Le vrai coût d'une absence de RSSI : ce que paient les ETI qui n'ont pas investi

“On n’a pas le budget” : la phrase la plus chère de l’IT

Quand un DSI ou un DG d’ETI dit “on n’a pas le budget pour un RSSI”, il fait un calcul implicite : le coût d’un RSSI est connu (30 à 120K€/an), le coût de ne pas en avoir est inconnu (et donc estimé à zéro)

C’est la mauvaise arithmétique. Le coût d’un RSSI est un investissement prévisible. Le coût de son absence est une dette qui s’accumule silencieusement, et qui se réalise brutalement le jour de l’incident, de l’appel d’offres perdu, ou de la prime d’assurance doublée

Cet article chiffre ce que coûte réellement l’absence de RSSI. Pas pour faire peur, pour permettre un arbitrage éclairé

Les coûts visibles : ceux que tout le monde connaît

Le coût d’un incident

Le coût moyen d’un incident de sécurité pour une ETI française varie selon la taille et le secteur : 300 à 500K€ pour une ETI de moins de 100 salariés, 500K€ à 1.5M€ pour 100-500 salariés, au-delà de 1M€ pour les ETI industrielles avec arrêt de production physique (sources : ANSSI Panorama 2024, IBM Cost of a Data Breach 2024). Pour la suite des calculs, nous prenons 500K€ comme moyenne pondérée des ETI 100-300 salariés (segment majoritaire des lecteurs de cet article, voir notre analyse détaillée dans anatomie d’une cyberattaque sur une ETI). Ce montant inclut :

• Arrêt d’activité (le poste le plus lourd : 30 à 50K€/jour)
• Prestataire de réponse à incident (40 à 80K€)
• Restauration et reconstruction du SI (50 à 150K€)
• Notification RGPD si données personnelles (10 à 30K€)
• Communication de crise (5 à 20K€)

Notre article sur l’anatomie d’une cyberattaque sur une ETI détaille un scénario chiffré à 545K€. Et 43% des ETI subissent au moins une attaque sur 3 ans

Le calcul est simple : 500K€ × 43% = 215K€ de risque moyen sur 3 ans. Soit 72K€/an. C’est déjà plus que le coût d’un RSSI externalisé

Les amendes réglementaires

• RGPD : jusqu’à 4% du CA mondial ou 20M€. En pratique, les amendes pour les ETI vont de 50K€ à 500K€.
• NIS2 : jusqu’à 10M€ ou 2% du CA. Applicable aux ETI de secteurs essentiels depuis 2024.
• DORA : pour les ETI du secteur financier, des sanctions spécifiques sur la résilience opérationnelle

Les régulateurs sont de plus en plus actifs. La CNIL a prononcé 200+ sanctions en 2025 (en hausse de ~50% sur 3 ans), et les ETI ne sont plus épargnées

Les pénalités contractuelles

Les clients grands comptes incluent des clauses de sécurité dans leurs contrats. En cas d’incident affectant leurs données, les pénalités contractuelles s’ajoutent aux coûts de remédiation. Un fournisseur d’un groupe du CAC 40 touché par un ransomware a vu sa pénalité contractuelle atteindre 200K€, en plus du coût de l’incident lui-même

Incidents, amendes, pénalités : ces montants sont chiffrables après coup. Mais la majorité du coût se joue ailleurs : dans des pertes que personne ne comptabilise parce qu’elles ne déclenchent aucune facture

Les coûts invisibles : “ce que votre DAF ne voit pas”

Ces coûts n’apparaissent sur aucune ligne budgétaire. Ils sont pourtant souvent supérieurs aux coûts visibles

Appels d’offres perdus

De plus en plus de donneurs d’ordres (grands groupes, secteur public, industrie réglementée) exigent un questionnaire de sécurité avant même de qualifier un fournisseur. Le questionnaire demande typiquement : avez-vous une politique de sécurité ? Un RSSI identifié ? Des certifications (ISO 27001, SOC2) ? Un PRA testé ?

Sans RSSI, la réponse à ces questions est souvent “non”, “partiellement”, ou un silence gêné. Le fournisseur est éliminé avant même de présenter son offre.

