vRSSI face au RSSI interne : quand chaque modèle a du sens

Une comparaison honnête du RSSI virtuel et du RSSI interne pour les entreprises moyennes européennes. Critères de décision, pas argumentaire de vente.

vRSSI face au RSSI interne : quand chaque modèle a du sens

Le modèle de RSSI virtuel va être survendu au cours des dix-huit prochains mois. La raison est directe : c'est le service le plus facile à packager pour une boutique de cybersécurité et la réponse la plus défendable pour une entreprise moyenne qui sait qu'elle a besoin d'un leadership en cybersécurité mais ne peut justifier un recrutement sénior à temps plein. Nous proposons ce service. Nous le refusons aussi lorsque l'entreprise en face de nous serait mieux servie en recrutant un RSSI interne. Cet article porte sur les critères que nous utilisons pour décider.

Nous n'aborderons pas les grandes entreprises (plus de 1 500 salariés, juridictions multiples, fonctions de sécurité dédiées dans de nombreux domaines). À cette échelle, la question n'est pas vRSSI face au RSSI interne ; c'est RSSI plus RSSI adjoint plus responsable des opérations de sécurité plus responsable GRC, et un vRSSI n'entre pas dans la conversation. Nous aborderons l'entreprise moyenne européenne réaliste : 80 à 800 salariés, une à trois juridictions, une équipe de sécurité qui compte aujourd'hui entre zéro et quatre personnes.

Ce que font les deux rôles (et ce qu'ils ne font pas)

Avant de comparer, il convient de préciser à quoi sert la fonction RSSI. En contexte moyen, elle couvre au minimum :

La propriété du risque et de la conformité. Traduire la réglementation (NIS2, RGPD, réglementation sectorielle) en un programme que l'entreprise peut exécuter.
La gouvernance. Ligne de reporting vers l'organe de direction, rapports au conseil, alignement avec l'audit et le juridique.
La stratégie. Une feuille de route cybersécurité à 12-36 mois avec budget, jalons et une définition claire de ce que signifie « assez bon » pour cette entreprise.
La reddition opérationnelle. Responsabilité finale sur les contrôles, même lorsque les opérations sont déléguées à une équipe ou à un prestataire géré.
La représentation externe. Conversations avec les régulateurs, avec les équipes de sécurité des clients dans les cycles commerciaux, avec les assureurs, avec les auditeurs.

Ce qu'un RSSI n'est pas, en contexte moyen, c'est l'ingénieur qui configure le SIEM, l'analyste qui trie les alertes, le consultant qui exécute le pentest ni l'avocat qui révise le contrat de traitement des données. Le rôle est le leadership ; le travail se délègue.

Que le leadership soit virtuel ou interne, la fonction est la même. La question est de savoir quel modèle de livraison convient à quelle entreprise.

Quand un vRSSI est la bonne réponse

Un vRSSI fonctionne lorsque trois conditions sont simultanément réunies.

Condition 1 · Le programme est en mode construction, pas opération

Un vRSSI convient très bien lorsque l'entreprise monte son programme de cybersécurité pour la première fois, ou lorsqu'un programme existant a dérivé et nécessite une restructuration. Le travail est lourd en conception, sélection de cadre, rédaction de politiques, mise en place de la gouvernance et première ronde d'évaluation des risques. Ces activités bénéficient de la perspective externe et de quelqu'un qui a vu les mêmes schémas dans 30 autres entreprises.

Un vRSSI convient mal lorsque le programme est en opération stable et que le travail dominant est la continuité opérationnelle, la gestion des incidents et de petites améliorations incrémentales. La friction d'un dirigeant externe se remettant à jour sur le contexte toutes les deux semaines érode l'efficacité.

