Un responsable de la sécurité des systèmes d'information qui prend le poste le temps d'un recrutement, d'une transformation ou d'une échéance réglementaire, ou qui l'occupe à temps partagé lorsque votre organisation n'a pas besoin d'un RSSI à plein temps. Nous vous présentons 1 ou 2 profils évalués, y compris sur leur pratique de l'IA, en moins de 48h.
Par Hugo Brisset · Mis à jour le
Le RSSI (responsable de la sécurité des systèmes d'information, ou CISO) définit la stratégie de sécurité de l'organisation, la fait valider par la direction et en pilote l'exécution. Il porte la politique de sécurité, arbitre les priorités et le budget, suit les risques, encadre les équipes et les prestataires de sécurité, rend compte au comité de direction et prend la main lorsqu'un incident majeur survient. Le RSSI de transition exerce ce rôle pour une durée définie : vacance de poste, création de la fonction, programme de mise en conformité, reconstruction après une cyberattaque. Le RSSI à temps partagé, parfois appelé CISO as a service, l'exerce un ou plusieurs jours par semaine pour des PME et des ETI qui n'ont pas la taille justifiant un poste à plein temps.
La réglementation explique une large part de la demande. La directive NIS2 étend les obligations de cybersécurité à de nombreuses entités et fait peser sur les organes de direction l'approbation et le suivi des mesures de sécurité. En France, sa transposition par le projet de loi dit Résilience n'est pas encore achevée en octobre 2026 : adopté par le Sénat en mars 2025, le texte attend toujours son examen en séance publique à l'Assemblée nationale, et la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026. L'ANSSI a publié en mars 2026 une version de travail de son référentiel ReCyF, sur laquelle les entités concernées peuvent déjà s'appuyer. Dans la finance, le règlement DORA s'applique depuis le 17 janvier 2025, et la certification ISO 27001 reste attendue par de nombreux donneurs d'ordre. Ces chantiers exigent un pilote identifié, que beaucoup d'organisations n'ont pas encore.
L'IA transforme aussi la fonction, sur trois plans. Elle aide le RSSI à produire plus vite une synthèse de risques, une note au comité de direction ou une analyse de questionnaire fournisseur. Elle renforce les attaquants, avec un hameçonnage plus crédible et une reconnaissance accélérée. Enfin, elle arrive dans l'entreprise par tous les côtés : assistants grand public utilisés sans cadre, agents connectés aux données internes, fonctionnalités d'IA ajoutées par les éditeurs. Le RSSI doit encadrer ces usages au regard de l'AI Act et de la norme ISO 42001, sans bloquer les équipes. Un bon RSSI sait utiliser l'IA et sait la gouverner. C'est ce que nous évaluons.
Les besoins que les entreprises confient le plus souvent à un RSSI de transition ou à temps partagé.
Reprise des dossiers en cours, maintien de la gouvernance et des comités, pilotage des prestataires de sécurité, continuité de la relation avec la direction et les auditeurs, puis passation au RSSI recruté.
État des lieux, analyse de risques, politique de sécurité, organisation et rôles, premières mesures prioritaires, budget et feuille de route pluriannuelle présentés au comité de direction.
Qualification de l'organisation, analyse d'écarts au regard du référentiel ReCyF, du règlement DORA ou de la norme, priorisation, coordination des consultants GRC et des équipes techniques, suivi devant la direction.
Pilotage de la sortie de crise avec les équipes de réponse à incident, relation avec l'ANSSI, la CNIL et l'assureur, reconstruction sécurisée, retour d'expérience et plan de durcissement.
Présence d'un à deux jours par semaine dans une PME ou une ETI : comité sécurité, suivi des risques et des indicateurs, réponse aux questionnaires clients, sensibilisation, arbitrages avec la DSI.
Inventaire des usages, analyse des risques (fuite de données, injection de prompt, agents trop permissifs), règles d'usage, choix des outils autorisés et articulation avec l'AI Act et ISO 42001.
Les normes, réglementations et outils qu'un RSSI de transition mobilise le plus en 2026.
Ce qui nous distingue
Après une préqualification de 5 à 10 minutes, chaque freelance passe un entretien technique et comportemental mené par un ingénieur, en partie en partage d'écran. Nous voulons voir comment le RSSI travaille réellement avec l'IA, pas l'entendre le raconter.
Comment il s'appuie sur l'IA pour préparer une note au comité de direction, synthétiser un registre des risques ou dépouiller des questionnaires fournisseurs, et comment il vérifie ce qu'elle produit. Nous attendons des exemples précis.
