Un mardi matin de novembre, le directeur général d’une ETI industrielle implantée en Auvergne reçoit un appel de son courtier en assurances. Le ton est cordial mais le message ne souffre d’aucune ambiguïté : le renouvellement de la cyber-assurance, prévu pour janvier, ne sera pas reconduit sans la nomination documentée d’un référent sécurité interne. Délai de mise en conformité : 6 mois.
220 salariés, un système d’information correctement tenu par un DSI qui jongle déjà avec 15 projets, aucune culture cyber structurée. Le dirigeant raccroche, prend un café, et réalise qu’il vient de passer du registre du “on devrait y penser” à celui du “on a 6 mois pour s’y mettre”. Le problème ? Il n’a aucune idée du type de profil à recruter, ni du budget que cela suppose, ni de la manière de l’évaluer.
Cette scène, anonymisée mais collée à la réalité d’un dossier que nous avons accompagné, se rejoue presque quotidiennement dans des comités de direction français. Pas toujours déclenchée par un courtier. Parfois par un audit client. Parfois par un appel d’offres remporté qui exige soudain une politique de sécurité formalisée. Parfois, plus prosaïquement, par une attaque évitée de justesse et un conseil d’administration qui exige des réponses.
Quel que soit le déclencheur, la question qui se pose est toujours la même, et elle est plus retorse qu’il n’y paraît : quel profil cybersécurité recruter en premier?
Pourquoi cette question explose maintenant
Trois pressions convergent sur les directions générales d’ETI françaises, et leur conjonction explique pourquoi le sujet est passé du statut de projet repoussable à celui de priorité 2026.
La pression réglementaire d’abord.
La directive NIS 2, dont la transposition française avance par le projet de loi Résilience adopté au Sénat en mars 2025, élargit considérablement le périmètre des entreprises soumises à des obligations de cybersécurité. Plus de quinze mille entités françaises seraient concernées selon les estimations de l’ANSSI, contre quelques centaines auparavant. La directive impose, parmi d’autres exigences, la désignation d’un responsable de la sécurité, la mise en place d’une politique de gestion des risques, et des obligations de notification d’incident dans des délais serrés (24 heures, 72 heures, 30 jours). Le baromètre CESIN 2025 confirme l’ampleur du choc : 74 % des entreprises interrogées se déclarent impactées par NIS 2.
La pression assurantielle ensuite.
Les assureurs cyber, échaudés par des sinistres d’une violence inédite ces dernières années, ont resserré drastiquement leurs grilles d’évaluation. Plus aucune souscription sans audit de maturité. Plus aucun renouvellement sans politique de sécurité documentée et personne identifiée pour la porter. Le baromètre CESIN 2025 indique que 67 % des entreprises disposent désormais d’une cyberassurance, dont 23 % l’ont déjà activée à la suite d’un incident. Le marché n’est plus en phase d’évangélisation : il est en phase de filtrage.
La pression contractuelle enfin.
Les grands donneurs d’ordre, eux-mêmes soumis à NIS 2 ou à des exigences clients équivalentes, transfèrent mécaniquement leurs obligations vers leurs fournisseurs. Une PME qui sert une grande industrie, une banque, un acteur de la santé ou un éditeur logiciel se voit aujourd’hui réclamer des preuves de maturité cyber dans le cadre de référencements ou de renouvellements de contrats. L’effet domino est en marche, et il ne demande qu’une chose : des questionnaires de sécurité auxquels personne en interne ne sait répondre.
Pendant que ces trois pressions montent, le paysage des menaces reste préoccupant. Le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, recense 1 366 incidents traités et 128 compromissions par rançongiciel sur l’année, dont 48 % visent des PME, TPE et ETI. Les exfiltrations de données, elles, progressent : 196 incidents recensés contre 130 l’année précédente. Le tableau est connu, mais il a une conséquence nouvelle : la question “faut-il un profil cyber chez nous ?” a basculé du registre rhétorique au registre opérationnel.
Le piège des 3 options imparfaites
Une fois la décision de recruter prise, le dirigeant se retrouve face à un dilemme dont peu de cabinets parlent réellement. Il existe schématiquement 3 types de profils, et chacun présente une faiblesse structurelle.
1er profil : l’opérationnel pur.
Ingénieur sécurité, analyste, parfois ancien administrateur système monté en gamme. Il sait faire. Il configure, il déploie, il sait lire un rapport de scan de vulnérabilités sans appeler au secours. Mais convoquez-le en comité de direction pour arbitrer un budget ou présenter une cartographie des risques au CODIR, et la mécanique s’enraye. Le vocabulaire change, les enjeux deviennent stratégiques, et le profil opérationnel se retrouve à expliquer du protocole alors qu’on lui demande d’expliquer du risque business.
