Pourquoi le RSSI à temps partagé est souvent le bon format pour une PME

Dans la plupart des PME, la question « qui est responsable de la sécurité ? » reçoit une réponse floue : « le prestataire informatique », « le DAF, un peu », « personne, vraiment ». Ce flou n’est pas un détail d’organigramme — c’est la cause racine de la plupart des situations que je rencontre : décisions de sécurité jamais prises, conformité qui stagne, incident géré dans l’improvisation.

Le problème n’est pas le budget, c’est le format

Recruter un RSSI expérimenté à plein temps coûte cher — et surtout, une PME de 30 à 150 personnes n’a généralement pas un plein temps de travail RSSI. Le vrai besoin ressemble plutôt à ceci :

• quelques jours par mois de pilotage régulier,
• une disponibilité quand un client envoie un questionnaire sécurité ou qu’un incident survient,
• une montée en charge ponctuelle pendant une certification ou un audit.

C’est exactement le profil d’un RSSI à temps partagé (ou RSSI externalisé) : un responsable sécurité expérimenté, présent à un rythme régulier, qui porte le sujet dans la durée.

Ce que fait concrètement un RSSI à temps partagé

Sur un mois type, le rôle couvre :

• Gouvernance : tenir la politique de sécurité et le registre des risques à jour, arbitrer les priorités.
• Suivi opérationnel : revue des accès et des départs, suivi des incidents et des vulnérabilités, contrôle des sauvegardes.
• Conformité : piloter les plans d’action ISO 27001, CyberVadis, NIS2 ; répondre aux questionnaires sécurité des clients.
• Humain : sensibiliser les équipes, répondre aux questions du quotidien (« ce mail est-il légitime ? »).
• Direction : un reporting court et honnête — ce qui va, ce qui ne va pas, ce qui est décidé.

Le point clé est la continuité. Un consultant ponctuel repart avec son rapport ; un RSSI à temps partagé revient le mois suivant vérifier que les décisions ont été appliquées. C’est cette boucle qui fait avancer la sécurité, pas l’épaisseur du rapport.

Le cas d’usage le plus net : l’après-certification

Une entreprise qui vient d’obtenir sa certification ISO 27001 découvre vite la suite : le certificat vaut trois ans, avec un audit de surveillance chaque année. Le SMSI doit continuer à vivre — revues, indicateurs, audits internes, amélioration continue. Sans responsable identifié, le système se dégrade en quelques mois et l’audit de surveillance devient une épreuve.

Un format léger — environ un jour par mois — suffit généralement à maintenir un SMSI de PME en bonne santé et à aborder les audits de surveillance sereinement. C’est le prolongement naturel d’un accompagnement de certification.

Les limites du format — soyons honnêtes

Le temps partagé ne convient pas à toutes les situations :

• Il ne remplace pas l’exploitation IT. Le RSSI définit les exigences et vérifie ; quelqu’un — interne ou prestataire — doit opérer au quotidien. Les deux rôles sont complémentaires, et leur séparation est saine.
• Il suppose un minimum d’engagement de la direction. Si aucune décision n’est jamais arbitrée entre deux passages, le format tourne à vide.
• Au-delà d’une certaine taille ou criticité, le besoin devient un vrai poste interne — et un bon RSSI externe doit le dire, voire aider à recruter son successeur.

Comment choisir le bon niveau d’engagement

Ma grille de lecture, en simplifiant :

• ≈ 1 jour/mois : maintien d’un existant sain — SMSI certifié à entretenir, fondamentaux en place.
• ≈ 2 jours/mois : il y a un plan d’action à faire avancer — conformité en cours, sensibilisation à installer, tiers à cadrer.
• ≈ 4 jours/mois : transformation active — démarche de certification, remédiation lourde, projets sécurité.

Le bon format évolue dans le temps : soutenu pendant la construction, léger en régime de croisière.

---

DRYIA propose le RSSI à temps partagé en trois formats, avec un reporting direct à la direction. Le premier échange de cadrage est gratuit.