Combien d’appels d’offres avez-vous perdus pour cette raison ? La réponse est : vous ne le savez pas. Le client ne dit jamais “vous avez été éliminé parce que votre sécurité est insuffisante”. Il dit simplement “nous avons retenu un autre fournisseur”

Estimation : pour une ETI B2B dont les clients sont des grands comptes, 1 à 3 appels d’offres perdus par an :

• B2B classique (services, industrie non réglementée) : 30 à 80K€ par appel d’offres perdu, soit 30 à 240K€/an
• B2B secteur réglementé léger (sous-traitance industrielle, ETI fournissant des grands comptes avec questionnaires sécurité légers) : 80 à 150K€, soit 80 à 450K€/an
• B2B secteur réglementé fort (finance, santé, défense, énergie : ISO 27001 ou équivalent exigé) : 150 à 300K€, et un refus de qualification peut bloquer plusieurs années de business

Pour une ETI B2B typique exposée aux questionnaires de sécurité : 100 à 250K€/an de CA manqué (estimation basée sur retours d’expérience Nobori, secteurs où la conformité sécurité est un critère éliminatoire ou fortement discriminant)

Prime d’assurance cyber multipliée

Les assureurs cyber ont durci leurs conditions depuis 2023. Les questionnaires d’assurabilité ressemblent de plus en plus aux questionnaires de sécurité des grands comptes. Sans MFA, sans politique de sécurité, sans sauvegardes testées :

• Soit l’assureur refuse la couverture (30% des ETI qui candidatent en 2025)
• Soit la prime est multipliée par 2 à 3 (passant de 5-8K€/an à 15-25K€/an)
• Soit les exclusions sont si larges que la couverture est illusoire

Le surcoût annuel : 10 à 20K€/an de prime supplémentaire, ou une absence totale de couverture

Temps du DSI détourné

Faute de RSSI, c’est le DSI qui gère la sécurité “en plus” de ses autres responsabilités. D’après nos observations, un DSI d’ETI sans RSSI passe 20 à 30% de son temps sur des sujets sécurité : répondre aux questionnaires clients, gérer les incidents, administrer l’antivirus, superviser les sauvegardes, sensibiliser les équipes de manière informelle

Sur un salaire chargé de 120 à 150K€/an, c’est 25 à 45K€/an de coût d’opportunité théorique. Ce coût suppose que le temps récupéré (20-30% du temps du DSI) serait réinvesti dans des projets à valeur ajoutée. En pratique, le gain principal est qualitatif : le DSI peut se concentrer sur la stratégie plutôt que sur la gestion de crise

Dette de sécurité qui s’accumule

Comme la dette technique, la dette de sécurité croît exponentiellement. Chaque année sans gouvernance de sécurité ajoute :

• Des comptes orphelins non supprimés
• Des mises à jour non appliquées
• Des configurations par défaut jamais durcies
• Des processus manuels non documentés
• Des outils SaaS non audités

Le coût de remédiation augmente de 15 à 25% par an. Une mise en conformité qui coûte 50K€ aujourd’hui en coûtera 65K€ l’année prochaine et 80K€ dans deux ans

Turnover et attractivité

Les ingénieurs et développeurs expérimentés refusent de travailler dans des entreprises où la sécurité est négligée. Pas par paranoïa, par professionnalisme. Un incident de sécurité majeur accélère le turnover : le meilleur du bureau d’études qui démissionne après avoir perdu 2 mois de travail, le développeur senior qui ne veut pas “refaire la même erreur une deuxième fois”

Pris isolément, chaque coût invisible semble gérable. Mais leur accumulation sur trois ans change radicalement l’équation, surtout quand on les compare au coût des alternatives

Le vrai comparatif : 3 scénarios chiffrés sur 3 ans

Poste	Ne rien faire	Recruter un RSSI CDI	RSSI externalisé
Coût direct annuel	0€ (illusion)	120-150K€/an	30-50K€/an
Délai opérationnel	Immédiat	6-12 mois de recrutement	1 mois
Risque incident (3 ans)	215K€ (500K€ × 43%)	45K€ (réduction sur les vecteurs courants)	65K€ (réduction sur les vecteurs courants)
Appels d’offres perdus (3 ans)	150-900K€	0€	0€
Surcoût assurance (3 ans)	30-60K€	0€	0€
Coût d’opportunité DSI (3 ans)	75-135K€	0€	0€ (DSI libéré)
Total 3 ans	470K€ à 1.3M€	405-495K€	155-215K€

Méthodologie : ces taux de réduction sont une composition des taux mesurés par mesure technique :