2e profil : le gouvernant sans terrain.
Consultant venu du conseil, profil GRC (gouvernance, risques, conformité), parfois ancien auditeur. Il parle parfaitement le langage du COMEX, sait restituer une exposition aux risques en quatre tableaux et formuler une politique de sécurité qui tient la route. Mais demandez-lui de comprendre pourquoi le projet de segmentation réseau patine ou pourquoi l’équipe d’exploitation traîne à patcher le serveur de paie, et le diagnostic devient flou. Sur le terrain, rien n’avance. Les équipes techniques, qui ont besoin d’un interlocuteur capable de challenger leurs choix, finissent par contourner le RSSI plutôt que de l’embarquer.
3e profil : l’hybride.
Le mouton à 5 pattes. Celui qui maîtrise la technique, comprend les enjeux business, parle au COMEX le matin et au SOC l’après-midi. Il existe. Le baromètre CESIN 2025 confirme d’ailleurs cette mutation : les RSSI deviennent de plus en plus transversaux et stratégiques, sortant du rôle purement technique d’il y a 10 ans. Mais ce profil ne se trouve pratiquement pas en dessous d’une dizaine d’années d’expérience. Et quand il existe, il se négocie cher, très cher, et choisit ses missions.
Notre conviction de cabinet de recrutement cybersécurité spécialisé : la chasse à la licorne hybride sous 8 ans d’expérience est une perte de temps qui coûte plus cher que de structurer autrement. Mieux vaut accepter qu’un 1er recrutement est nécessairement un compromis, et le calibrer en fonction de votre point de départ et d’être transparent vis-à-vis du candidat ou de la candidate.
C’est tout l’objet des 3 scénarios qui suivent.
Scénario 1 : vous partez de zéro
Vous êtes une PME ou ETI de 80 à 300 salariés, sans DSI ou avec un DSI dont la cybersécurité n’est pas le cœur de mission. Vous n’avez ni cartographie des risques, ni politique formalisée, ni quiconque dont la fiche de poste mentionne explicitement la sécurité informatique. Le déclencheur s’est imposé de l’extérieur : assurance, client, régulation.
Le piège classique consiste à recruter un profil technique senior en espérant qu’il “fasse tout”. Comme vous pouvez vous en douter : il ne fera pas tout. Soit il s’enfermera dans la technique parce que c’est son terrain de confort, et la gouvernance restera orpheline. Soit il s’épuisera à courir les COMEX, les audits assurance et la configuration du parefeu en parallèle, et finira par démissionner au bout de 14 mois ou bien vous trouverez que le résultat et insuffisant.
Ce que nous recommandons en tant que cabinet de recrutement cybersécurité : un profil opérationnel solide (5 à 8 ans d’expérience, fourchette salariale entre 55 000 et 75 000 € brut annuel selon localisation, indications convergentes entre Robert Half 2025 et grilles sectorielles), couplé à un accompagnement de gouvernance externalisé sur les 12 à 18 premiers mois. Concrètement : votre première recrue construit le socle technique pendant qu’un RSSI à temps partagé ou un consultant senior structure la gouvernance, anime le COMEX et porte le dialogue avec les régulateurs.
Cette configuration en duo coûte entre 95 000 et 130 000 € par an tout compris, ce qui peut sembler lourd mais reste très inférieur au coût d’un RSSI hybride senior (lequel se situe entre 110 000 et 160 000 € brut hors externalisation complémentaire). Surtout, elle a un avantage décisif : elle permet à votre recrue interne de monter en compétences sur la dimension gouvernance, accompagnée par un senior, plutôt que d’apprendre seule sous la pression.
Au bout de 2 à 3 ans, vous internalisez ou maintenez l’hybridation selon votre trajectoire. C’est aussi la logique que nous détaillons dans notre analyse combien coûte un cabinet de recrutement cybersécurité, où le calcul ne se limite jamais au seul coût d’acquisition du profil.
Scénario 2 : vous avez déjà un DSI
Vous êtes une ETI de 300 à 1 500 salariés, avec une DSI structurée, des projets de transformation en cours, et un système d’information dont la complexité justifie une expertise dédiée. La question n’est plus “faut-il recruter ?” mais “où rattacher la fonction et avec quel niveau de séniorité ?” lorsque vous lancez le recrutement de votre première recrue cybersécurité.
C’est ici que se joue une question structurante, souvent sous-estimée : le RSSI doit-il être rattaché au DSI, ou directement à la direction générale ?
