Une ETI industrielle de 180 personnes, dirigeant aguerri, signe en mars un contrat de RSSI à temps partagé. Recommandation d’un confrère, références solides, deux jours par mois facturés. Sur le papier, l’arbitrage est imparable : un expert senior pour le prix d’une licence logicielle annuelle.
Six mois plus tard, audit interne. Le RSSI a produit une politique de sécurité du système d’information de quarante pages, animé deux comités de pilotage, posé une cartographie des risques propre. Personne ne conteste la qualité du livrable. En revanche, quand un compte de messagerie est compromis fin août, c’est l’infogérant qui gère seul pendant 48 heures avant que le RSSI ne soit informé, en début de mois suivant, lors de sa visite mensuelle.
Le dirigeant découvre alors, posément, que le périmètre signé n’incluait pas le quotidien opérationnel. Il n’avait simplement jamais posé la question.
Pourquoi le marché du RSSI à temps partagé explose en 2026
La fonction n’est pas nouvelle, mais elle quitte la marge pour s’installer au centre du jeu. Trois forces convergent et trois forces seulement.
La réglementation pose le cadre.
La directive NIS 2, dont la transposition française est portée par la loi sur la résilience des infrastructures critiques adoptée au Sénat les 11 et 12 mars 2025 puis examinée à l’Assemblée nationale en septembre 2025, concernera entre 10 000 et 15 000 entités françaises selon l’ANSSI. Le projet de loi prévoit une promulgation au 1er semestre 2026, suivie de décrets au deuxième trimestre. Le référentiel cyber de l’ANSSI, le ReCyF, a été publié le 17 mars 2026.
Source : ANSSI, cyber.gouv.fr, mars 2026.
Les sanctions ne sont plus théoriques : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires pour les entités importantes. Et nouveauté majeure, la responsabilité personnelle des dirigeants peut être engagée, avec une possibilité d’interdiction temporaire d’exercer en cas de manquement répété. Source : EUR-Lex, directive NIS 2 ; projet de loi français en cours de transposition.
La pénurie de profils ferme le marché du recrutement interne.
L’Observatoire des métiers 2025 de l’ANSSI, publié conjointement avec la DGEFP et l’AFPA, recense 23 000 offres d’emploi cyber en France entre juin 2023 et juin 2024, soit une progression de 49 % par rapport à 2019. L’OPIIEC, dans son étude publiée en mai 2025, table sur 25 000 postes supplémentaires à créer d’ici 2028, avec environ 15 000 postes structurellement non pourvus en 2025. Pour un RSSI senior, on parle d’un délai de recrutement moyen de 6 à 9 mois en région parisienne, davantage en province.
Sources : ANSSI Observatoire des métiers 4e édition, 2025 ; OPIIEC/Numeum, mai 2025.
Les budgets PME et ETI ne suivent pas le recrutement interne.
Les grilles 2026 placent le RSSI confirmé entre 70 000 et 130 000 euros bruts annuels, avec des packages dépassant 200 000 euros pour des directeurs cybersécurité de grands groupes.
Source : croisement données de terrain croisées avec Glassdoor. Pour une entreprise de 80 à 250 collaborateurs, ce poste ne peut pas s’amortir économiquement, même quand la pression réglementaire l’exige.
Conclusion arithmétique : la fonction est obligatoire, le profil est introuvable, et le coût d’un temps plein est hors de portée. Le RSSI à temps partagé devient l’arbitrage par défaut. Reste à savoir ce qu’on signe vraiment.
Ce que 2 à 3 jours par mois permettent réellement
Soyons clairs sur la grammaire de l’offre. Un RSSI à temps partagé, ce sont en général 1 à 8 journées d’intervention par mois selon la taille de l’organisation, avec une moyenne marché autour de 2 à 3jours pour une PME ou une petite ETI. Le tarif observé sur le marché français se situe entre 1 500 et 3 000 euros mensuels pour cette enveloppe horaire, avec des taux journaliers de 700 à 1 500 euros pour un profil confirmé.
Source : observations de marché 2025-2026 par retours terrains
Sur cette enveloppe, voici ce qui rentre proprement et ce qui n’y rentre pas, sans bavure.