Les règles qu'il a posées ou poserait dans une organisation : outils autorisés, données interdites, contrats et hébergement, journalisation. Nous lui demandons de critiquer une charte d'usage de l'IA rédigée trop vite.
Ce qu'il exige avant de laisser un agent accéder à la messagerie, aux fichiers ou à un outil métier : droits minimaux, validation humaine, cloisonnement, traçabilité. Il doit savoir expliquer une injection de prompt indirecte à un comité de direction.
Un Skill, un Subagent, un projet documentaire ou un serveur MCP qui l'aide à tenir un suivi de conformité, préparer ses comités ou répondre aux questionnaires clients, et la manière dont il l'a fait évoluer.
Sans pratique de l'IA illustrée et démontrée, nous ne donnons pas suite.
Tarifs
Ces montants sont des estimations du TJM constaté sur le marché freelance français, hors taxes. Nous communiquons le TJM exact avec les profils, sous 48h.
TJM moyen constaté sur le marché
950 €
Fourchette : 750 € à 1 300 € HT par jour
| Niveau | TJM marché HT | À savoir |
|---|---|---|
| SeniorRSSI à temps partagé dans une PME ou une ETI, gouvernance et suivi d'une feuille de route existante. | 850 € | |
| ExpertIntérim d'un poste de RSSI en ETI, création de la fonction, pilotage d'un programme NIS2 ou ISO 27001. | 1 000 € | |
| Expert grand compteCISO de transition d'un groupe ou d'un acteur régulé (DORA), sortie de crise après une cyberattaque. | 1 200 € |
Source : Estimation de marché établie en octobre 2026 à partir de baromètres publics de TJM freelance en France. Ce ne sont pas des montants facturés par Top Profil. · Free-Work, TJM Responsable sécurité informatique (CISO) · Travail Industrie, simulateur TJM RSSI freelance (2026) · Zeroday Cyber Academy, TJM freelance cybersécurité par métier (2026)
FAQ
Le RSSI de transition occupe le poste : il arbitre les priorités, porte le budget, rend compte à la direction et pilote les incidents. Le consultant GRC apporte une méthode et une capacité de production sur la conformité : analyse de risques, documentation, préparation des audits. Sur un programme NIS2 ou ISO 27001, le RSSI pilote et le consultant GRC exécute une large part du travail.
Le RSSI protège l'ensemble des informations et des systèmes de l'organisation contre les menaces. Le DPO, prévu par le RGPD, veille à la conformité des traitements de données personnelles et conseille le responsable de traitement en toute indépendance. Les deux travaillent ensemble, notamment sur les violations de données. Le cumul des deux fonctions existe, mais la CNIL invite à vérifier l'absence de conflit d'intérêts.
Lorsque le poste est vacant et que le recrutement prendra plusieurs mois, lorsque vous créez la fonction sécurité, lorsqu'une échéance réglementaire ou une certification approche, ou après une cyberattaque qui exige un pilote expérimenté. Un RSSI de transition est opérationnel en quelques jours et peut préparer l'arrivée de son successeur.
Le RSSI intervient un ou deux jours par semaine, parfois moins, selon un rythme fixé à l'avance : comités, suivi des risques, échanges avec la DSI et les prestataires. Il reste joignable en cas d'incident selon des modalités prévues au contrat. Ce format convient aux PME et aux ETI qui ont besoin d'un pilote de la sécurité sans justifier un poste à plein temps.
La responsabilité de la sécurité reste celle de l'organisation et de sa direction ; la directive NIS2 prévoit d'ailleurs que les organes de direction approuvent et supervisent les mesures de gestion des risques. Le RSSI externe exerce le rôle dans le cadre d'une lettre de mission qui précise son périmètre, ses pouvoirs de décision et ses modalités d'escalade. Ce cadre se définit dès le démarrage.
Les baromètres publics situent le TJM d'un RSSI freelance le plus souvent entre 750 et 1 300 € hors taxes, autour de 950 € en moyenne. Le haut de la fourchette correspond aux intérims de grands groupes, aux acteurs régulés et aux sorties de crise. Nous communiquons le TJM exact avec les profils présentés.
Lors d'un entretien mené par un ingénieur, en partie en partage d'écran, nous observons comment il utilise l'IA pour piloter et rédiger, comment il en vérifie les résultats, les règles d'usage qu'il pose dans une organisation et sa compréhension des risques liés aux agents. Sans pratique illustrée et démontrée, nous ne donnons pas suite.
Fiche rédigée par Hugo Brisset, cofondateur de Top Profil.
Publiée le , mise à jour le .
Échangeons 30 minutes sur votre besoin. Nous vous présentons des profils évalués en moins de 48h.
