CISO externe : la sécurité cyber pilotée pour vous.

Un CISO externe (Chief Information Security Officer externalisé, RSSI externalisé en français) est un responsable cybersécurité désigné officiellement par votre direction, mais qui n'est pas votre salarié. Il porte la responsabilité opérationnelle de la gouvernance cyber : politique de sécurité, gestion des risques, supervision des contrôles techniques, reporting aux autorités (ILR pour NIS 2, CSSF pour DORA, BFA en France, etc.), gestion d'incidents.

C'est le modèle recommandé pour les organisations de 50 à 500 collaborateurs qui n'ont pas besoin d'un CISO temps plein, ou qui veulent une expertise senior sans assumer un recrutement complexe. La directive NIS 2 et le règlement DORA imposent depuis 2024-2025 une vraie gouvernance cyber à 1200+ entreprises au Luxembourg seul : avoir un CISO désigné (interne ou externe) devient une exigence concrète.

Trois raisons économiques + une opérationnelle.

Coût : un CISO senior interne, c'est 110 à 180 k EUR chargés. Un CISO externe Luxgap, c'est 4 à 12 k EUR / mois selon le périmètre, soit 50 à 70% d'économie sans le risque de démission.

Équipe complète : un CISO interne est seul face à tout (gouvernance + technique + incidents + audits). Un CISO externe Luxgap, c'est une équipe : ingénieurs cyber, juristes RGPD/NIS 2/DORA, développeurs, pentesteurs. Vous bénéficiez de toute l'expertise pour le prix d'un mi-temps.

Continuité : pas de risque de démission solo. Pas de vacance pendant 6 mois. Pas de perte de connaissance.

Indépendance vis-à-vis des fournisseurs IT : nous ne revendons ni Microsoft, ni Cisco, ni Palo Alto. Nos recommandations ne sont pas biaisées par un partenariat commercial.

Demander un devis CISO externe →

Politique de sécurité alignée ISO 27001 / NIS 2 / DORA / RGPD. Cartographie des risques cyber et matrice de criticité. Plan de traitement (technique + organisationnel). Reporting d'incident aux autorités : ILR sous 24h pour NIS 2, CSSF DORA, CNPD pour les violations RGPD. Audit supply chain : évaluation des prestataires TIC critiques (DORA pilier 5). Gouvernance comite sécurité mensuel avec le COMEX. Sensibilisation COMEX + équipes IT + utilisateurs. Veille réglementaire continue (CSSF circulaires 22/806, 24/847, ENISA, ANSSI, BSI). Pilotage des tests : pentest applicatif, audit M365 / Google Workspace, TLPT pour les grandes entités financières.

Essentiel (PME 50-150 collab) : 1 jour / mois sur site + astreinte incident, gouvernance, politique, audit annuel. 4 à 6 k EUR / mois.
Standard (150-500 collab) : 2-3 jours / mois, COMEX trimestriel, gestion d'incidents en mode astreinte, audit semestriel, pilotage roadmap. 7 à 12 k EUR / mois.
Premium (500+ collab ou secteur sensible : banques, assurances, PSF, santé) : 5+ jours / mois, équipe dédiée, intégration directe au COMEX, audit continu, supply chain, TLPT. 15 à 30 k EUR / mois.

Engagement minimum 12 mois (un changement de CISO fréquent est mal vu par les autorités de contrôle), résiliable ensuite avec préavis 3 mois. Pas de frais de mise en place cachés, pas de licence software à racheter, pas de TBD dans les devis.

Luxgap est un cabinet luxembourgeois, mais nos mandats CISO externes s'appliquent dans toute l'Union européenne. Nous intervenons au Luxembourg (CSSF, ILR, BCL), en France (ANSSI, ACPR, AMF), en Belgique (CCB, FSMA, BNB), en Allemagne (BSI, BaFin), aux Pays-Bas (NCSC-NL, AFM, DNB), et plus largement dans l'EEE.

Secteurs : banques, PSF, fonds d'investissement, assurances, e-commerce, industrie, santé, communes, fournisseurs TIC critiques (DORA), opérateurs essentiels NIS 2 (énergie, transport, eau, infrastructure numérique). Équipe francophone (FR / EN / DE).