Gestion de la cybersécurité externalisée (RSSI à temps partagé) : à partir de quel effectif ou CA est-ce rentable ?

« Nous ne sommes pas assez nombreux pour ça. » C’est la réponse la plus fréquente que nous entendons chez SkillX quand nous évoquons la gestion cybersécurité externalisée auprès de dirigeants de PME de 30, 60 ou même 120 salariés. Cette conviction repose sur une intuition compréhensible : la fonction de responsable de la sécurité des systèmes d’information évoque des grands groupes, des comités de direction et des budgets à six chiffres. Elle n’a, dans l’esprit de beaucoup, rien à faire dans une entreprise de taille modeste.

Cette intuition est pourtant trompeuse, et elle coûte cher à ceux qui s’y fient sans la vérifier. Le seuil de rentabilité d’un pilotage sécurité externalisé ne se mesure pas uniquement en nombre de salariés ou en millions de chiffre d’affaires. Il dépend d’une combinaison de facteurs : exposition réglementaire, sensibilité des données traitées, dépendance au système d’information, exigences des clients ou des assureurs. Une PME de 40 personnes qui traite des données de santé peut avoir davantage besoin d’un RSSI externalisé qu’une ETI de 300 salariés dont l’activité repose peu sur le numérique.

Cet article détaille les seuils d’effectif et de chiffre d’affaires observés sur le marché français, la méthode pour calculer le retour sur investissement d’une gestion cybersécurité externalisée, et les signaux qui doivent compter davantage que la taille brute de votre entreprise dans cette décision.

La taille seule ne répond pas à la question

Chercher un seuil universel, un effectif magique à partir duquel externaliser sa sécurité « devient rentable », revient à poser la mauvaise question. Deux entreprises de 80 salariés peuvent avoir des besoins radicalement différents selon qu’elles opèrent dans l’agroalimentaire local ou dans l’édition de logiciels pour le secteur bancaire. La seconde manipule des actifs numériques critiques et des exigences contractuelles de sécurité strictes ; la première, beaucoup moins.

Ce que la taille indique en réalité, c’est la probabilité statistique d’avoir atteint un niveau de complexité qui justifie un pilotage dédié de la sécurité. Plus une entreprise grandit, plus elle accumule d’applications, de prestataires, de flux de données et de collaborateurs disposant d’accès sensibles. Chaque ajout augmente la surface de risque et la difficulté à la piloter sans une fonction identifiée pour le faire. La taille est donc un indicateur indirect, pas une cause.

Pourquoi le seuil des 50 salariés revient si souvent

Le chiffre de 50 salariés apparaît régulièrement dans les discussions sur la gestion cybersécurité externalisée des PME, et ce n’est pas un hasard. C’est le seuil à partir duquel une entreprise franchissant également 10 millions d’euros de chiffre d’affaires peut entrer dans le champ d’application de la directive européenne NIS2, selon son secteur d’activité. C’est aussi, empiriquement, le point où l’informatique cesse d’être gérée de façon informelle par un responsable IT généraliste et commence à nécessiter une gouvernance structurée.

En dessous de ce seuil, la sécurité repose souvent sur une seule personne qui cumule les casquettes : administrateur système, support utilisateur, parfois même comptabilité ou RH. Au-delà, la complexité dépasse ce qu’une personne peut piloter seule sans méthode ni vision d’ensemble, même avec de la bonne volonté. C’est précisément l’écart que le RSSI externalisé vient combler, sans nécessiter un recrutement à temps plein.

Les seuils observés sur le terrain, tranche par tranche

Sur la base des missions que nous menons chez SkillX auprès de PME et d’ETI françaises, quatre tranches se dégagent avec des logiques de rentabilité différentes.

