RSSI externalisé et conformité NIS 2 : l'accompagnement clé en main

La directive NIS 2 a fait basculer plusieurs milliers d'entreprises françaises dans un régime de conformité cyber contraignant, assorti de sanctions financières et d'une responsabilité personnelle des dirigeants. Pour une PME ou une ETI de 80 à 600 salariés, la première réaction consiste souvent à envisager le recrutement d'un responsable de la sécurité des systèmes d'information. Ce réflexe est compréhensible, mais il produit rarement le meilleur rapport entre le coût engagé et le niveau de conformité atteint. Un projet NIS 2 se caractérise par une charge très intense sur douze à dix-huit mois, suivie d'un plateau de maintien beaucoup plus léger, alors qu'un salarié représente un engagement permanent à coût fixe élevé. Cet article détaille pourquoi la formule du RSSI externalisé, ou vFRSSI, s'impose comme le véhicule le plus efficace pour atteindre la conformité article 21, quels livrables exiger de son prestataire, comment structurer les phases du projet, et ce que coûtent réellement les deux options mises côte à côte. L'objectif est de vous donner les éléments chiffrés et méthodologiques pour arbitrer en connaissance de cause.

NIS 2 : ce qui change réellement pour une PME française

La directive (UE) 2022/2555, dite NIS 2, remplace la directive NIS de 2016. Le changement d'échelle est le point central : là où le dispositif précédent visait environ trois cents opérateurs de services essentiels en France, le nouveau périmètre concerne plusieurs milliers d'entités, réparties sur dix-huit secteurs. Ce ne sont plus seulement les opérateurs d'importance vitale et les grands groupes qui sont concernés, mais aussi des sous-traitants industriels, des éditeurs de logiciels, des transporteurs, des acteurs de la gestion des déchets, des prestataires de services numériques et une partie significative du secteur de la santé et de l'agroalimentaire.

Comment savoir si vous êtes concerné

Le mécanisme d'assujettissement repose sur deux critères combinés : l'appartenance à un secteur listé en annexe I (secteurs hautement critiques) ou en annexe II (autres secteurs critiques), et un critère de taille. En pratique, toute entité qui atteint le seuil de la moyenne entreprise au sens européen — au moins cinquante salariés, ou un chiffre d'affaires annuel supérieur à dix millions d'euros — et qui opère dans un secteur listé entre dans le champ. Les grandes entreprises des secteurs de l'annexe I sont classées « entités essentielles » ; les autres sont « entités importantes ».

Cette distinction n'est pas cosmétique. Les entités essentielles sont soumises à une supervision proactive : l'autorité nationale peut diligenter des contrôles sans avoir besoin d'un motif préalable. Les entités importantes relèvent d'une supervision réactive, déclenchée par un incident ou un signalement. Le plafond de sanction diffère également : jusqu'à dix millions d'euros ou 2 % du chiffre d'affaires mondial pour les premières, sept millions d'euros ou 1,4 % pour les secondes.

Un point est régulièrement sous-estimé : le mécanisme d'entraînement par la chaîne d'approvisionnement. Même si votre entreprise n'est pas directement assujettie, vos clients assujettis vont vous imposer contractuellement des exigences de sécurité, parce que l'article 21 leur fait obligation de maîtriser la sécurité de leurs fournisseurs. Dans l'aéronautique, l'automobile ou la santé, ce report d'exigences est déjà en cours et se matérialise par des questionnaires, des clauses de sécurité et des audits fournisseurs. Beaucoup de PME découvrent NIS 2 non pas par un courrier de l'autorité, mais par un appel d'offres.

Les dix familles de mesures de l'article 21

L'article 21 constitue le cœur technique du texte. Il impose des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » couvrant au minimum dix domaines :

• les politiques d'analyse des risques et de sécurité des systèmes d'information ;
• la gestion des incidents, de la détection à la clôture ;
• la continuité d'activité : sauvegardes, reprise après sinistre, gestion de crise ;
• la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs ;
• la sécurité de l'acquisition, du développement et de la maintenance des systèmes, incluant la gestion et la divulgation des vulnérabilités ;
• les politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques ;
• les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
• les politiques d'utilisation de la cryptographie et du chiffrement ;
• la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
• l'authentification multifacteur, les communications sécurisées et les communications d'urgence sécurisées.

