Publié le — par Matthieu Roland
La directive NIS2, transposée en Belgique par la loi du 26 avril 2024, ne cite pas le mot « RSSI ». Elle fait pourtant de la gouvernance de la sécurité une obligation légale dont la direction répond personnellement. Pour les PME et moyennes entreprises belges, souvent sans expert sécurité en interne, le RSSI externalisé à temps partagé (aussi appelé CISO as a Service) est devenu la réponse la plus pragmatique : la séniorité d'un responsable sécurité expérimenté, quelques jours par mois, sans les délais ni le coût d'un recrutement à temps plein.
Deux articles de la loi belge rendent la fonction incontournable :
Ajoutez les obligations opérationnelles — notification des incidents significatifs au CCB en 24 h (alerte précoce), 72 h (notification) et 1 mois (rapport final), enregistrement sur Safeonweb@Work, préparation aux inspections du CCB — et le constat s'impose : sans responsable sécurité désigné, une entité NIS2 ne tient pas ses obligations dans la durée. C'est en ce sens que NIS2 impose « de fait » un RSSI, même si le titre n'est pas exigé.
Le marché belge de l'emploi cyber est structurellement tendu : les profils de RSSI expérimentés — capables à la fois de dialoguer avec un comité de direction, de piloter un référentiel comme CyFun ou ISO 27001 et de gérer un incident — sont rares, courtisés et chers. Pour une entreprise de 50 à 250 personnes, recruter un tel profil à temps plein est souvent difficile à justifier : la charge de travail réelle représente quelques jours par mois une fois la mise en conformité initiale réalisée. Résultat : des recrutements qui traînent, des postes confiés par défaut au responsable IT (juge et partie), et une gouvernance qui reste sur papier. Le temps partagé résout précisément cette équation.
| Critère | RSSI externalisé (temps partagé) | RSSI salarié à temps plein |
|---|---|---|
| Coût indicatif | 2 000 – 7 000 € / mois pour 2 à 5 jours (estimation de marché) | Package souvent supérieur à 120 000 € / an charges comprises pour un senior (estimation de marché belge) |
| Délai de démarrage | Quelques semaines | 4 à 9 mois de recrutement, plus la période d'intégration |
| Séniorité | Profil senior d'emblée, nourri par plusieurs contextes clients | Variable selon le budget ; les seniors sont rares sur le marché |
| Flexibilité | Volume de jours ajustable selon les phases du projet | Coût fixe, quelle que soit la charge réelle |
| Continuité | Backup possible au sein de l'équipe du prestataire | Risque de départ et de perte de connaissance |
| Indépendance | Regard externe, distinct de l'IT interne | Risque de cumul de casquettes IT et sécurité |
| Présence quotidienne | Limitée aux jours contractuels (à compléter par des relais internes) | Permanente — pertinent au-delà d'une certaine taille |
Les montants sont des estimations de marché indicatives, pas des tarifs : chaque mission dépend du périmètre, du secteur et de la maturité de l'organisation.
Au-delà d'une certaine taille — typiquement les grandes entités essentielles des secteurs de l'énergie, de la santé ou de la finance (où DORA s'ajoute à NIS2) — un RSSI interne à temps plein se justifie pleinement ; le temps partagé sert alors de renfort ou de transition.
Le bon contrat définit un socle mensuel de jours, un mécanisme d'ajustement, des livrables identifiés et une clause de réversibilité (transfert de la documentation et des accès en fin de mission).
Chez Cryptaguard, la mission de RSSI à temps partagé s'inscrit dans notre offre de cyber-gouvernance et audit, portée par Matthieu Roland, expert NIS2 / RSSI. Pour situer d'abord votre niveau de maturité, commencez par le quiz d'auto-évaluation NIS2 ; pour cadrer le budget global, consultez notre analyse du coût d'une mise en conformité NIS2.
Un RSSI externalisé est un responsable de la sécurité des systèmes d'information mis à disposition par un prestataire, quelques jours par mois, pour assurer la gouvernance sécurité d'une organisation : politiques, gestion des risques, pilotage de la conformité (CyFun, ISO 27001, NIS2), gestion des incidents et reporting à la direction. On parle aussi de CISO as a Service ou de RSSI à temps partagé.
La loi belge du 26 avril 2024 n'impose pas formellement le titre de RSSI. Mais l'article 30 exige des mesures de gestion des risques couvrant notamment les politiques de sécurité, la gestion des incidents et la continuité, et l'article 32 rend les organes de direction responsables de l'approbation et de la supervision de ces mesures, avec obligation de formation. En pratique, il faut donc quelqu'un qui porte cette gouvernance au quotidien : c'est le rôle du RSSI, interne ou externalisé.
À titre d'estimation de marché purement indicative, une mission de RSSI à temps partagé en Belgique se situe souvent entre 2 000 et 7 000 € par mois pour 2 à 5 jours de présence mensuelle, selon la séniorité du profil et la complexité du périmètre. À comparer, toujours à titre indicatif, au package salarial annuel d'un RSSI senior à temps plein, souvent supérieur à 120 000 € charges comprises sur le marché belge. Ces chiffres sont des estimations de marché : chaque cas varie.
Tout dépend de la taille et de la phase du projet : 1 à 2 jours par mois suffisent souvent pour du maintien en conditions de conformité dans une PME ; 3 à 5 jours par mois pour piloter activement une mise en conformité CyFun Important ou Essential ; davantage pendant les phases intensives (préparation d'une certification, gestion d'un incident majeur). Un bon contrat prévoit un socle mensuel ajustable.
Non. L'article 32 de la loi belge NIS2 fait peser la responsabilité de l'approbation et de la supervision des mesures de cybersécurité sur les organes de direction, qui doivent en outre suivre une formation adaptée. Le RSSI externalisé outille et éclaire cette responsabilité (reporting, indicateurs, dossiers de décision), mais il ne s'y substitue pas juridiquement.
Parlons de votre contexte : classification NIS2, niveau CyFun visé, échéances. Nous vous proposons un modèle d'engagement adapté — et rien de plus que nécessaire.