Les deux écoles existent et défendent leurs arguments. Le rattachement au DSI fluidifie les arbitrages techniques, raccourcit les boucles de décision, évite les guerres de chapelle. Le rattachement à la DG garantit l’indépendance du RSSI, lui permet d’arbitrer face au DSI sans conflit hiérarchique, et donne à la fonction sécurité le poids stratégique qu’exigent les obligations de NIS 2 (qui impliquent désormais la responsabilité directe des dirigeants).
Notre lecture de cabinet de recrutement cybersécurité: dans une organisation où la DSI porte également l’exploitation et les projets, le double rattachement au DSI installe mécaniquement un conflit d’intérêts. Le RSSI doit pouvoir dire non, y compris à des projets prioritaires pour le DSI, et son indépendance hiérarchique conditionne sa capacité à le faire. Le rattachement direct à la DG ou à un secrétariat général n’est pas un caprice protocolaire : c’est une condition d’efficacité de la fonction.
Le profil cible dans ce scénario relève davantage du RSSI confirmé que de l’opérationnel : 8 à 12 ans d’expérience, fourchette salariale entre 85 000 et 120 000 € brut annuel selon localisation et secteur. Si vous opérez dans un secteur régulé (santé, finance, énergie, défense), il faut ajouter une prime de complexité qui peut porter la rémunération globale au-delà de 130 000 €.
Nous avons consacré un article entier à ce sujet, recruter un RSSI, parce qu’il mérite plus que les 3 paragraphes que nous lui réservons ici.
Scénario 3 : vous êtes en croissance rapide
Vous êtes une entreprise en hyper-croissance, une structure technologique en passe de changer de dimension, ou une ETI qui multiplie les acquisitions. Votre effectif double tous les 18 mois, vos systèmes d’information se déploient à vitesse industrielle, vos contraintes contractuelles (clients grands comptes, levées de fonds, certifications) imposent un niveau de maturité que vos processus internes peinent à suivre.
Ici, recruter un opérationnel pur, c’est embaucher un pompier dans une maison qui prend feu chaque semaine. Recruter un gouvernant pur, c’est financer un philosophe pendant que le quotidien brûle. Vous avez besoin d’un profil capable de structurer en marchant, donc d’un RSSI senior orienté scalabilité.
Ce que nous cherchons pour vous dans ce cas : un profil ayant déjà accompagné une croissance comparable, capable de bâtir un référentiel SSI (politique de sécurité des systèmes d’information) qui tienne le passage de 200 à 1 000 collaborateurs sans tout reconstruire, et qui sait recruter et manager une équipe sécurité dans les douze mois qui suivent son arrivée. Ce profil est rare. Il se négocie entre 110 000 et 160 000 € brut annuel, hors équity ou variables, et il choisit son employeur autant que vous le choisissez.
Le délai de recrutement réaliste sur ce type de profil dépasse fréquemment 6 mois, parfois 9, et l’intégration prend encore 3 mois supplémentaires avant que la personne soit pleinement opérationnelle. Ces délais ne sont pas négociables, ils sont la conséquence directe de la pénurie de talents : selon les estimations gouvernementales reprises par l’observatoire des métiers ANSSI 2025, 15 000 postes en cybersécurité restaient non pourvus en France, et l’OPIIEC projette 25 000 postes à pourvoir d’ici 2028.
Anticiper de 9 à 12 mois est devenu la norme. C’est aussi pour cela que nous travaillons en mode amont avec les directions générales : pour ouvrir la recherche avant que le besoin ne devienne urgent.
Ce qu’un cabinet de recrutement cybersécurité fait vraiment
À ce stade, vous attendez peut-être un argumentaire commercial. Vous n’en aurez pas. Ce qu’un cabinet de recrutement cybersécurité spécialisé apporte, et que nous assumons revendiquer chez Rehackt, tient en 4 choses concrètes.
Premièrement, la maturation du besoin.
Avant de chasser, nous passons du temps à requalifier la demande. Beaucoup de fiches de poste qui nous arrivent demandent “un RSSI” alors que l’organisation a besoin d’un responsable conformité, ou d’un architecte sécurité, ou d’un binôme. Ce travail d’arbitrage en amont évite des erreurs de casting qui coûtent 18 mois et un échec de période d’essai.
Deuxièmement, le calibrage salarial réel.
Les grilles publiques sont des points de référence, pas des vérités absolues. Sur certains profils (sécurité du cloud, IA défensive, conformité NIS 2), les fourchettes constatées en transactions réelles dépassent de 15 à 20 % les grilles affichées. Sur d’autres, le marché s’est tassé. Un cabinet qui négocie une vingtaine de rémunérations globales par trimestre voit ces inflexions avant qu’elles n’apparaissent dans les baromètres.
Troisièmement, l’accompagnement de la phase d’intégration.
