RSSI Externalisé · SMSI ISO 27001 Vivant

Un RSSI externalisé vous offre l'expertise sans la charge salariale (recrutement, charges, congés, formation). Vous payez un forfait mensuel prévisible (de 499 € à 8 000 €+) au lieu d'un salaire annuel de 80 à 130 k€. Pour les TPE/PME, c'est le bon équilibre.

NIS2 n'impose pas formellement la fonction « RSSI » mais exige une gouvernance cyber documentable avec analyse de risques, gestion incidents, supply chain, audits. Sans RSSI, vos dirigeants portent personnellement la responsabilité (sanctions jusqu'à 10 M€ ou 2 % CA). Le RSSI externalisé couvre cette obligation à coût maîtrisé.

Pour une TPE de 5 à 30 utilisateurs sans obligation réglementaire majeure, oui. Vous obtenez la veille filtrée, des alertes CVE ciblées, une review trimestrielle de votre posture, et un audit annuel. C'est un excellent ticket d'entrée pour formaliser votre cyber sans exploser le budget. La plupart des clients passent ensuite au forfait Essentiel ou Standard après 6-12 mois quand leurs besoins augmentent.

Vous restez responsable légalement (NIS2 art. 21, RGPD). Notre rôle est conseil et opérationnel sous votre direction. Nous engageons notre responsabilité civile professionnelle (10 M€) en cas de manquement à nos obligations contractuelles, mais nous ne nous substituons pas à votre responsabilité de dirigeant.

Mois 1 : audit initial de votre posture cyber et formalisation du périmètre.
Mois 2-3 : mise en place du tableau de bord, premières actions prioritaires, comité sentinelle.
Mois 4+ : rythme de croisière selon le pack choisi. Vous gardez la main sur le calendrier.

Tous les packs incluent le pré-engagement crise (ligne directe gratuite 1h pour évaluation). En cas d'incident confirmé, nous intervenons selon le SLA contractuel : <12h Essentiel, <8h Standard, <4h Premium, <1h Sur-mesure. En Premium, les 24 premières heures sont offertes, suite avec remise -50%. Nous coordonnons forensics, éradication, notification ANSSI/CNIL (<72h RGPD), communication presse/PR. Couverture des scénarios : ransomware, malware, DDoS, data breach, atteinte réputation, fuite code source, supply chain compromise.

Engagement minimum 6 mois (le temps que la valeur s'installe). Au-delà, résiliable avec préavis de 3 mois. Nous accompagnons toujours le transfert de connaissance vers votre nouveau RSSI ou prestataire.

Oui. Notre singularité : RSSI + expertise IA. Nous accompagnons l'inventaire des systèmes IA, la classification de risque AI Act, la gouvernance ISO 42001, la sécurisation des déploiements LLM/RAG, et les volets confidentialité (données injectables, prompt injection). Très peu de RSSI couvrent vraiment ce périmètre à ce jour.