Depuis NIS2, les offres de Responsable de la Sécurité Informatique (RSSI) externalisé se multiplient. ESN, cabinets de conseil, indépendants — tout le monde propose maintenant du RSSI à temps partagé. Comment distinguer une expertise réelle d'une offre commerciale habillée en compétence cyber ?
Critère 1 : L'expertise terrain prouvée — pas juste les certifications
Les certifications (CISSP, CISM, ISO 27001 Lead Implementer) sont nécessaires mais insuffisantes. Ce qui compte, c'est :
- Des missions similaires à la vôtre (secteur, taille, contraintes techniques)
- Des recommandations concrètes lors d'un premier échange — pas uniquement des questions
- Une infrastructure personnelle qui reflète ses propres préconisations (serveurs, sauvegardes, authentification)
Testez : posez une question technique spécifique à votre contexte lors du premier appel. Un expert répond avec précision et nuance. Un commercial répond avec un slide.
Critère 2 : La transparence tarifaire
Dans le conseil cyber, l'opacité tarifaire est un red flag. Un prestataire qui refuse d'afficher ses prix — même une fourchette — protège sa marge, pas vos intérêts.
Exigez : une fourchette de prix claire dès le premier échange, une proposition structurée avec les livrables associés, et une clause de sortie raisonnable (préavis 1 mois, pas 6 mois).
Critère 3 : L'outillage et la plateforme
Un RSSI externalisé sérieux travaille avec des outils — pas juste des tableurs Excel partagés. Questions à poser :
- Comment suivez-vous les risques et les plans d'action entre les comités ?
- Comment partagez-vous les livrables (politiques, rapports, preuves de conformité) ?
- Avez-vous une plateforme de suivi ou tout passe par email ?
Un prestataire sans plateforme structurée créera de la dépendance à sa personne. Si il part, vous repartez de zéro.
Critère 4 : La disponibilité et la réactivité
Le RSSI externalisé intervient en moyenne 2 à 4 jours par mois. Mais la cyber ne s'arrête pas à la fin du forfait mensuel. Clarifiez :
- Quel est le délai de réponse pour une question urgente hors forfait ?
- Comment est gérée une crise de sécurité (ransomware, fuite de données) ?
- Y a-t-il une astreinte ou un escalade possible ?
Critère 5 : La capacité à parler aux non-techniques
Un RSSI externalisé efficace n'est pas uniquement un technicien. Il doit pouvoir :
- Présenter les risques à la direction en langage dirigeant (impact business, pas technique)
- Rédiger des politiques compréhensibles par vos équipes, pas juste par lui
- Justifier les investissements sécurité en termes de retour sur risque, pas de conformité abstraite
Les red flags à éviter
- Premier rendez-vous de 2h avec 50 slides et aucune question sur votre contexte
- Tarif "à partir de" avec aucune fourchette haute
- Promesse de certification ISO 27001 en 3 mois
- Absence de références vérifiables dans votre secteur
- Contrat avec clause d'exclusivité ou d'engagement long sans jalons de sortie
Le bon RSSI externalisé est celui qui vous rend autonome progressivement — pas celui qui crée une dépendance perpétuelle à ses services.