Le départ d’une recrue cyber dans les 9 premiers mois représente, selon les retours terrain croisés avec plusieurs cabinets, un sinistre majeur pour l’organisation : 6 à 12 mois de retard sur les chantiers, un coût d’acquisition perdu, et un message désastreux envoyé en interne. Cadrer les attentes des deux côtés avant la prise de poste, accompagner la définition des premiers livrables, ajuster le périmètre si l’on découvre un écart entre la promesse de poste et la réalité opérationnelle : ce sont des gestes qui se travaillent et qui changent radicalement les chances de réussite.
Quatrièmement, la lecture sectorielle.
Recruter un RSSI dans une industrie 4.0 n’a rien à voir avec recruter dans une fédération sportive ou un acteur de la santé. Les pressions réglementaires divergent, les niveaux de maturité internes divergent, les attentes des candidats divergent. Un cabinet généraliste vous proposera des candidats de cybersécurité. Un cabinet de recrutement cybersécurité spécialisé vous proposera des candidats compatibles avec votre secteur, votre stade de maturité et votre culture d’entreprise. La nuance n’est pas cosmétique.
C’est précisément ce travail que nous décrivons dans notre article sur la cyberrésilience comme pilier stratégique : la sécurité ne se résume jamais à un poste isolé, elle s’intègre dans une trajectoire d’entreprise.
L’avis Rehackt
Voilà ce que nous observons depuis le terrain, et que peu d’acteurs disent publiquement.
Le 1er recrutement cybersécurité est presque toujours pensé comme un acte technique alors qu’il s’agit d’un acte stratégique. La question n’est pas “quel profil savant trouver ?”, elle est “quelle gouvernance bâtir, et quel profil sert cette gouvernance à ce stade de notre maturité ?”. Confondre les 2 questions produit des recrutements brillants sur le papier et inopérants sur le terrain.
La deuxième observation est plus inconfortable : beaucoup d’entreprises retardent le recrutement parce qu’elles attendent le profil parfait, alors qu’elles auraient besoin d’un profil suffisant aujourd’hui et d’une trajectoire de montée en gamme. Pendant qu’elles attendent, les délais d’embauche s’allongent (6 à 9 mois pour un bon profil, parfois douze), les obligations réglementaires se durcissent, et les courtiers en assurance s’impatientent. La perfection diffère, la pression s’accumule.
Notre conviction tient en une phrase : mieux vaut un profil opérationnel solide bien encadré qu’une licorne hybride attendue éternellement. Le profil hybride parfait existe, mais il se construit par une trajectoire, rarement par un coup de filet en cinq entretiens.
Ce que nous voyons aussi en tant que cabinet de recrutement cybersécurité, et qui mérite d’être dit avec un peu de piquant : la cybersécurité reste l’un des rares domaines où des dirigeants par ailleurs très rigoureux acceptent de recruter sur la base de formules à la mode. “Il a parlé de Zero Trust, c’est bon signe.” “Il a une certification CISSP, ça doit le faire.” Personne ne recruterait son directeur financier sur ces critères. Or recruter sa première personne cybersécurité, c’est nommer la personne qui aura les clés de votre système d’information et la responsabilité, sous NIS 2, d’engager la direction générale en cas d’incident. Cela mérite la même exigence que le recrutement d’un membre du COMEX.
Pour les dirigeants qui veulent prolonger la réflexion sur le contexte réglementaire et ses implications, nous avons développé un dossier dédié au Cyber Resilience Act qui complète utilement la lecture NIS 2.
Et maintenant ?
Si vous êtes dans la situation du dirigeant de notre anecdote d’ouverture, ou dans une variante (audit client musclé, levée de fonds imminente, incident évité de peu, conseil d’administration qui pose des questions), la première chose à faire n’est pas de publier une fiche de poste. C’est de qualifier votre besoin réel.
Quel scénario vous décrit le mieux parmi les trois présentés ? Quelle gouvernance cybersécurité visez-vous à 18 mois ? Quelle est votre fenêtre de tolérance pour la prise de poste (3 mois, 6 mois, 9 mois) ? Quel est votre budget total, rémunération fixe et variable comprise, et avez-vous prévu un appoint de gouvernance externalisée pour les premiers mois ?
C’est sur ces 4 questions que nous démarrons toutes nos missions. Nous ne vendons pas un profil, nous accompagnons une décision de structuration. Si vous voulez en discuter sans engagement, prenez contact avec nos équipes via rehackt.fr/contact. Le premier échange sert à clarifier votre situation, pas à signer un mandat.
Et si vous repoussez encore ? Notez simplement que la prochaine relance de votre courtier d’assurance, ou la prochaine demande de votre plus gros client, ne vous laissera probablement plus 6 mois.
Un recrutement cyber à confier ? On en parle directement avec vous.
