Verdict direct en 2026 : RSSI et consultant sécurité ne sont pas deux options concurrentes mais souvent deux saisons enchaînées d'une même carrière cyber senior. Le consulting (cabinet Big Four, Wavestone, Almond, Synacktiv, Digitemis, Advens, Orange Cyberdefense consulting) forme plus vite grâce à l'exposition multi-clients (15-30 contextes en 5 ans versus 1 seul en in-house), mais au prix de 40-60 heures hebdomadaires et d'un grading annuel sélectif. Le RSSI en interne construit une vision stratégique plus profonde sur un contexte, avec une accountability significativement renforcée depuis NIS 2 (transposée octobre 2024, article 20 imposant la responsabilité des dirigeants avec amendes jusqu'à 2 % du CA mondial) et DORA (applicable janvier 2025). Le freelance (TJM 600-1 500 €) et le vCISO (fractional CISO part-time sur 3-5 clients, TJM 900-1 500 €) constituent deux variantes du consulting, la première orientée missions techniques ou audit, la seconde orientée gouvernance cyber à temps partiel. Zeroday Cyber Academy recommande typiquement la séquence cabinet 6-8 ans → in-house RSSI 5-10 ans → optionnellement vCISO ou freelance à 15+ ans, qui construit des profils à triple perspective (consulting, opérationnel, entrepreneurial) très valorisés. Cet article détaille la comparaison des 4 modèles (RSSI, cabinet, freelance, vCISO), les pros et cons assumés, les salaires par phase, les trajectoires d'enchaînement et notre bilan factuel.
1. Les quatre modèles comparés
| Critère | RSSI in-house | Consultant cabinet | Consultant freelance | vCISO / fractional CISO |
|---|---|---|---|---|
| Modèle employeur | Salarié entreprise cliente | Salarié cabinet | Indépendant (SASU, portage) | Indépendant ou petit cabinet |
| Scope | 1 contexte profond | 15-30 clients en 5 ans | 3-10 missions en parallèle variables | 3-5 clients part-time |
| Durée engagement | Multi-années | Missions 3-12 mois | Missions 2-6 mois | Contrats récurrents 12-36 mois |
| Grade progression | RSSI adjoint → RSSI → RSSI GG → CISO | Consultant → Senior → Manager → SM → Director → Partner | Freelance junior → senior | vCISO → Lead vCISO |
| Rémunération typique (FR 2026) | 75-300 k€ bruts | 40-400 k€ bruts selon grade | 180-400 k€ bruts annuels (portage plus charges) | 200-400 k€ bruts annuels (3-5 clients) |
| Accountability personnelle | Élevée post NIS 2 (sanctions personnelles) | Limitée (cabinet absorbe) | Contractuelle, assurance RC Pro | Contractuelle, clause à négocier |
| Heures hebdo typiques | 40-50 | 40-60 | 35-50 (autonomie) | 25-40 réparti |
| Déplacements | Modérés (sites entreprise) | Fréquents (clients) | Variables selon mission | Variables (souvent remote) |
| Formation continue | Autofinancée ou entreprise | Cabinet finance largement | Autofinancée (budget formation SASU) | Autofinancée |
| Sécurité emploi | Dépendante à employeur | Dépendante à grade et performance | Variable (pipeline commercial) | Variable (portefeuille clients) |
| Accès postes direction | Direct vers CISO GG, Head of GRC | Via bascule in-house fréquente | Rare sans retour salariat | Rare (ciblé PME/ETI) |
2. RSSI in-house : pros et cons
Pros
- Impact structurel long terme sur la sécurité d'une organisation : la stratégie triennale, les choix d'investissement, la culture sécurité se construisent sur la durée.
- Vision stratégique profonde : compréhension fine du métier, des contraintes business, du paysage de menace sectoriel.
- Relation board et direction : influence directe sur les décisions stratégiques, visibilité exécutive.
- Stabilité d'un employeur : contrat long, bénéfices sociaux, retraite, CSE, mutuelle collective, formation payée.
- Trajectoire claire vers CISO grand groupe ou Head of Global Security pour les profils qui visent l'exécutif.
- Impact tangible : l'effet des décisions se voit sur 3-5 ans, plus gratifiant que des missions ponctuelles.
- Salaire élevé au palier RSSI grand groupe (200-300 k€ bruts plus bonus plus intéressement en CAC 40 ou OIV).