• En dessous de 20 salariés, l’externalisation reste rarement justifiée sur le seul plan économique, sauf cas particulier : start-up manipulant des données sensibles dès sa création, cabinet traitant des dossiers médicaux ou juridiques, ou entreprise sous-traitante d’un grand compte imposant des clauses de sécurité strictes dans son contrat. Pour la majorité des très petites structures, un accompagnement ponctuel, un audit initial et une sensibilisation des équipes suffisent à couvrir l’essentiel du risque.
• Entre 20 et 50 salariés, la situation devient un point de bascule. Le chiffre d’affaires, le secteur et la dépendance au numérique deviennent déterminants. Une agence de communication de 35 personnes n’a pas le même profil de risque qu’une entreprise industrielle de 35 salariés pilotant des automates connectés. Dans cette tranche, l’analyse doit être individualisée plutôt que basée sur des règles générales.
• Entre 50 et 250 salariés, la démarche devient rentable dans la grande majorité des cas. L’entreprise a généralement atteint une complexité informatique suffisante, dispose d’un budget IT structuré, et se trouve fréquemment concernée par des obligations réglementaires ou contractuelles. C’est la tranche où le rapport coût-bénéfice est le plus favorable : le coût d’un forfait mensuel reste contenu, alors que la valeur apportée en pilotage, en conformité et en réduction du risque devient significative.
• Au-delà de 250 salariés, la question n’est plus vraiment de savoir si un pilotage externe est rentable, mais s’il reste suffisant. C’est souvent à ce stade que l’arbitrage entre RSSI externalisé et DSI se pose concrètement : beaucoup d’ETI de cette taille finissent par internaliser un RSSI à temps plein, éventuellement appuyé par un cabinet externe pour des missions spécifiques comme un audit annuel ou une préparation à une certification.

Calculer le retour sur investissement d’une gestion cybersécurité externalisée

Le coût de ne rien faire

La première erreur dans le calcul de rentabilité consiste à comparer le coût d’un pilotage externalisé à zéro, comme si l’absence de gouvernance sécurité ne coûtait rien. C’est faux, et le coût réel se révèle souvent au pire moment : lors d’un incident. Une PME victime d’un ransomware subit en moyenne plusieurs jours d’arrêt d’activité, sans compter les coûts de restauration, l’éventuelle perte de données, et les conséquences commerciales d’une indisponibilité prolongée envers ses clients.

À cela s’ajoute un coût moins visible mais tout aussi réel : celui des occasions manquées. Une entreprise sans pilotage cyber structuré perd régulièrement des appels d’offres ou des contrats avec de grands comptes qui exigent désormais un niveau de maturité vérifiable en sécurité. La gestion cybersécurité externalisée, dans ce cas, ne représente pas seulement une dépense de protection, mais un investissement commercial.

Le coût comparé à un recrutement interne

Le deuxième axe de comparaison porte sur le coût d’un RSSI salarié à temps plein. En France, ce profil senior représente une charge totale employeur qui se situe le plus souvent entre 110 000 et 170 000 euros par an, sans compter le temps de recrutement, qui dépasse fréquemment six mois pour un profil expérimenté, ni le risque de turnover sur une fonction où la pénurie de compétences reste forte.

Le coût d’un RSSI externalisé, facturé en moyenne entre 1 500 et 6 000 euros par mois selon la taille de l’entreprise et le périmètre de la mission, représente donc une fraction de cette charge pour un niveau d’expertise souvent équivalent, voire supérieur, puisque le prestataire mutualise son expérience sur plusieurs missions et secteurs. Le calcul de rentabilité doit intégrer cette comparaison directe, plutôt que de considérer l’externalisation isolément comme une charge supplémentaire.

Les signaux qui comptent plus que la taille

Au-delà des seuils chiffrés, certains signaux indiquent qu’une entreprise a atteint un niveau de risque qui justifie un accompagnement dédié, quelle que soit sa taille exacte.

