Un mardi matin, un dirigeant reçoit un courriel de son plus gros donneur d’ordre. En pièce jointe, un questionnaire de sécurité. Cent quatre-vingts questions. La troisième s’appelle « gouvernance » et demande, sans détour, qui pilote la sécurité des systèmes d’information dans l’entreprise. La case reste vide. Le contrat, lui, ne restera pas vide longtemps. Il partira chez un concurrent qui, lui, avait su répondre.
Voilà comment la cybersécurité entre réellement dans une PME en 2026. Pas par un rançongiciel spectaculaire, pas par une prise de conscience éclairée lors d’un petit-déjeuner thématique, mais par un tableur envoyé par un client. La menace commerciale arrive avant la menace technique (même si la menace technique est à prendre très au sérieux bien entendu). Et le réflexe qui suit est presque toujours le même : publier une offre de RSSI.
C’est précisément ce qu’il ne faut pas faire en premier. Voici pourquoi, et ce qui fonctionne à la place.
L’anti-modèle : le mouton à cinq pattes qu’on appelle « RSSI »
Ouvrez n’importe quelle offre d’emploi de RSSI publiée par une entreprise de moins de 100 salariés. Vous y lirez, dans le désordre : définir la stratégie de sécurité, piloter la conformité réglementaire, durcir l’infrastructure, sensibiliser les collaborateurs, gérer les prestataires, préparer une certification, répondre aux questionnaires clients et, accessoirement, « être force de proposition ». Le tout sur un seul contrat, souvent avec une rémunération calibrée sur un poste de cadre confirmé et une équipe composée d’une chaise vide.
Ce profil n’existe pas. Ou plutôt, il existe, mais en très petit nombre, il est déjà en poste, et il ne rejoindra pas une structure où il serait à la fois le stratège, l’exécutant et le service après-vente. Ceux qui acceptent ce type de mandat sont rarement ceux que vous espériez.
Le problème n’est pas la rareté du candidat. Il est dans la construction même du besoin. Un RSSI, dans son acception classique, pilote et arbitre. Il ne pose pas les briques. Une PME qui n’a rien construit n’a pas d’abord besoin d’un chef d’orchestre, elle a besoin de musiciens, et d’une partition. Recruter le chef en premier, c’est obtenir 18 mois d’analyses de risques très bien documentées, et zéro sauvegarde testée.
En tant que cabinet de recrutement cybersécurité, nous avons détaillé ailleurs les arbitrages qui se présentent au moment de la toute première embauche, et pourquoi aucune des options n’est pleinement satisfaisante : première recrue cybersécurité, trois options imparfaites et une décision à prendre.
Ce qu’est vraiment un socle cyber, et ce qu’il n’est pas
Un socle de cybersécurité tient en trois blocs qui ne se remplacent pas mutuellement.
La gouvernance.
Qui décide, sur quels critères, avec quel budget, et selon quelle cadence. Cela recouvre la politique de sécurité, l’analyse de risques, la classification des données, la gestion des tiers, le plan de continuité. C’est le bloc que les dirigeants sous-estiment, parce qu’il ne produit rien de visible avant plusieurs mois.
Les briques techniques.
Gestion des identités et des accès, journalisation, sauvegardes réellement restaurables, segmentation du réseau, gestion des correctifs, sécurisation des postes et des environnements de développement. C’est le bloc que les dirigeants surestiment, parce qu’il se vend en licences et se mesure en factures.
La conformité.
Réponse aux questionnaires clients, préparation d’une certification, documentation des mesures, traçabilité des décisions. C’est le bloc que les dirigeants confondent avec les deux autres, ce qui produit des entreprises parfaitement conformes et parfaitement vulnérables.
L’anti-schéma le plus coûteux consiste à les traiter en série : d’abord un audit, ensuite un plan, ensuite peut-être des travaux, ensuite la conformité. Au bout de la chaîne, on obtient un rapport de 60 pages, un budget épuisé et une surface d’attaque inchangée. La conformité n’est pas la preuve de la sécurité. Elle en est, au mieux, la trace écrite.
Le cas : 40 personnes, un marché exigeant, aucune ressource dédiée
Passons au concret.
L’entreprise dont il est question ici est une PME française d’une quarantaine de salariés, positionnée sur les technologies médicales. Le cas est anonymisé, les chiffres du dispositif sont réels.
La situation de départ.
Aucune personne dédiée à la sécurité. Une informatique interne réduite, orientée construction de solutions et fonctionnalités, production et support. Des remontées de risques concrètes, notamment sur les interfaces avec les fournisseurs et les partenaires, sans dispositif de gestion des tiers pour les traiter. Et surtout, deux pressions simultanées : la crédibilité commerciale auprès de donneurs d’ordre de plus en plus exigeants, et une gouvernance cyber inexistante alors même que le secteur la présuppose.