Ce qui rentre. La gouvernance, et c’est déjà beaucoup. Politique de sécurité du système d’information, cartographie des risques, plan d’assurance sécurité fournisseurs, comités de pilotage trimestriels, animation des indicateurs clés, posture de conformité NIS 2 ou DORA selon le secteur, préparation à un audit, formation des dirigeants désormais exigée par la directive. Cette dernière, soit dit en passant, n’est pas une option : NIS 2 prévoit explicitement l’obligation de formation cybersécurité pour les membres de la direction.
Source : article 20, directive (UE) 2022/2555.
Ce qui ne rentre pas. L’opérationnel quotidien. Pas de gestion d’incident en temps réel, pas de pilotage de patch management hebdomadaire, pas de réponse à un courriel d’hameçonnage à 14h un mardi. Pas non plus de configuration d’outils de détection, de durcissement de postes, ni de remédiation de vulnérabilités. Ces tâches relèvent d’un prestataire de services managés de sécurité (que le secteur désigne par l’acronyme MSSP, managed security service provider), d’un service de détection externalisé, ou d’une équipe interne, fût-elle réduite à une personne.
La règle d’or que nous répétons systématiquement à nos clients chez Rehackt : un RSSI à temps partagé pilote, il n’opère pas. Confondre les deux, c’est acheter une Renault Twingo en croyant payer un car scolaire.
RSSI senior versus RSSI junior à temps partagé : deux mondes, deux usages
Le marché tend à présenter le RSSI à temps partagé comme une catégorie homogène. La réalité est plus rugueuse. Deux profils coexistent, avec des forces et des angles morts radicalement différents.
Le profil senior à temps partagé
15 à 25 ans d’expérience, souvent ancien RSSI de groupe, qui a choisi le format temps partagé en deuxième partie de carrière. Tarif élevé, 1 200 à 1 800 euros la journée selon la réputation.
Là où il excelle. La crédibilité au comité de direction et au comité exécutif. Quand il prend la parole devant le directeur financier qui doute du budget cyber, il apporte 20 années de cas concrets. La directive NIS 2 ne lui fait pas peur, il a déjà piloté 3 transpositions équivalentes. L’audit certifiant ISO 27001 ou la conformité DORA pour une filiale assurance, idem. La gestion de crise majeure, il l’a vécue.
Là où il déçoit, parfois. La présence terrain reste limitée. Si vos équipes informatiques sont peu structurées et n’ont jamais vu un référentiel sérieux, la pédagogie de base peut le lasser. Il viendra poser le cadre, pas tenir la main pendant 12 mois pour le mettre en œuvre. Si l’entreprise n’a personne en interne pour relayer ses recommandations entre deux visites, le risque est réel que le plan d’action reste sur étagère.
Le profil intermédiaire à temps partagé
7 à 12 ans d’expérience, souvent ancien consultant en cabinet ou ancien analyste devenu manager. Tarif observé : 700 à 1 100 euros la journée.
Là où il excelle. La présence accrue pour un budget équivalent, ce qui change tout. Une journée senior coûte le prix d’une journée et demie de profil intermédiaire. La pédagogie est plus patiente, la disponibilité entre deux visites est plus grande, l’accompagnement de la montée en maturité est progressif et lisible.
Là où il est exposé. Le poids face à la direction. Devant un comité exécutif qui doute, ce profil aura besoin d’un sponsor interne fort, idéalement le directeur général ou le directeur des systèmes d’information. Sans cet appui, ses arbitrages risquent d’être renégociés à chaque comité. Les sujets de très haute criticité, type investigation post-attaque ou pilotage d’une crise majeure, lui demanderont un renfort ponctuel.
Le bon arbitrage selon le contexte
Pour une organisation qui démarre tout, qui n’a aucune gouvernance et qui doit cocher des cases NIS 2 sous 15 mois, le profil senior pose le cadre plus vite. Une fois le cadre posé, un relais intermédiaire peut suffire. Pour une organisation qui a déjà une base mais qui veut professionnaliser, le profil intermédiaire avec un sponsor interne solide donne souvent un meilleur rendement à budget équivalent. Et pour une organisation qui doit affronter un audit certifiant ou une crise déclarée, le senior n’est plus une option, c’est une condition.