• MFA : ~99% sur le credential stuffing (source : Microsoft Azure AD 2023)
• Segmentation réseau : 70-80% sur la propagation latérale ransomware (sources : SANS, Mandiant M-Trends 2024)
• Sauvegardes offline testées : 100% sur la restauration de données, 0% sur la prévention de fuite
• Sensibilisation phishing : taux de clic de 15-25% à < 5% en 6 mois (source : Proofpoint State of the Phish 2025)

Sur les vecteurs courants (phishing, ransomware, comptes compromis, mouvement latéral), la composition donne 70-80% de réduction de risque. Sur les attaques ciblées (zero-day, supply chain, APT), la réduction est moindre (~30-50%). Aucun RSSI ne couvre 100% du risque cyber.

Pourquoi 70% pour l’externalisé vs 80% pour le CDI ? Le RSSI CDI a une présence quotidienne et une connaissance plus profonde du contexte interne ; l’externalisé apporte une expertise plus large mais moins de présence (4-8 j/mois). En pratique, l’écart dépend plus de la qualité des opérations exécutées que du statut contractuel

Le “ne rien faire” est le scénario le plus cher. Il coûte 2 à 8 fois plus que le RSSI externalisé sur 3 ans

Le recrutement CDI est le meilleur choix pour les ETI >500 salariés avec un SI complexe. Mais le délai de recrutement (6-12 mois dans un marché en tension) et le risque de départ rendent l’option fragile. Le scénario hybride (commencer par un externalisé, recruter quand le besoin le justifie) est souvent le plus pragmatique

Les chiffres sont clairs. Reste à les traduire dans un format que votre DAF peut arbitrer en comité de direction

Comment présenter le business case à votre DAF

Le DAF ne parle pas risque. Il parle euros, probabilités et ROI. Voici le pitch en 3 minutes :

Le risque : “43% des ETI subissent un incident de sécurité sur 3 ans. Le coût moyen pour notre segment (100-300 salariés) est de 500K€. Notre exposition actuarielle est de 215K€ sur 3 ans (plage réaliste : 150 à 450K€ selon notre profil de risque).”

L’investissement : “Un RSSI externalisé coûte 40K€/an, soit 120K€ sur 3 ans. Il réduit le risque de 70%.”

Le ROI : “120K€ d’investissement pour éviter 150K€ de risque résiduel + 150K€+ d’appels d’offres perdus + 45K€ de surcoût assurance + 100K€ de temps DSI libéré. ROI : 3 à 5x en 3 ans.”

Le comparatif : “L’alternative est de recruter un RSSI CDI à 120-150K€/an : 3 à 4x plus cher, avec 6-12 mois de délai. Ou de ne rien faire : le scénario le plus coûteux de tous.”

Ce business case tient sur un slide. C’est tout ce dont le DAF a besoin

L’absence de budget est un mythe. L’absence d’arbitrage est le vrai problème

Aucune ETI n’a “pas de budget” pour la sécurité. Ce qu’elle a, c’est un budget mal alloué : trop sur le run, pas assez sur la protection. 30 à 50K€/an, c’est le coût d’un consultant BI en régie pendant 3 mois. C’est moins que la plupart des licences SaaS d’entreprise. C’est 0.1 à 0.3% du CA d’une ETI de 20M€

La question n’est pas “avons-nous le budget ?”. C’est “pouvons-nous nous permettre de ne pas le dépenser ?”

Pour comprendre concrètement les options qui s’offrent à vous, lisez notre comparatif RSSI interne vs externalisé vs mutualisé. Pour le contexte sur les menaces, consultez notre analyse sur pourquoi les ETI sont le gibier préféré des attaquants

Sources et méthodologie

• ANSSI, Panorama de la cybermenace 2024 : probabilité d’incident pour les ETI (43% sur 3 ans), coût moyen (500K€+)
• CNIL : 300+ sanctions prononcées en 2025
• Données marché : primes d’assurance cyber, salaires DSI (Robert Half, APEC 2025)
• Retours d’expérience Nobori : estimations des appels d’offres perdus (1 à 3/an dans les secteurs réglementaires), temps DSI détourné (20-30%)

---

Vous voulez chiffrer votre exposition réelle ? Notre audit cybersécurité calcule votre risque actuariel, identifie les coûts invisibles, et propose un plan d’action budgété