À cela s'ajoute l'article 23, qui impose un régime de notification en trois temps : une alerte précoce dans les vingt-quatre heures suivant la connaissance d'un incident important, une notification circonstanciée dans les soixante-douze heures, puis un rapport final sous un mois. Ce calendrier est incompatible avec une organisation improvisée : il suppose une astreinte, une procédure écrite, des critères de qualification d'incident et des interlocuteurs identifiés.

La responsabilité des dirigeants

L'article 20 introduit un changement de nature juridique. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et suivre une formation à la cybersécurité. Leur responsabilité peut être engagée en cas de manquement. Autrement dit, la conformité NIS 2 cesse d'être un sujet purement informatique délégable au responsable informatique : elle devient un sujet de gouvernance, qui doit remonter en comité de direction et laisser une trace écrite. Cette exigence de traçabilité de la décision est l'un des points qu'un accompagnement bien mené sécurise en priorité.

Recruter un RSSI interne pour NIS 2 : le calcul qui ne tombe pas juste

Face à ce corpus d'obligations, l'idée de recruter un RSSI paraît logique. Elle se heurte pourtant à quatre obstacles concrets, dont l'accumulation rend l'option peu rentable pour une structure de moins de cinq cents salariés.

Le coût complet d'un RSSI salarié

Le marché français du RSSI expérimenté se situe, en 2026, entre 75 000 et 110 000 euros de rémunération brute annuelle selon la région, le secteur et le niveau de séniorité, avec des pointes au-delà en Île-de-France sur les profils rares. En appliquant un coefficient de charges patronales de l'ordre de 1,45, le coût employeur réel s'établit entre 110 000 et 160 000 euros par an. À ce socle s'ajoutent des postes que l'on oublie systématiquement dans le business case initial : honoraires de cabinet de recrutement (15 à 20 % du salaire brut, soit 12 000 à 22 000 euros), poste de travail et outillage, budget de formation et de certification, adhésions professionnelles, et surtout le coût d'opportunité des six à neuf mois nécessaires pour recruter puis intégrer le profil.

La première année d'un RSSI interne coûte donc rarement moins de 150 000 euros tout compris, et souvent davantage. Pour une PME de deux cents personnes réalisant quarante millions d'euros de chiffre d'affaires, cette ligne budgétaire est structurante.

La courbe de charge : un pic, puis un plateau

C'est l'argument le plus décisif, et le moins souvent explicité. Un projet de mise en conformité NIS 2 suit une courbe de charge très asymétrique. Les douze à dix-huit premiers mois concentrent l'essentiel de l'effort : qualification du statut, cartographie des systèmes et des flux, analyse d'écart, analyse de risques, rédaction du corpus documentaire, définition et lancement du plan de traitement, sensibilisation des équipes, mise en place des procédures d'incident. Sur cette période, la charge peut représenter l'équivalent de 40 à 70 % d'un temps plein pour une organisation de taille moyenne.

Une fois le socle en place, le maintien en condition de conformité — revue annuelle des risques, mise à jour documentaire, pilotage des indicateurs, exercices de crise, revue fournisseurs, préparation d'audit — représente typiquement l'équivalent de deux à quatre jours par mois. Un salarié à temps plein recruté pour le pic se retrouve donc structurellement sous-employé sur sa mission principale à partir de la deuxième année. Les organisations comblent ce vide en lui confiant des tâches d'exploitation informatique, ce qui dénature la fonction et crée un conflit d'intérêts : on ne peut pas contrôler efficacement une infrastructure que l'on administre soi-même.

La pénurie de profils et le risque de mono-compétence

Le marché français du RSSI reste très tendu. Le délai médian de recrutement pour un profil confirmé dépasse fréquemment quatre à six mois, auxquels s'ajoutent trois mois de préavis. Une PME qui lance son recrutement en janvier a de fortes chances de ne disposer de son RSSI qu'en septembre ou octobre — soit une année de calendrier réglementaire perdue.

Second problème : le périmètre NIS 2 exige des compétences hétérogènes. Il faut à la fois de la gouvernance et de la gestion de risques (méthodologie EBIOS Risk Manager, ISO 27005), de la compréhension technique d'architecture et de durcissement, de la connaissance juridique du texte et de ses actes d'exécution, de la capacité de conduite du changement, et pour les environnements industriels une culture des systèmes OT. Aucun profil individuel ne couvre l'ensemble à un niveau expert. Un RSSI seul dans une PME devient un point de défaillance unique : ses congés, sa maladie ou son départ suspendent le projet.