Condition 2 · L'entreprise peut absorber une présence fractionnée

Un vRSSI est généralement engagé entre 1 et 5 jours par mois, parfois avec des pics lors de réponses à incidents ou d'audits. Cela requiert que :

La direction accepte un dirigeant non présent physiquement chaque jour.
Il existe au moins une personne interne (souvent appelée « security champion » ou « responsable des opérations de sécurité ») qui maintienne le quotidien entre les sessions du vRSSI.
Les schémas de communication soient matures : décisions documentées, mises à jour asynchrones, un calendrier qui respecte l'engagement externe.

Les entreprises dans lesquelles l'équipe dirigeante a besoin de voir le dirigeant chaque jour, ou dans lesquelles chaque décision requiert sa présence, ne sont pas des entreprises vRSSI. Ce sont des entreprises de RSSI interne et il convient de le leur dire.

Condition 3 · L'économie favorise vraiment la dédication fractionnée

Un RSSI interne moyen entièrement chargé (salaire, cotisations, équipement, formation) est un coût fixe significatif au compte de résultat. Une mission vRSSI à 3 jours/mois aux tarifs typiques d'une boutique moyenne est une fraction de ce coût fixe, dont la taille dépend du périmètre de la mission. Nous ne publions pas de chiffres dans cet article parce que la proportion réaliste dépend véritablement de la localisation, du niveau de séniorité et de l'intensité de la mission. Le test honnête est de vérifier si le périmètre vRSSI proposé et le périmètre du RSSI interne proposé sont comparables ; s'ils le sont, la mission fractionnée sort clairement en tête en coût.

Si le travail tient véritablement en 3-5 jours/mois, l'économie favorise le vRSSI. Si le travail a été comprimé à 3 jours/mois parce que le budget ne permettait pas davantage, l'entreprise paie pour un dirigeant et reçoit un consultant partiel. C'est le pire des deux mondes.

Quand un RSSI interne est la bonne réponse

L'image inversée de ce qui précède. Un RSSI interne est la réponse lorsque l'un ou plusieurs des cas suivants se présentent :

Raison 1 · La charge réglementaire justifie une présence quotidienne

Les entités essentielles NIS2 dans des secteurs à dialogue réglementaire continu (énergie, santé, infrastructure financière) tendent à avoir besoin d'un dirigeant en salle chaque jour. L'horloge de notification, les conversations avec le superviseur et les obligations sectorielles ne tiennent pas confortablement dans une cadence de 3 jours/mois.

Raison 2 · L'entreprise est dans une opération de M&A

Une entreprise qui se prépare à être acquise ou qui en acquiert d'autres a besoin d'un RSSI capable d'être en due diligence, planification d'intégration et consolidation post-acquisition. Ces activités sont intensives en calendrier et exigent de la continuité. Un vRSSI peut appuyer ; le dirigeant nommé de la fonction pendant une transaction doit être interne.

Raison 3 · Le programme de cybersécurité est déjà mature

Si l'entreprise dispose d'un programme bien documenté, d'une équipe stable de 3 à 8 personnes et que le travail est dominé par l'amélioration continue et l'excellence opérationnelle, un RSSI interne dirigeant et développant l'équipe est un meilleur investissement qu'un dirigeant externe en rotation fractionnée.

Raison 4 · La culture récompense la reddition visible

Dans certaines cultures d'entreprise, le dirigeant de cybersécurité doit être à chaque lancement de produit, chaque onboarding de client, chaque revue d'architecture. Ce n'est pas une mauvaise culture ; c'est un modèle opérationnel spécifique. Un vRSSI ne s'y adaptera pas.

Quand aucun des deux n'est la réponse

Nous avons conseillé, à une poignée d'occasions, des entreprises qui n'avaient pas encore besoin d'un RSSI. Les critères du « pas encore » sont étroits : l'entreprise est petite (moins de 50 salariés), l'exposition réglementaire est réellement faible, la sensibilité des données est réellement faible et il existe un responsable informatique sénior capable de porter la fonction cyber dans le cadre de son rôle avec un conseil externe sur des sujets spécifiques.