Ce point mérite d’être souligné, car il est le cœur du sujet. Dans les technologies médicales, la sécurité n’est pas un supplément d’âme. Le règlement européen relatif aux dispositifs médicaux intègre des exigences de sécurité applicables aux dispositifs comportant du logiciel, et l’Agence nationale de sécurité du médicament et des produits de santé a publié des recommandations dédiées à la cybersécurité de ces dispositifs. Un acteur de ce marché qui n’a pas de gouvernance cyber n’a pas seulement un risque opérationnel. Il a un problème de recevabilité.
Ce que le marché confirme.
Ce cas n’a rien d’exotique. Selon le deuxième baromètre national de la maturité cyber des TPE et PME publié par Cybermalveillance.gouv.fr, réalisé auprès de 588 entreprises de moins de 250 salariés en 2025, plus des trois quarts des répondants consacrent moins de 2 000 euros par an à leur cybersécurité, 80 % reconnaissent ne pas être préparés à une attaque, et environ 30 % ne considèrent toujours pas le sujet comme prioritaire, en hausse de 11 points sur un an. Autrement dit, l’entreprise que nous décrivons était dans la moyenne. C’est bien là le problème.
Le dispositif : 2,5 équivalents temps plein, 4 rôles, 1 séquence
Plutôt qu’un poste, un dispositif. Plutôt qu’un profil unique, une composition. Voici la répartition retenue.
1 équivalent temps plein sur la gouvernance et la stratégie, glissant progressivement vers la mise en conformité. C’est la colonne vertébrale. Cette ressource construit la politique, cadre les risques, arbitre les priorités, puis capitalise ce travail dans la documentation de conformité. Le glissement est délibéré : la conformité n’est pas confiée à quelqu’un d’autre après coup, elle est produite par celui qui a pris les décisions. On évite ainsi le grand classique de la documentation qui décrit une entreprise imaginaire.
1 équivalent temps plein sur le développement des briques opérationnelles. Les mains dans le cambouis. Sauvegardes, identités, durcissement, journalisation, cloisonnement. C’est la ressource qui produit de la réduction de risque mesurable pendant que la gouvernance se met en place. Sans elle, la gouvernance tourne à vide.
0,3 équivalent temps plein d’architecte cybersécurité. Un temps partiel assumé, pour les décisions structurantes, celles qu’on ne rattrape pas : conception des zones de confiance, choix d’architecture, revue des interfaces avec les tiers. Trois dixièmes d’un profil très expérimenté valent mieux qu’un profil intermédiaire à temps plein sur ce périmètre précis. C’est une logique que nous avons développée dans notre article sur le RSSI à temps partagé et ce que deux jours par mois permettent réellement de faire.
0,2 équivalent temps plein d’audit orienté ISO 27001. Le regard extérieur, périodique, qui vérifie que ce qui est écrit correspond à ce qui est fait. Un cinquième de temps plein suffit à maintenir la trajectoire. Il en faudrait dix fois plus pour la reconstruire une fois qu’elle a dévié.
Total : 2,5 équivalents temps plein. Pour quarante salariés. Le chiffre surprend au premier abord. Il devient nettement plus lisible quand on le rapporte aux données européennes : le rapport de l’Agence de l’Union européenne pour la cybersécurité consacré aux investissements liés à la directive sur la sécurité des réseaux et des systèmes d’information, publié en décembre 2025 sur la base de 1 080 organisations, situe le ratio moyen des effectifs de sécurité à environ 10,6 % des effectifs informatiques. Sur une base d’informatique interne réduite, une PME qui veut rattraper un retard structurel doit temporairement dépasser ce ratio. Le rattrapage coûte toujours plus cher que l’entretien.
Le véritable arbitrage n’est pas budgétaire, il est digestif
Voici l’enseignement le plus contre-intuitif de ce cas, et celui qui se voit le moins dans les publications spécialisées.
La priorisation des travaux et des budgets n’a pas été calée sur la criticité théorique des risques. Elle a été calée sur la capacité de l’organisation à absorber une gouvernance qu’elle n’avait jamais connue.
Une PME de 40 personnes fonctionne sur des circuits courts, des habitudes tacites et une tolérance élevée à l’informel. Introduire une politique de gestion des accès, un processus de validation des tiers et une revue périodique des droits, c’est modifier la manière dont les gens travaillent. Si le rythme dépasse la capacité d’absorption, deux choses se produisent, et toutes deux fatales : les procédures sont contournées, et la fonction sécurité devient le service qui empêche de travailler.
Nous avons donc étalé. Certains chantiers techniquement prioritaires ont été décalés, non par insouciance, mais parce que les mettre en œuvre trop tôt aurait produit une conformité de façade et un rejet durable. À l’inverse, des chantiers modestes ont été accélérés parce qu’ils créaient de l’adhésion et rendaient la suite possible.