Grille de répartition : ce qui revient au RSSI à temps partagé, ce qui reste au MSSP
L’erreur la plus commune que nous rencontrons chez Rehackt en tant que cabinet de recrutement spécialisé cybersécurité : confondre le RSSI à temps partagé et le prestataire de services managés. Les deux sont nécessaires, ils ne couvrent pas les mêmes territoires.
Voici la répartition que nous recommandons, à ajuster selon la maturité de votre organisation.
Au RSSI à temps partagé reviennent :
- la définition et la mise à jour annuelle de la politique de sécurité du système d’information ;
- la cartographie des risques et son actualisation semestrielle ;
- le pilotage des comités de cybersécurité (mensuel ou trimestriel selon la criticité) ;
- la conformité réglementaire (NIS 2, DORA, ISO 27001, RGPD pour la partie sécurité) ;
- la gestion des relations avec les autorités (notification d’incident à l’ANSSI sous 24 et 72 heures conformément à NIS 2) ;
- la formation des dirigeants exigée par NIS 2 ;
- le plan d’assurance sécurité fournisseurs et la gestion du risque tiers, sujet n°1 du baromètre CESIN 2025 ;
- l’arbitrage stratégique des investissements cyber et la défense du budget en COMEX.
Au MSSP ou à l’infogérant reviennent :
- la supervision quotidienne des journaux de connexion et la détection d’anomalies ;
- la gestion des correctifs et la veille sur les vulnérabilités exploitées ;
- la réponse de premier niveau aux incidents (en lien direct avec le RSSI pour les incidents qualifiés de significatifs) ;
- la configuration et le maintien en conditions opérationnelles des outils de protection (pare-feu, détection comportementale, sauvegarde durcie) ;
- la sensibilisation opérationnelle des collaborateurs (campagnes d’hameçonnage simulé, modules de formation continue) ;
- l’astreinte technique.
La frontière entre les deux n’est jamais une muraille de Chine, elle se cadre par contrat. Et c’est précisément cette cadrage qui décide si vous avez signé un investissement ou une dépense de complaisance.
Selon le baromètre CESIN 2025, 90 % des entreprises interrogées suivent désormais le risque cyber en comité exécutif ou comité de direction, et 92 % le classent dans leur top 5 des risques.
Source : 11e édition du baromètre CESIN-OpinionWay, 397 répondants, terrain novembre-décembre 2025.
La gouvernance n’est plus un sujet à pousser, c’est un sujet à structurer. Et structurer, c’est précisément le métier du RSSI à temps partagé. Pas surveiller.
L’onboarding qui transforme la signature en investissement
C’est ici que se joue 80 % de la valeur. Et c’est ici que la plupart des contrats se signent sans préparation, par soulagement de cocher une case.
Voici le rituel d’intégration que nous recommandons systématiquement, issu de nos observations terrain et de retours croisés avec une trentaine de PME et ETI accompagnées sur ce sujet depuis nos débuts.
1. La feuille de route co-construite dès l’entretien de recrutement.
Le RSSI à temps partagé que vous allez signer doit produire, dès la phase de sélection, une proposition de plan d’action sur 12 mois. Pas une présentation commerciale léchée, une vraie hiérarchisation : quel chantier en mois 1 à 3, quel chantier en mois 4 à 6, quel chantier en mois 7 à 12. Sans cette feuille de route négociée avant signature, vous achetez une compétence sans destination.
2. La cartographie des sponsors internes.
Qui le RSSI rencontre-t-il en mois 1 ? Le directeur général, oui, mais aussi le directeur financier (qui détient le budget), le directeur des systèmes d’information ou le responsable informatique (qui détient la réalité technique), le directeur des ressources humaines (qui détient la sensibilisation et le risque RH), le directeur juridique le cas échéant. Sans cette tournée, le RSSI reste un interlocuteur isolé, perçu comme une dépense.
3. La grille de répartition explicite avec l’infogérant et le MSSP.
Avant la signature, vous produisez (ou vous faites produire) un document d’une page maximum qui distribue qui fait quoi entre le RSSI à temps partagé, l’infogérance, et le prestataire de détection. Vous le faites signer par les trois parties. Cela évitera l’épisode 48 heures de l’introduction.
4. La cadence de pilotage non négociable.
Un comité mensuel d’une heure avec le sponsor exécutif, un comité trimestriel élargi à la direction. Indicateurs précis : nombre d’incidents qualifiés, niveau de couverture des actions critiques, écart au plan de marche. Pas de présentation Powerpoint de 60 diapositives, 3 indicateurs maximum.
