Le RSSI à temps partagé est devenu une réponse courante à une équation simple : une PME ou une ETI a besoin d’un pilotage sécurité, mais pas de deux cents jours de RSSI par an — et n’a de toute façon pas les moyens de recruter un profil senior que le marché s’arrache.
Le dispositif fonctionne. À certaines conditions, qui ne sont pas toujours réunies.
Pour qui ça a du sens
Les organisations de 50 à 500 personnes qui ont un système d’information réel, des obligations naissantes, et personne dont c’est le métier. En dessous, un accompagnement ponctuel suffit souvent. Au-dessus, la charge justifie un poste interne.
Celles qui entrent dans un périmètre réglementaire. L’arrivée dans le champ de NIS 2 crée un besoin de pilotage qui n’existait pas la veille, avec une échéance.
Celles dont les clients exigent des preuves. Questionnaires sécurité, clauses contractuelles, demandes d’audit. Il faut quelqu’un capable de répondre, et surtout de faire en sorte que les réponses soient vraies.
Celles qui préparent une certification. Le temps d’un projet ISO 27001, avec bascule vers un interne ensuite.
Ce qu’un RSSI à temps partagé fait bien
- Structurer. Politique, analyse de risques, plan d’action, indicateurs. C’est du travail de méthode, qui se fait par blocs et s’accommode d’une présence discontinue.
- Arbitrer et prioriser. Dire ce qu’on ne fait pas cette année. C’est souvent la valeur la plus immédiate : une organisation sans RSSI a tendance à tout traiter en parallèle et à ne rien finir.
- Porter le sujet en comité de direction. Un externe dit plus facilement les choses désagréables qu’un salarié dont la carrière dépend des personnes en face.
- Piloter des prestataires. Audits, tests d’intrusion, intégrateurs, infogérance.
- Répondre aux clients et aux auditeurs avec un niveau de langage crédible.
Ce qu’il ne fait pas
L’opérationnel quotidien. Un RSSI à deux jours par mois ne surveille pas des alertes, n’administre pas d’équipement et ne traite pas les incidents en temps réel. Confondre pilotage et exploitation est l’erreur qui ruine le dispositif.
L’urgence. En cas d’incident majeur, quelqu’un doit être joignable et disponible immédiatement. Cela se contractualise séparément, avec des modalités d’astreinte explicites — ou cela ne se fait pas.
La présence. Une grande partie du travail d’un RSSI consiste à être là quand les décisions se prennent, dans les couloirs autant qu’en réunion. C’est précisément ce qu’un temps partagé ne peut pas offrir.
Les conditions qui font que ça marche
Un rattachement suffisamment haut
Un RSSI rattaché au responsable informatique ne peut pas arbitrer entre sécurité et disponibilité : il est juge et partie. Le rattachement à la direction générale ou à la direction des risques est ce qui rend la fonction opérante.
Ce point n’est pas théorique : l’article 20 de NIS 2 place la responsabilité au niveau de l’organe de direction. Un dispositif où le sujet ne remonte jamais au comité de direction n’est pas conforme à l’esprit du texte.
Un correspondant interne
Le RSSI externe a besoin de quelqu’un sur place — même à temps très partiel — pour relayer, collecter l’information et faire avancer entre deux interventions. Sans ce relais, chaque venue recommence à zéro.
Un volume réaliste
En dessous d’un jour par mois, on entretient une illusion de conformité. Les dispositifs qui produisent des résultats se situent plutôt entre deux et six jours mensuels selon la taille et les échéances.
Une trajectoire de sortie
Le bon dispositif prévoit ce qui se passe ensuite : montée en compétence d’un interne, recrutement à terme, ou maintien durable assumé. Un RSSI externe qui s’installe indéfiniment sans transfert crée une dépendance.
Ce qu’il faut regarder dans le contrat
- Le volume et sa répartition : des jours répartis ou concentrés, ce n’est pas le même service.
- La disponibilité en cas d’incident : délai de rappel, astreinte, facturation associée.
- Les livrables attendus : sans livrable défini, la prestation devient une présence.
- La réversibilité : que récupérez-vous si vous arrêtez ? La documentation doit vous appartenir et rester chez vous.
- La confidentialité et l’absence de conflit d’intérêts, en particulier si le prestataire vend aussi de l’intégration.
Le signal d’alerte
Si votre RSSI à temps partagé passe l’essentiel de ses jours à produire des documents que personne ne lit, le dispositif a dérivé. La production documentaire est un moyen, pas la prestation.
Un bon indicateur : à la fin de l’année, combien de décisions ont été prises et appliquées ? Si la réponse est zéro, le problème n’est pas le volume de jours.
Aller plus loin
Nous intervenons dans ce format en gouvernance, risques et conformité, généralement en régie avec un volume mensuel défini. Nos profils sont consultables ici.