessité économique pour servir le marché des PME et ETI françaises. Les acteurs qui prendront cette transition au sérieux dès maintenant auront un avantage de positionnement significatif quand la pression atteindra son maximum, probablement au tournant 2027-2028.
Cela ne signifie pas la fin du métier de RSSI senior. Au contraire : la valeur du senior se déplace vers l’architecture du dispositif, la validation des livrables, l’arbitrage stratégique avec les directions clientes. Mais l’opérationnel quotidien (la production des rapports, la veille technique, la collecte des données client ) peut et doit être industrialisé. C’est cette mue qu’il faut accompagner.
Découvrez notre catalogue et nos abonnements.
Commentaires récents