Combien coûte un RSSI ?

Trois modèles, et l'absence de RSSI

Le tableau ci-dessous compare les trois modèles les plus courants, puis la situation d'une entreprise sans RSSI. Les montants sont des fourchettes arrondies. Le salaire s'appuie sur les études CESIN / OpinionWay 2024 et Robert Half 2027, majoré des charges patronales d'un cadre : un coût employeur d'environ 1,45 fois le salaire brut, selon le simulateur de l'Urssaf. Les tarifs journaliers sont des pratiques observées sur le marché : ils varient selon le profil et la mission.

Dernière ligne à lire avec prudence : sans RSSI, les risques demeurent et personne ne les pilote. Leur coût apparaît le jour d'un incident, d'un audit client ou d'un contrôle.

Ce qui fait varier le coût et le tarif d'un prestataire cyber

À modèle égal, plusieurs facteurs déplacent le coût vers le haut ou vers le bas :

• La maturité de départ. Une entreprise qui n'a ni politique de sécurité, ni cartographie de son système d'information, ni plan de réponse à incident demande plus de jours au début, le temps de poser les bases.
• Le périmètre. Le nombre de sites, d'applications, de filiales, de prestataires critiques et de données sensibles fait varier la charge de travail.
• Les exigences à satisfaire. Se préparer à la directive NIS 2 ou à une certification ISO 27001 demande davantage de temps qu'une simple hygiène informatique : documents, preuves, audits internes, revues de direction.
• La présence sur site. Un RSSI qui intervient sur site, ou à des horaires contraints, coûte plus cher qu'un RSSI qui travaille à distance et se déplace pour les comités.
• Le secteur. Santé, industrie, finance ou secteur public imposent des contraintes propres, et les profils qui les connaissent sont plus recherchés.
• La région. L'Île-de-France se situe en général au-dessus des autres régions, pour les salaires comme pour les tarifs journaliers.

Combien de temps faut-il vraiment ?

Le nombre de jours par mois est la variable qui compte le plus. Pour une PME, 1 à 2 jours par mois suffisent en général à tenir la fonction : fixer les priorités, suivre les chantiers, présenter l'état des risques à la direction, arbitrer avec le DSI. Une ETI, avec plus de systèmes et plus de parties prenantes, a besoin de 3 à 4 jours par mois.

Ces volumes ne sont pas constants. Les premiers mois demandent plus de temps : état des lieux, politique de sécurité, plan d'actions. Une mise en conformité ou une certification en demande à nouveau. Le rythme de croisière, lui, est plus léger : un point mensuel, un comité de sécurité plusieurs fois par an, la préparation des exercices de crise.

À l'inverse, un temps trop court a un coût : le RSSI n'a plus le temps de suivre les chantiers, le plan d'actions s'enlise et le budget est dépensé sans effet. Fixez le volume d'après les objectifs à atteindre, puis vérifiez qu'il tient dans le budget.

Les coûts cachés d'un recrutement

Le salaire ne dit pas tout. Recruter un RSSI salarié entraîne d'autres dépenses, qui pèsent surtout dans une PME.

• Le recrutement lui-même. Les honoraires d'un cabinet de recrutement représentent une part du salaire brut annuel : environ 15 à 30 k€ selon les pratiques observées sur le marché, payés une seule fois.
• Le temps de vacance. Compter 4 à 6 mois avant l'entrée en poste, par prudence. Pendant ce temps, la fonction n'est pas tenue et les chantiers attendent.
• Le coût employeur. Les charges patronales portent le coût d'un cadre à environ 1,45 fois son salaire brut, selon le simulateur de l'Urssaf.
• La rotation. Chaque départ relance le recrutement : son coût et le délai de vacance se répètent.
• L'isolement. Un RSSI seul dans une PME n'a personne avec qui confronter ses décisions ni de relais en cas d'absence. La continuité de la fonction repose sur une seule personne.
• Les moyens. Formation continue, veille, outils et budget d'audit s'ajoutent au salaire pour que le poste soit réellement efficace.

Un recrutement se justifie quand la charge de travail occupe durablement un poste à temps plein. En dessous, un RSSI à temps partagé fournit la même fonction pour une fraction du coût, avec un délai de mise en place beaucoup plus court.