5. L’évaluation à 6 mois, formelle.
Pas une discussion informelle, un point structuré : qu’est-ce qui a été livré, qu’est-ce qui a glissé, qu’est-ce qui doit être ré-arbitré. Cette évaluation permet d’éviter l’effet “RSSI fantôme” où le contrat tourne sans qu’on puisse mesurer ce qui a bougé.
Notre lecture chez Rehackt
Cabinet de recrutement cybersécurité, nous voyons défiler les contrats de RSSI à temps partagé avec une régularité qui finit par dessiner une typologie.
Le marché de l’offre a tendance à survendre le format, en présentant le RSSI à temps partagé comme un produit fini, prêt à brancher. Notre conviction est inverse : ce n’est pas un produit, c’est un dispositif. Et un dispositif sans cadrage produit, au mieux, des livrables qui dorment dans des dossiers partagés ; au pire, un sentiment de fausse sécurité qui se révèle au moment exact où il ne devrait pas, c’est-à-dire pendant l’incident.
Notre lecture, en 3 points :
Le RSSI à temps partagé est un excellent arbitrage si vous êtes en phase de structuration cyber. Vous avez compris que NIS 2 ou DORA vous concernent, vous n’avez ni les budgets ni le marché pour recruter en interne, et vous voulez professionnaliser sans attendre. Le format vous donne accès à une expertise senior à coût maîtrisé. Tout va bien.
C’est un mauvais arbitrage si vous attendez de lui qu’il fasse l’opérationnel. Personne ne pilote un avion à 2 jours par mois. Si votre besoin réel est d’avoir une présence quotidienne, il vous faut un autre dispositif (RSSI interne à temps plein, RSSI à temps partagé renforcé en cas d’incident, ou équipe sécurité interne pilotée par un manager). Le malentendu se paie en cas de crise.
C’est un investissement si vous l’onboardez sérieusement, une case cochée si vous ne le faites pas. La différence entre les deux ne tient pas au profil signé. Elle tient à ce que l’organisation cliente y met en sponsoring interne, en clarté de mission, et en cadence de pilotage. Le meilleur RSSI à temps partagé du marché, parachuté chez un dirigeant qui ne prend pas le sujet en main, produira 6 mois de livrables et zéro montée en maturité réelle.
Soit dit en passant, c’est exactement la raison pour laquelle nous accompagnons les entreprises non seulement sur le recrutement de RSSI (à temps plein ou à temps partagé), mais aussi sur le cadrage du périmètre, le profilage attendu, et la structuration du dispositif global. Recruter sans cadrer, c’est embaucher sans lire la fiche de poste.
Le mot de la fin
Le RSSI à temps partagé n’est ni un raccourci, ni un demi-RSSI. C’est une fonction de pilotage à haute valeur ajoutée, à condition d’être achetée pour ce qu’elle est et accompagnée par une organisation qui sait ce qu’elle attend.
Pour un dirigeant qui s’apprête à signer, la bonne question n’est pas “lequel choisir”, c’est “qu’est-ce que je veux qui ait bougé dans 12 mois”. La réponse à cette question décide du profil, du tarif, du périmètre et du sponsor interne. Pas l’inverse.
Pour un dirigeant qui a déjà signé sans en tirer la valeur attendue, la bonne question n’est pas “faut-il rompre le contrat”, c’est “où est le grain de sable dans le dispositif”. La majorité du temps, il est dans le cadrage initial, pas dans le profil.
Vu d’ici, ça a l’air compliqué. Appelez Rehackt.
Pour aller plus loin
- Comprendre le coût d’un cabinet spécialisé : combien coûte un cabinet de recrutement cybersécurité
- Cadrer un recrutement de RSSI : recruter un RSSI
- Sur la formation et la préparation des profils cyber : bien classé ne veut pas dire bien préparé
Échanger avec Rehackt
Vous vous interrogez sur le format RSSI à temps partagé pour votre organisation, ou vous avez déjà signé et vous voulez optimiser le dispositif ? Prenons un échange : rehackt.fr/contact.
Un recrutement cyber à confier ? On en parle directement avec vous.