Ce que dit le comparatif chiffré

L'écart n'est pas marginal : sur deux ans, le différentiel se situe entre 190 000 et 290 000 euros. Cette somme, réinvestie dans le plan de traitement — segmentation réseau, MFA généralisée, sauvegardes immuables, service de détection — produit un gain de sécurité réelle bien supérieur à celui d'un poste supplémentaire. C'est précisément l'arbitrage que nous recommandons dans le cadre de notre offre de RSSI externalisé.

Comment un RSSI externalisé pilote concrètement un projet NIS 2

L'externalisation n'a de valeur que si elle est structurée. Un dispositif efficace se décompose en cinq phases, avec des jalons de validation en comité de direction.

Phase 0 — Qualification du statut et cadrage (2 à 4 semaines)

Avant toute action technique, il faut établir un document opposable qui détermine si l'entité est assujettie, à quel titre, et sur quel périmètre. Cette note de qualification analyse le code NAF, l'activité réelle, les effectifs consolidés, le chiffre d'affaires, la structure du groupe et les éventuelles filiales. Elle statue sur le classement entité essentielle ou importante, identifie les entités du groupe concernées, et délimite le périmètre des systèmes couverts.

Cette phase produit également le mandat du projet : sponsor au niveau de la direction générale, comitologie, budget cadre, calendrier. C'est aussi le moment de procéder à l'enregistrement auprès de l'autorité nationale lorsqu'il est requis. Négliger cette étape conduit à des projets surdimensionnés — on protège un périmètre plus large que nécessaire — ou sous-dimensionnés, ce qui est plus grave.

Phase 1 — Cartographie et analyse d'écart (6 à 10 semaines)

La cartographie constitue le socle de tout le reste. Elle couvre quatre dimensions : les actifs (serveurs, postes, équipements réseau, automates, applications, données), les flux (interconnexions internes, accès distants, échanges avec les tiers), les processus métier critiques et leur dépendance aux systèmes, et enfin les tiers (fournisseurs, infogéreurs, éditeurs, hébergeurs) avec leur niveau d'accès.

Sur cette base, l'analyse d'écart confronte l'existant aux dix familles de mesures de l'article 21. Le livrable est une matrice de conformité, mesure par mesure, avec un niveau de maturité, la preuve constatée ou son absence, et l'écart à combler. C'est ce document qui permet de chiffrer le plan de traitement et d'éviter l'effet « liste de courses » où l'on achète des solutions sans savoir quel risque elles couvrent.

Phase 2 — Analyse de risques et construction du SMSI (8 à 12 semaines)

L'analyse de risques donne la priorisation. La méthode EBIOS Risk Manager, promue par l'ANSSI, présente l'avantage de raisonner par scénarios stratégiques et opérationnels plutôt que par inventaire de vulnérabilités, ce qui la rend directement lisible par une direction générale. Elle produit une cartographie des risques résiduels, validée formellement par le comité de direction — cette validation étant elle-même un élément de preuve au titre de l'article 20.

En parallèle se construit le système de management de la sécurité de l'information. Il ne s'agit pas de bâtir une usine à gaz : le SMSI d'une PME de deux cents personnes tient dans une vingtaine de documents utiles. Sa structure s'inspire de l'ISO 27001, ce qui présente un double intérêt : la norme couvre nativement une large part des exigences de l'article 21, et elle offre un chemin de certification si le marché l'exige ultérieurement.

Phase 3 — Documentation article 21 et déploiement (12 à 24 semaines)

C'est la phase de production la plus dense. Elle couvre la rédaction du corpus documentaire, la formalisation des procédures opérationnelles, la mise en place du dispositif de notification d'incident, la sensibilisation des collaborateurs et la formation des dirigeants exigée par l'article 20. Elle s'accompagne du pilotage des chantiers techniques du plan de traitement, généralement réalisés par l'infogéreur ou l'équipe informatique interne sous la supervision du RSSI externalisé.

Phase 4 — Run, pilotage et préparation au contrôle

Une fois le socle en place, le dispositif passe en régime de croisière : comité sécurité trimestriel, tableau de bord d'indicateurs, revue annuelle des risques et du SMSI, exercice de crise annuel, revue des fournisseurs critiques, veille réglementaire et tenue à jour du dossier de preuves. Ce dossier est déterminant : en cas de contrôle, ce n'est pas le niveau de sécurité réel qui est évalué en premier lieu, mais la capacité à démontrer par écrit que les mesures ont été définies, validées, mises en œuvre et évaluées.