Cons
- Accountability personnelle renforcée post NIS 2 : article 20 de la directive UE 2022/2555 (transposée octobre 2024) impose la responsabilité des dirigeants. Sanctions jusqu'à 2 % du CA mondial pour manquement. Pression accrue sur le RSSI.
- Exposition à un seul contexte : rigidité en cas de crise d'entreprise, moins d'optionnalité si le secteur se dégrade.
- Politique interne importante : beaucoup d'énergie consacrée aux relations DG, DSI, Direction des Risques, Juridique, RH — parfois frustrant pour profils techniques.
- Progression souvent limitée par la taille de l'entreprise : un RSSI de PME plafonne à 100-110 k€ sans changer d'employeur vers une ETI ou un grand groupe.
- Charge mentale en crise cyber : ransomware, data breach, incident majeur mobilisent 60-80 h hebdo sur 2-8 semaines.
- Renouvellement intellectuel plus lent que le consulting multi-clients.
- Négociation D&O (Directors and Officers liability) devenue nécessaire à l'embauche pour couvrir les risques personnels post NIS 2 et post SEC Cybersecurity Rules (entreprises cotées US).
3. Consultant cabinet conseil : pros et cons
Pros
- Accélérateur d'apprentissage majeur : 15-30 clients différents en 5 ans, exposition à des contextes très variés (CAC 40, ETI, PME, secteur public, gestion de crise ransomware, audit OIV, M&A cyber diligence).
- Grading annuel structuré : progression définie consultant → senior → manager → senior manager → director → partner, chacun avec objectifs clairs.
- Formation interne intense : 50-100 heures par an financées par le cabinet, certifications prises en charge (CISSP, CISM, ISO 27001 LA, CCSP).
- Réseau professionnel rapide : interactions clients, alumni cabinet, partenaires, communauté cyber étoffée sur 5-8 ans.
- Accès aux projets prestigieux : audit cyber OIV, due diligence M&A, gestion de crise CAC 40, TIBER/TLPT pour banques systémiques.
- Salaire progression rapide : junior 40-55 k€ à senior manager 100-140 k€ en 8-10 ans, partner 200-400 k€ plus parts à 12-15 ans.
- Track record démontrable : la liste des clients et missions menées constitue un portfolio précieux pour la suite (freelance, in-house, vCISO).
Cons
- 40-60 heures hebdomadaires courantes : charge de travail soutenue, particulièrement en fin de mission client ou period d'appel d'offres.
- Déplacements fréquents : 20-40 % du temps en déplacement client, avec des missions sur site en province ou à l'étranger.
- Culture up-or-out : pression au grading annuel, sortie de cabinet négociée si progression insuffisante — pas toujours bienveillant.
- Distance opérationnelle : le consultant produit des recommandations que le client met ou ne met pas en œuvre, frustration possible sur l'impact réel.
- Charge de développement commercial croissante avec le grade : senior manager et au-delà doivent ramener du business, pression commerciale significative.
- Salaires juniors plus faibles que scale-ups tech : un dev senior peut gagner plus en scale-up BSPCE qu'un consultant junior Big Four début de carrière.
- Peu de flexibilité vie perso en période de pointe : reports congés, soirées clients, sprints de fin de mission.
4. Consultant freelance : pros et cons
Pros
- TJM significativement plus élevé qu'en cabinet à niveau équivalent : freelance senior 10+ ans 900-1 500 € TJM versus senior manager cabinet ≈ 650-850 € TJM facturé.
- Autonomie maximale : choix des missions, des clients, du rythme de travail, de la localisation.
- Variété des contextes : mélange missions techniques, audits, accompagnement stratégique.
- Horaires maîtrisés : typiquement 35-50 heures hebdomadaires sur jours facturés, liberté hors mission.
- Absence de politique interne : pas de grading, pas de réunions internes, pas de development commercial imposé.
- Fiscalité optimisable : SASU avec dividendes, portage salarial, frais professionnels déductibles.
Cons
- Pipeline commercial permanent : temps non-facturé pour trouver les prochaines missions (10-25 % du temps typique).
- Discontinuité de revenus : périodes entre missions peuvent atteindre 2-4 semaines, voire plus en période creuse.
- Charges élevées : 30-50 % du TJM en charges SASU ou portage (charges sociales, impôts, mutuelle, retraite, prévoyance).
- Pas de formation payée : budget formation personnel, 1 500-3 000 € par an typique à autofinancer.
- Absence de CSE, congés payés, 13ème mois : tout est à auto-organiser.
- Réseau nécessaire : le freelance sans réseau en démarrage vend mal, TJM bloqué en bas de fourchette 500-650 €.