Dites cela dans un comité de direction et vous passerez pour un mauvais élève de la gestion des risques. Faites l’inverse et vous obtiendrez, 18 mois plus tard, une politique de sécurité que personne n’applique. Cet arbitrage relève de notre expérience de terrain, pas d’une étude publiée. Nous le présentons comme tel.
Conformité et technique en parallèle, et non l’une après l’autre
Le second parti pris du dispositif a été de mener de front les briques techniques et les briques de conformité. Ce n’est pas la pratique la plus répandue, et cela mérite explication.
L’argument habituel en faveur de la séquence est simple : on ne documente pas ce qui n’existe pas. Il est juste, mais il oublie que la conformité, dans une PME, n’est pas un exercice administratif. C’est le vecteur commercial. Ce sont les réponses aux questionnaires clients, les preuves fournies aux donneurs d’ordre, la trajectoire de certification qui rassure un acheteur. Attendre que la technique soit mûre pour commencer à documenter, c’est renoncer pendant 12 mois au seul bénéfice immédiatement monnayable de l’investissement.
Mener les deux en parallèle produit un effet vertueux souvent sous-estimé : la conformité révèle les trous techniques bien plus efficacement qu’un audit, parce qu’elle oblige à répondre par écrit à un tiers qui a le pouvoir de dire non.
Les données européennes vont dans ce sens. Le même rapport de l’Agence de l’Union européenne pour la cybersécurité indique que 70 % des organisations interrogées citent la conformité réglementaire comme premier moteur de leurs investissements de sécurité, et que 47 % redoutent une compromission par un tiers alors même que 90 % déclarent disposer de pratiques de gestion du risque fournisseur. L’écart entre les deux chiffres est éloquent : la gestion des tiers est massivement déclarée et faiblement crue. Voilà exactement le terrain sur lequel une PME peut se différencier, à condition de ne pas se contenter du déclaratif.
Le prisme du recrutement : pourquoi les plateformes d’indépendants n’ont pas suffi
Avant de nous solliciter en tant que cabinet de recrutement cybersécurité, l’entreprise avait tenté la voie qui paraît la plus rapide et la moins engageante : chercher les compétences sur des plateformes de mise en relation d’indépendants. La démarche est légitime, elle correspond exactement à un besoin fractionné, et… elle n’a pas fonctionné.
Non par manque de candidats. Par manque de pertinence contextuelle.
Une plateforme optimise l’appariement sur des mots. Compétence déclarée, technologie maîtrisée, tarif journalier, disponibilité. Elle est très efficace pour une mission délimitée dans une organisation qui sait déjà ce qu’elle veut. Elle est structurellement inadaptée quand le besoin réel est de construire une fonction qui n’existe pas, dans une entreprise de 40 personnes, sur un marché réglementé, avec des interlocuteurs qui n’ont jamais travaillé avec un professionnel de la sécurité.
Ce qui départage les candidats dans ce contexte ne figure sur aucun profil : la capacité à faire de la pédagogie sans condescendance, à accepter un périmètre partiel sans le vivre comme une rétrogradation, à composer avec des moyens contraints, à travailler aux côtés d’une direction qui découvre le sujet. Ce sont des critères de contexte, pas de compétence. Ils ne se lisent pas, ils s’évaluent.
C’est précisément le métier d’un cabinet de recrutement cybersécurité : qualifier un contexte avant de qualifier un profil, et savoir quels professionnels s’épanouissent dans quel type d’environnement. Le résultat, dans ce cas, s’est mesuré à deux endroits. La rapidité de constitution du dispositif, d’abord. La qualité de l’intégration ensuite, ce qui compte davantage : des profils qui ont tenu, qui ont été acceptés en interne, et qui n’ont pas passé leur premier trimestre à expliquer qu’ailleurs, c’était mieux équipé.
Sur la question, légitime, de ce que coûte cette approche par rapport à une recherche en direct, nous avons publié un chiffrage détaillé : combien coûte un cabinet de recrutement cybersécurité.
Ce que cela change réellement : la sécurité comme condition d’accès au marché
Le retour sur investissement d’un socle cyber ne se mesure pas d’abord en incidents évités, ce qui est méthodologiquement invérifiable et commercialement inaudible. Il se mesure en contrats accessibles.
Le contexte de marché le confirme. En France, Cybermalveillance.gouv.fr a accompagné plus de 500 000 demandes d’assistance en 2025, en hausse d’environ 20 % sur un an, le piratage de compte étant devenu la première menace signalée par les professionnels et les demandes liées aux violations de données ayant plus que doublé. L’Agence nationale de la sécurité des systèmes d’information a pour sa part traité 3 586 événements de sécurité en 2025, dont 1 366 incidents, le secteur de la santé représentant environ 10 % des incidents portés à sa connaissance.
