RSSI externalisé (vCISO)

Organisations ayant besoin d'un pilotage de la sécurité au niveau direction générale ou conseil d'administration, sans disposer du budget ou du volume d'activité justifiant un poste à temps plein.

Dernière mise à jour — 22 août 2026

Le problème traité

La sécurité de l'information nécessite un pilotage stratégique continu : arbitrages budgétaires, relation avec les régulateurs, reporting au conseil. Confier ce rôle à une fonction technique déjà chargée, ou ne pas le pourvoir du tout, laisse l'organisation sans direction claire face aux risques et aux exigences réglementaires.

Ce qui est inclus

Définition de la stratégie et de la feuille de route sécurité

Pilotage du budget sécurité

Gestion des risques

Relation avec les régulateurs et les auditeurs

Animation du comité sécurité périodique

Gestion des prestataires et fournisseurs

Reporting au conseil d'administration ou à la direction générale

Référentiels appliqués

ISO/IEC 27001NIST Cybersecurity FrameworkCSA Cloud Controls Matrix

Livrables

—

Feuille de route sécurité annuelle

—

Comptes rendus de comité sécurité

—

Rapports de reporting au conseil ou à la direction

—

Tableau de bord des risques et du budget

Engagement en régie mensuelle sur un nombre de jours défini avec le client, sur une durée minimale de 6 mois

Durée type

Prérequis côté client

Sponsor identifié au sein de la direction générale ou du conseil
Accès aux informations budgétaires et organisationnelles pertinentes
Engagement minimum de 6 mois

Questions fréquentes

Quelle est la différence avec un audit ponctuel ?

Le RSSI externalisé est un rôle de pilotage continu, pas une prestation ponctuelle. Il fixe la stratégie et en assure le suivi dans la durée, au-delà d'un diagnostic isolé.

Le RSSI externalisé peut-il représenter légalement l'organisation face à un régulateur ?

Non. Le mandat est consultatif et de pilotage ; la responsabilité légale reste portée par un représentant de l'organisation elle-même.

Combien de jours par mois sont prévus ?

Le volume est défini au démarrage selon la taille et la maturité de l'organisation, puis ajusté si nécessaire à date fixe.