• L’assujettissement à certaines normes type NIS2 constitue le signal le plus direct : dès qu’une entreprise entre dans le champ d’application de la directive, la gouvernance de la sécurité devient une obligation portée par la direction, ce qui rend la gestion externalisée particulièrement pertinente pour structurer rapidement une réponse conforme, généralement à partir d’un audit de cybersécurité initial.
• Les exigences contractuelles des clients grands comptes se multiplient également. De plus en plus de cahiers des charges incluent des clauses de sécurité, des questionnaires de maturité cyber ou des exigences de certification que les PME sous-traitantes doivent satisfaire pour continuer à travailler avec leurs donneurs d’ordre.
• La souscription à une assurance cyber pousse aussi de nombreuses entreprises vers l’externalisation, car les assureurs demandent désormais des preuves de gouvernance sécurité, parfois même la présence d’un référent identifié, avant d’accepter certaines garanties ou avant de fixer une prime raisonnable.
• Le traitement de données sensibles, qu’il s’agisse de données de santé, de données financières ou de données personnelles en volume important, augmente mécaniquement l’exposition réglementaire et l’attractivité de l’entreprise pour des attaquants, indépendamment de sa taille.

Enfin, une phase de transformation numérique intense, migration vers le cloud, déploiement d’un nouvel ERP, ouverture à de nouveaux marchés, crée une fenêtre où les risques augmentent rapidement et où un pilotage structuré évite que les décisions techniques ne s’accumulent sans cohérence d’ensemble.

Notre outil de calcul de votre score de cybersécurité Évaluez rapidement et gratuitement votre niveau de cybersécurité grâce à notre outil en ligne. Votre entreprise est-elle suffisamment protégée face aux risques cyber ? Calculez votre score de cybersécurité en quelques minutes et identifiez vos premiers axes d’amélioration pour mieux sécuriser vos systèmes d’information. ● Calculer mon score cyber

Quand ce n’est probablement pas encore le bon moment

Toutes les PME n’ont pas besoin d’une gestion cybersécurité externalisée dès aujourd’hui, et il serait malhonnête de prétendre le contraire. Une très petite entreprise sans données sensibles, sans exigence réglementaire particulière et avec un budget IT limité tirera davantage de valeur d’un audit ponctuel et d’une sensibilisation de ses équipes que d’une mission récurrente de pilotage. Dans ce cas, mieux vaut construire les fondations avant d’ajouter une couche de gouvernance qui resterait sous-utilisée.

Le bon réflexe consiste alors à commencer par un diagnostic de maturité cyber, qui révèle objectivement le niveau de risque réel de l’entreprise, plutôt que de se fier à une intuition sur sa taille ou son secteur.

Comment évaluer votre propre seuil de rentabilité

Trois questions permettent d’objectiver la décision, indépendamment de tout seuil théorique. Combien coûterait, en jours d’arrêt et en perte de confiance client, un incident majeur touchant votre système d’information aujourd’hui ? Quelles obligations réglementaires ou contractuelles pèsent déjà sur votre entreprise, ou pèseront dans les douze prochains mois avec l’extension progressive de NIS2 ? Et surtout, qui, dans votre organisation actuelle, porte réellement la responsabilité de la sécurité au quotidien, avec le temps et l’expertise nécessaires pour le faire sérieusement ?

Si la réponse à cette dernière question révèle un flou, une personne surchargée ou une absence pure et simple de pilotage, la taille de votre entreprise devient secondaire face à l’urgence de structurer cette fonction, même à temps partagé.

Ce que la taille ne dit pas

Le seuil de rentabilité d’une gestion cybersécurité externalisée ne se lit pas uniquement sur un organigramme ou un bilan comptable. Il se mesure à l’aune de votre exposition réelle : réglementaire, contractuelle, technique. Une PME de 60 salariés bien identifiée dans son risque peut avoir davantage besoin de ce pilotage qu’une entreprise deux fois plus grande mais moins exposée. C’est cette exposition, plus que l’effectif affiché, qui devrait guider la décision, avant même de parler de budget ou de recrutement.