Les livrables à exiger de votre prestataire

Un contrat de RSSI externalisé doit lister les livrables de manière contractuelle. Voici le socle minimal à exiger sur un périmètre NIS 2 :

Deux points de vigilance contractuelle. Premièrement, exigez que les documents soient livrés dans un format éditable et que leur propriété intellectuelle vous soit cédée : un SMSI que vous ne pouvez pas maintenir sans votre prestataire crée une dépendance malsaine. Deuxièmement, faites préciser le dispositif d'astreinte en cas d'incident : la fenêtre de vingt-quatre heures de l'article 23 ne s'accommode pas d'un engagement de service en jours ouvrés uniquement.

Articuler NIS 2 avec vos autres référentiels

La plupart des entreprises assujetties portent déjà d'autres exigences : RGPD, ISO 27001 pour celles qui répondent à des appels d'offres internationaux, AirCyber pour la supply chain aéronautique, TISAX dans l'automobile, HDS dans la santé. Traiter NIS 2 comme un chantier isolé génère une redondance considérable.

Le bon réflexe consiste à construire un référentiel de contrôles unique, dans lequel chaque mesure est rattachée à l'ensemble des exigences qu'elle satisfait. Une politique de gestion des accès bien rédigée couvre simultanément l'article 21 (i) de NIS 2, le contrôle A.5.15 de l'ISO 27001:2022, l'article 32 du RGPD et plusieurs questions du référentiel AirCyber. La matrice de correspondance devient alors l'outil central de pilotage : elle divise typiquement par deux la charge documentaire cumulée et évite les incohérences entre corpus, qui sont le premier motif de réserve en audit.

Pour les entreprises visant la certification ISO 27001, la séquence la plus économique consiste à construire le SMSI dès le départ selon la structure normative, puis à ajouter les exigences spécifiques de NIS 2 qui n'y figurent pas — principalement le régime de notification en trois temps de l'article 23 et les obligations de gouvernance de l'article 20. L'inverse, partir d'un corpus NIS 2 ad hoc et le restructurer ensuite pour la certification, coûte nettement plus cher.

Les cinq erreurs qui coûtent le plus cher

• Acheter des outils avant d'avoir fait l'analyse de risques. C'est l'erreur la plus fréquente et la plus onéreuse. Un EDR déployé sans politique de réponse, un SIEM sans équipe pour exploiter les alertes, une solution de sauvegarde sans test de restauration : ces achats consomment le budget sans réduire le risque et ne constituent pas des preuves de conformité.
• Confondre conformité et sécurité. Un dossier documentaire irréprochable ne protège pas d'un rançongiciel. À l'inverse, une infrastructure bien durcie mais non documentée ne protège pas d'une sanction. Les deux dimensions doivent avancer ensemble, avec une priorité donnée aux mesures qui servent les deux objectifs.
• Oublier la chaîne d'approvisionnement. L'article 21 (d) est celui sur lequel les organisations sont le moins matures. Recenser ses fournisseurs critiques, évaluer leur niveau de sécurité et intégrer des clauses adaptées prend six à neuf mois. Commencer tard revient à laisser un écart béant au moment du contrôle.
• Ne pas impliquer la direction générale. L'article 20 rend l'implication du dirigeant obligatoire et traçable. Un projet porté uniquement par la DSI produit un corpus qui n'engage personne et se heurte aux arbitrages budgétaires dès le premier chantier coûteux.
• Négliger le dossier de preuves. Comptes rendus de comités, validations formelles, journaux d'exercices, attestations de formation, rapports de tests de restauration : ce sont ces éléments qui font la différence en cas de contrôle. Ils doivent être produits au fil de l'eau, pas reconstitués dans l'urgence.

Comment choisir son RSSI externalisé

Le marché est hétérogène. Quelques critères permettent de discriminer rapidement.

Vérifiez l'indépendance vis-à-vis des éditeurs. Un prestataire qui perçoit des commissions sur les solutions qu'il recommande n'est pas en position d'arbitrer objectivement votre plan de traitement. Demandez une déclaration écrite sur ce point.

Demandez à rencontrer le consultant qui interviendra réellement. La différence entre le profil commercial et le profil délivré est un classique du secteur. Exigez le nom, le CV et l'engagement de continuité dans le contrat.

Exigez une référence sectorielle. Les enjeux d'un industriel avec des systèmes OT anciens, d'un établissement de santé et d'un éditeur SaaS n'ont rien de commun. La connaissance du métier fait gagner plusieurs mois sur la cartographie et la pertinence des scénarios de risque.