- Accountability contractuelle : assurance RC Pro obligatoire (1 000-3 000 € par an), clauses à négocier avec précision.
- Pas de progression vers direction : rare qu'un freelance pur bascule CISO grand groupe, retour salariat nécessaire.
Exemple de calcul TJM vers salaire équivalent pour un profil cyber senior envisageant la bascule freelance :
# freelance_tjm_calcul.py
# Calcul TJM a salaire equivalent pour profil cyber senior.
# Exemple pedagogique - fiscalite France 2026.
TJM_CIBLE_EUR = 1100
JOURS_FACTURES_ANNEE = 200 # 220 jours ouvres moins 20 jours hors mission
CHARGES_PORTAGE_PCT = 0.48 # portage salarial complet ≈ 48 pct
CHARGES_SASU_PCT = 0.38 # SASU avec dividendes optimises ≈ 38 pct
def calcul_net_annuel(tjm, jours, charges_pct):
"""
Calcule le revenu net annuel approximatif.
tjm : taux journalier moyen facture HT
jours : jours factures dans l'annee
charges_pct : taux global de charges (social, fiscal, frais pro)
"""
chiffre_affaires_ht = tjm * jours
net_annuel = chiffre_affaires_ht * (1 - charges_pct)
return {
"ca_ht": chiffre_affaires_ht,
"charges_globales": chiffre_affaires_ht * charges_pct,
"net_annuel_estime": net_annuel
}
def salaire_equivalent_interne(net_annuel):
"""
Compare au salaire brut equivalent en CDI.
Approximation France : brut CDI ≈ net indep * 1.30 pour benefices sociaux.
"""
return net_annuel * 1.30
if __name__ == "__main__":
print("Scenario TJM", TJM_CIBLE_EUR, "€ sur", JOURS_FACTURES_ANNEE, "jours")
print()
portage = calcul_net_annuel(TJM_CIBLE_EUR, JOURS_FACTURES_ANNEE, CHARGES_PORTAGE_PCT)
print("Portage salarial (charges 48 pct) :")
print(" CA HT :", portage["ca_ht"], "€")
print(" Charges :", portage["charges_globales"], "€")
print(" Net annuel :", round(portage["net_annuel_estime"]), "€")
print(" Equivalent brut CDI :", round(salaire_equivalent_interne(portage["net_annuel_estime"])), "€")
print()
sasu = calcul_net_annuel(TJM_CIBLE_EUR, JOURS_FACTURES_ANNEE, CHARGES_SASU_PCT)
print("SASU dividendes (charges 38 pct) :")
print(" CA HT :", sasu["ca_ht"], "€")
print(" Charges :", sasu["charges_globales"], "€")
print(" Net annuel :", round(sasu["net_annuel_estime"]), "€")
print(" Equivalent brut CDI :", round(salaire_equivalent_interne(sasu["net_annuel_estime"])), "€")
# Exemple de sortie attendue :
# TJM 1100 € sur 200 jours factures
#
# Portage salarial (charges 48 pct) :
# CA HT : 220000 €
# Charges : 105600 €
# Net annuel : 114400 €
# Equivalent brut CDI : 148720 €
#
# SASU dividendes (charges 38 pct) :
# CA HT : 220000 €
# Charges : 83600 €
# Net annuel : 136400 €
# Equivalent brut CDI : 177320 €Ce calcul simplifié illustre pourquoi beaucoup de consultants seniors basculent freelance à partir de 8-10 ans : à TJM 1 100 € et 200 jours facturés, l'équivalent CDI est d'environ 150-180 k€ bruts annuels, soit un niveau senior manager cabinet confortable. En deçà (TJM 700-900 € ou moins de 180 jours), le salariat cabinet reste souvent préférable.
5. vCISO (virtual CISO) : pros et cons
Pros
- Conservation du cœur de métier : stratégie, gouvernance, relation board — sans devoir opérer l'ensemble du SI au quotidien.
- TJM élevé : 900-1 500 € par jour en France 2026, 3-5 clients en parallèle pour 200-400 k€ bruts annuels.
- Variété de contextes : PME et ETI variés, chaque client est une histoire différente, renouvellement intellectuel fort.
- Demande marché en croissance forte : NIS 2 impose une gouvernance cyber aux 15 000 entités essentielles et importantes françaises, DORA idem pour 22 000 entités financières UE — beaucoup d'ETI ne peuvent pas se payer un RSSI à temps plein.