À cela s’ajoute une bascule réglementaire en cours. La directive européenne sur la sécurité des réseaux et des systèmes d’information dans sa deuxième version élargit considérablement le périmètre des entités soumises à des obligations de sécurité. En France, sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025, dont l’examen parlementaire n’était pas achevé à l’été 2026. L’agence a estimé publiquement le nombre d’entités concernées dans une fourchette de l’ordre de 15000 à 18000, contre environ 500 sous le régime précédent.
Deux précisions sur ce point. Premièrement, le calendrier définitif et les seuils exacts ne seront stabilisés qu’à la publication de la loi et de ses textes d’application, et toute date avancée aujourd’hui relève de la projection. Deuxièmement, une PME de 40 personnes n’est pas nécessairement assujettie directement. Elle l’est presque toujours indirectement, par ricochet contractuel, parce que ses clients assujettis lui répercuteront leurs obligations. C’est la chaîne d’approvisionnement qui fait le travail de la réglementation, souvent plus vite qu’elle.
L’avis de Rehackt
En tant que cabinet de recrutement cybersécurité spécialisé, nous voyons passer beaucoup d’offres de RSSI qui sont, en réalité, des appels au secours déguisés en fiche de poste. Nous voyons aussi beaucoup d’entreprises convaincues que le sujet se règlera par un outil, une prestation ponctuelle ou un intitulé sur un organigramme.
Notre position tient en 3 points :
Le premier investissement cyber d’une PME n’est pas un recrutement, c’est une décomposition. Décomposer le besoin en rôles, en quotités et en séquence produit un dispositif finançable et tenable, là où le poste unique produit une offre que personne de sérieux ne prendra.
La conformité n’est pas l’ennemie de la sécurité, elle en est le carburant commercial, à condition d’être menée en même temps que les travaux techniques et non à leur place.
Enfin, le facteur limitant n’est presque jamais le budget. C’est la capacité de l’organisation à changer ses habitudes. Une entreprise qui l’accepte avance. Une entreprise qui l’ignore achète du matériel et se rassure.
Ce qui est établi, ce qui relève de notre lecture
Par souci de clarté, voici la ligne de partage.
Faits vérifiables et sourcés : les données de Cybermalveillance.gouv.fr pour 2025, celles du baromètre de maturité cyber des TPE et PME, le panorama de la cybermenace de l’Agence nationale de la sécurité des systèmes d’information pour 2025, le rapport de l’Agence de l’Union européenne pour la cybersécurité sur les investissements de décembre 2025, l’existence d’exigences de sécurité pour les dispositifs médicaux comportant du logiciel, et l’état d’avancement de la transposition française à l’été 2026.
Éléments de notre expérience, non généralisables : la composition à 2,5 équivalents temps plein, la priorisation par capacité d’absorption plutôt que par criticité, l’écart de résultat entre plateformes d’indépendants et recherche accompagnée.
Zones incertaines, assumées comme telles : le calendrier définitif de la transposition, les seuils applicables, et l’ampleur exacte de la répercussion contractuelle des obligations vers les fournisseurs de rang inférieur.
Trois questions que l’on nous pose systématiquement
Faut-il un RSSI dans une PME de 40 personnes ? Pas en première intention. Il faut une fonction de gouvernance identifiée, qui peut être portée à temps partiel ou partagé, complétée par une capacité de mise en œuvre technique. Le titre viendra ensuite, quand il y aura quelque chose à diriger.
Combien coûte un socle cyber pour une PME ? Le coût dépend de la composition retenue et de la part de temps partagé. Le raisonnement pertinent n’est pas le coût d’un poste, mais le coût d’un dispositif rapporté au chiffre d’affaires que la crédibilité de sécurité conditionne.
Par où commencer si aucun élément n’existe ? Par le cadrage. Identifier ce que vos clients vous demandent déjà, ce que votre secteur vous imposera, et ce que votre organisation peut absorber en 12 mois. Les trois réponses dessinent le dispositif.
Pour aller plus loin
Si vous êtes dirigeant, directeur financier ou directeur des ressources humaines d’une entreprise qui découvre que sa sécurité est devenue un sujet commercial, la première étape n’est pas de publier une offre. C’est de cadrer.
Rehackt accompagne les entreprises qui n’ont pas encore de fonction cybersécurité comme celles qui doivent la faire grandir : décomposition du besoin, définition du dispositif, quotités, séquence, puis recherche et intégration des profils correspondants.
Un échange de cadrage d’une heure peut suffir à transformer une offre de RSSI impossible à pourvoir en un dispositif réaliste. Et cela vous évitera peut-être 6 mois (et souvent plus) de recherche infructueuse.
Un recrutement cyber à confier ? On en parle directement avec vous.