Faites préciser le volume de jours et son évolution. Un bon dispositif prévoit une montée en charge sur la phase projet puis une décrue explicite en phase de run, avec un mécanisme de révision annuelle. Un forfait constant sur trois ans signale soit un sur-paiement en phase de run, soit un sous-dimensionnement en phase projet.

Contrôlez les modalités de réversibilité. Propriété des livrables, format éditable, transfert de compétences vers une personne interne, durée du préavis : ces clauses déterminent votre liberté future. Notre approche de l'accompagnement NIS 2 intègre systématiquement un volet de transfert de compétences vers un référent interne, afin que l'entreprise gagne en autonomie à mesure que le socle se stabilise.

Pour approfondir le cadre réglementaire, deux sources font autorité : le dossier NIS 2 publié par l'ANSSI, qui rassemble les guides et les textes d'application français, et le texte consolidé de la directive (UE) 2022/2555 sur EUR-Lex, à consulter directement pour la lecture des articles 20, 21 et 23.

Questions fréquentes

Un RSSI externalisé est-il juridiquement recevable au titre de NIS 2 ?

Oui. La directive n'impose nulle part que la fonction de sécurité soit occupée par un salarié. Elle impose que les mesures de gestion des risques soient définies, approuvées par les organes de direction et effectivement mises en œuvre. Le mode de portage de l'expertise relève de la liberté d'organisation de l'entreprise. En revanche, la responsabilité reste celle du dirigeant : elle n'est pas transférable au prestataire. C'est pourquoi le dispositif doit prévoir une comitologie qui fait remonter les décisions au niveau de la direction générale, avec des comptes rendus signés.

Combien de jours par mois faut-il prévoir pour une PME de 200 salariés ?

Sur la phase de mise en conformité, comptez trois à cinq jours par mois pendant douze à dix-huit mois, souvent complétés d'un forfait projet pour les livrables lourds comme la cartographie et l'analyse de risques. En phase de maintien, un à deux jours par mois suffisent généralement, avec des pics ponctuels lors de la revue annuelle, de l'exercice de crise ou d'un audit client. Un volume constant proposé sur toute la durée du contrat mérite d'être questionné.

Quel est le délai réaliste pour être conforme à l'article 21 ?

Pour une organisation partant d'un niveau de maturité faible, comptez douze à dix-huit mois pour disposer d'un socle défendable en contrôle. Les six premiers mois produisent la qualification, la cartographie, l'analyse d'écart, l'analyse de risques et le plan de traitement. Les six à douze mois suivants couvrent la production documentaire et le déploiement des mesures prioritaires. Certains chantiers techniques structurants — segmentation réseau, refonte de la gestion des identités, sauvegardes immuables — s'étalent au-delà : l'important est qu'ils soient planifiés, budgétés et engagés, car un plan de traitement crédible et suivi vaut mieux qu'une conformité affichée sans preuve.

Que se passe-t-il concrètement en cas de contrôle de l'autorité ?

Les entités essentielles peuvent faire l'objet de contrôles sur place, d'audits de sécurité, de demandes de documents et d'analyses de conformité, sans motif préalable. Les entités importantes sont contrôlées a posteriori, généralement après un incident ou un signalement. Dans les deux cas, l'autorité demande d'abord le corpus documentaire : politique de sécurité, analyse de risques, plan de traitement, procédures d'incident, preuves de formation, comptes rendus de comités. Le régime de sanction est graduel — avertissement, injonction de mise en conformité, puis amende administrative. Une entreprise capable de démontrer une démarche structurée en cours se trouve dans une position radicalement différente de celle qui n'a rien formalisé.

Faut-il viser la certification ISO 27001 pour être conforme à NIS 2 ?

Non, la certification n'est pas exigée par la directive. Elle constitue néanmoins un accélérateur pertinent dans deux cas : lorsque votre marché la réclame contractuellement, et lorsque vous cherchez un cadre méthodologique éprouvé pour structurer votre SMSI. Un système de management conforme à l'ISO 27001:2022 couvre l'essentiel des exigences de l'article 21 ; il reste à compléter le régime de notification en trois temps et les obligations de gouvernance propres à NIS 2. Si la certification n'est pas un objectif commercial, s'aligner sur la structure de la norme sans passer l'audit reste la démarche la plus économique.

Pour aller plus loin

• Directive NIS 2 : texte, obligations et périmètre
• Mise en œuvre opérationnelle NIS 2 : guide 2026
• NIS2, DORA et RGPD : exigences croisées
• Premières sanctions ANSSI NIS 2 en France
• Budget cybersécurité PME : optimiser ses investissements