- Sortie de salariat sans quitter le métier : option attractive pour RSSI senior souhaitant plus d'autonomie à 15+ ans.
- Réseau extensif : 10+ clients sur 3-5 ans de vCISO construisent un carnet d'adresses solide.
Cons
- Profil senior requis : quasi-impossible d'émerger vCISO sans 12-15 ans d'expérience cyber dont 5+ comme RSSI.
- Accountability contractuelle à négocier client par client : clauses de responsabilité, D&O étendu, assurance RC Pro robuste.
- Pipeline commercial permanent : 15-25 % du temps consacré au développement client, renouvellement de contrats, présentations.
- Temps fragmenté : jongler 3-5 clients demande une grande discipline, contexte-switching permanent.
- Pas d'équipe directe : le vCISO conseille et oriente, mais dépend des équipes internes du client pour l'exécution — parfois frustrant.
- Exposition aux aléas clients : perte d'un client majeur (20-30 % du CA) peut déstabiliser le modèle.
- Moins de prestige que RSSI grand groupe : pour certains profils, la reconnaissance d'un titre RSSI CAC 40 ou OIV prime.
6. Trajectoires typiques : combinaisons par phase de carrière
Quatre trajectoires dominent en France pour les profils cyber senior 2026.
Trajectoire 1 — Cabinet long terme jusqu'à partner (15-20 ans cabinet)
An 1-4 consultant junior plus senior (Big Four, Wavestone, Almond). An 5-8 manager (CISSP obtenu). An 8-12 senior manager (CISM, ISO 27001 LA). An 12-15 director. An 15+ partner (200-400 k€ plus parts). Profil : forte culture consulting, réseau client dense, orientation business et développement commercial.
Trajectoire 2 — Cabinet puis bascule RSSI in-house (la plus fréquente)
An 1-6 cabinet consultant puis senior manager. An 7-12 RSSI ETI (CISSP obtenu, 90-130 k€). An 12-17 RSSI grand groupe ou CISO international (200-300 k€ plus bonus). Profil : double culture consulting plus in-house, vision stratégique approfondie, trajectoire la plus courante.
Trajectoire 3 — In-house pure puis bascule vCISO (15+ ans in-house)
An 1-5 ingénieur sécurité plus responsable d'équipe. An 5-10 RSSI adjoint puis RSSI PME. An 10-15 RSSI ETI. An 15-20 vCISO indépendant 3-5 clients. Profil : profond expertise opérationnelle, bascule tardive vers indépendance.
Trajectoire 4 — Freelance à mi-carrière (10-15 ans puis freelance)
An 1-8 in-house ou cabinet. An 8-12 RSSI ETI ou senior manager. An 12-15 freelance consultant senior (TJM 900-1 300 €). An 15+ mix freelance plus vCISO selon demande. Profil : autonomie maximale, optimisation fiscalité, perte accountability en contrepartie de diversité.
Pseudo-code d'orientation selon âge et aspirations :
def recommander_trajectoire_cyber_senior(profil: dict) -> str:
"""
Orientation trajectoire senior cyber 2026.
Entree : profil avec annees exp, aspirations, contraintes.
Sortie : trajectoire recommandee.
"""
experience_cyber = profil["annees_cyber"]
aspiration = profil["aspiration_dominant"]
tolerance_heures = profil["tolerance_heures_hebdo"]
# Debut de carriere (0-4 ans cyber)
if experience_cyber < 4:
if tolerance_heures >= 45:
return "cabinet_conseil_junior - accelerateur apprentissage multi-clients"
return "in_house_ingenieur_securite - apprentissage plus lent mais equilibre"
# Mi-carriere (4-10 ans)
if experience_cyber < 10:
if aspiration == "technique_profonde":
return "in_house_senior_engineer_ou_architect"
if aspiration == "consulting_prestigieux":
return "cabinet_senior_vise_manager"
if aspiration == "stabilite_vie_perso":
return "in_house_rssi_adjoint_ou_responsable_conformite"
# Senior (10-15 ans)
if experience_cyber < 15:
if aspiration == "board_level_direction":
return "in_house_rssi_eti_ou_grand_groupe"
if aspiration == "partner_cabinet":
return "cabinet_senior_manager_push_director"
if aspiration == "autonomie_freelance":
return "freelance_consultant_tjm_900_1300"
# Tres senior (15+ ans)
if experience_cyber >= 15:
if aspiration == "autonomie_diversite":
return "vciso_3_5_clients_part_time"
if aspiration == "direction_executive":
return "rssi_grand_groupe_ou_cisogg_coté_us"
if aspiration == "entrepreneuriat":
return "fonder_cabinet_cyber_specialise_ou_scale_up_vendor"
return "indetermine - diagnostic personnalise necessaire"7. Bilan Zeroday Cyber Academy
Notre avis assumé : RSSI et consultant ne sont pas des choix concurrents mais des saisons complémentaires d'une carrière cyber senior. La majorité des profils cyber seniors qui réussissent en France en 2026 ont enchaîné consulting puis in-house puis optionnellement freelance ou vCISO.