C'est la conversation honnête que certaines boutiques n'auront pas, parce que chaque conversation qu'elles laissent passer est un revenu perdu. Nous la laissons passer lorsque c'est la bonne chose à faire. Cela arrive.

Le modèle hybride et pourquoi il échoue souvent

Un schéma fréquent est l'hybride : un dirigeant interne de cybersécurité de séniorité moyenne et un vRSSI sénior en forfait pour la stratégie et la relation avec le conseil. Sur le papier, il combine le meilleur. En pratique, il fonctionne dans deux scénarios et échoue dans beaucoup d'autres.

Il fonctionne lorsque les rôles sont nettement séparés (l'interne mène les opérations et la réponse, le vRSSI mène la stratégie et le conseil) et lorsqu'il y a respect mutuel et règles d'escalade claires.

Il échoue lorsque la frontière est floue, lorsque l'interne ressent l'autorité du vRSSI sur l'accès au conseil ou lorsque le conseil ne sait pas qui est responsable d'une décision concrète. Nous l'avons vu échouer cher dans trois missions où nous sommes entrés en remplacement.

Cadre de décision en une page

Question	Si oui, vers vRSSI	Si oui, vers RSSI interne
Le programme est en construction ou restructuration	Oui
Le programme est en opération stable		Oui
3-5 jours/mois tiennent véritablement dans le travail	Oui
Le travail exige une présence quotidienne		Oui
Le secteur a un dialogue réglementaire continu		Oui
Le secteur est B2B avec réglementation modérée	Oui
L'entreprise est en opération de M&A		Oui
L'entreprise a une équipe de sécurité stable de 3+		Oui
L'entreprise a une équipe de sécurité de 0-1 personne	Oui
Le budget soutient vraiment la dédication fractionnée	Oui
Le budget a été comprimé pour tenir dans le tarif fractionné		Oui
La culture du conseil accepte un dirigeant non résident	Oui
La culture du conseil exige un dirigeant résident		Oui

Si votre décompte penche fortement d'un côté, la décision est prise. S'il se répartit, la conversation est plus nuancée et requiert probablement une perspective externe sans intérêt commercial dans la réponse.

> « Nous avons perdu des missions vRSSI auprès d'entreprises qui, après notre conversation diagnostique, ont recruté un RSSI interne. Nous ne les comptons pas comme des pertes. Nous les comptons comme des missions bien placées. » — Revue interne IBL, 2026

Ce que nous faisons chez IBL

Nous proposons le vRSSI en trois intensités : 1 jour/mois (gouvernance légère seulement), 3 jours/mois (périmètre moyen typique) et 5 jours/mois (avec semaines de pic durant audits et incidents). Nous refusons les missions où nous croyons qu'un RSSI interne est la bonne réponse ; dans ces cas, nous pouvons aider à la recherche et à la définition du rôle pour un forfait ponctuel.

Si vous souhaitez discuter de la pertinence d'un vRSSI pour votre entreprise, écrivez à [email protected]. Nous répondons dans un jour ouvrable.

OCIRIA est un cabinet de conseil boutique en cybersécurité basé à Málaga, en Espagne, avec une équipe opérationnelle en Roumanie. Nous travaillons avec des entreprises moyennes européennes qui préfèrent l'honnêteté technique à l'emballage commercial. Nous avons été fondés en 2026 ; nous n'inventons pas une histoire plus longue.

Lectures connexes

Programmes de sensibilisation qui fonctionnent vraiment : 5 métriques qui cessent d'être du théâtre (cluster T4)
Tier-1 face au tier-2 chez les prestataires de cybersécurité : comment choisir selon votre taille
Auto-évaluation NIS2 : 25 questions pour savoir si votre entreprise est conforme (cluster pilier T3)

Étiquettes : vrssi, leadership, entreprise-moyenne, cadre-decision, gestion-cybersecurite, gouvernance