Notre recommandation typique
- Début de carrière (0-6 ans cyber) : cabinet de conseil si tolérance 45+ heures hebdomadaires et appétence apprentissage accéléré. Grands Big Four (EY, Deloitte, KPMG, PwC, Mazars) ou cabinets spécialisés (Wavestone, Almond, Synacktiv, Digitemis, Advens, Orange Cyberdefense consulting).
- Mi-carrière (6-12 ans) : bascule in-house RSSI adjoint puis RSSI ETI pour construire la profondeur opérationnelle et la vision stratégique.
- Senior (12-18 ans) : RSSI grand groupe, CISO international, ou bifurcation partner cabinet selon culture dominante développée.
- Très senior (18+ ans) : optionnellement vCISO ou consultant indépendant senior pour conserver l'impact cyber tout en réduisant l'exposition à l'accountability personnelle renforcée post NIS 2.
Ce que nous ne cachons pas
- Cabinet n'est pas tenable indéfiniment : 40-60 heures hebdomadaires sur 10+ ans produisent un burnout fréquent. Bascule à 6-8 ans est le pattern sain observé.
- RSSI post NIS 2 est plus exposé personnellement qu'avant octobre 2024. Négocier sa couverture D&O et la prise en charge legal counsel devient non négociable à la signature.
- Freelance senior n'est rentable qu'avec réseau solide : sans réseau pré-établi en cabinet, le TJM plafonne à 500-700 €, rendant le modèle moins attractif que le salariat cabinet.
- vCISO émerge fortement 2024-2026 : la pression NIS 2 sur les ETI crée un marché important, mais exige 12-15 ans d'expérience préalable. Pas un métier d'entrée.
- Certains RSSI basculent tardivement vCISO justement pour réduire leur accountability personnelle — trend observé depuis 2023.
8. Pour aller plus loin
- Panorama des métiers de la cybersécurité : guide complet.
- Qu'est-ce qu'un RSSI : rôle détaillé et journée type.
- Les étapes pour devenir RSSI : parcours complet 10-15 ans.
- Les étapes pour devenir CISO : angle international avec accountability SEC.
- Les étapes pour travailler en GRC : carrière GRC complète, voie fréquente vers RSSI.
- Pentest vs DevSecOps : comparatif intra-technique.
Points clés à retenir
- RSSI et consultant ne sont pas concurrents mais des saisons enchaînées d'une carrière cyber senior.
- Quatre modèles en 2026 : RSSI in-house, consultant cabinet, freelance, vCISO (fractional CISO).
- Cabinet forme plus vite : 15-30 clients en 5 ans versus 1 contexte en in-house. 40-60 heures hebdomadaires.
- In-house donne profondeur stratégique mais expose l'accountability personnelle post NIS 2 (sanctions jusqu'à 2 % CA mondial).
- Freelance rentable à partir de senior : TJM 900-1 500 € avec réseau, 180-400 k€ bruts annuels.
- vCISO émerge 2020-2026 : 3-5 clients part-time, TJM 900-1 500 €, marché porté par NIS 2/DORA sur ETI.
- Séquence optimale : cabinet 6-8 ans → in-house RSSI 5-10 ans → optionnellement freelance ou vCISO à 15+ ans.
- D&O à négocier à l'embauche RSSI post NIS 2 et SEC Rules — couverture obligatoire.
- Freelance sans réseau pré-établi plafonne à 500-700 € TJM, rendement inférieur au salariat cabinet.
- Cabinet n'est pas tenable 15+ ans : burnout fréquent, bascule à 6-8 ans est le pattern sain.
L'accompagnement cyber 6 mois Zeroday Cyber Academy accompagne les profils cyber seniors dans leurs choix de trajectoire : orientation consulting versus in-house selon profil personnel, préparation certifications (CISSP plus CISM plus ISO 27001 LA), construction de dossier bascule freelance ou vCISO, coaching d'entretien cabinet Big Four plus Wavestone plus Almond ou direction in-house grand groupe.
