Beaucoup de démarches cyber réussies en PME ont démarré grâce à un consultant indépendant. C'est souvent le meilleur rapport compétence-prix du marché, et il serait absurde de le nier. La vraie question n'est pas « indépendant ou cabinet ? » dans l'absolu : c'est de savoir ce qui se passe le jour où cette personne n'est plus disponible.
La force réelle de l'indépendant
Commençons par ce qui n'est pas discutable. Un consultant indépendant expérimenté apporte trois choses qu'une structure a parfois du mal à égaler. D'abord une disponibilité relationnelle : vous l'avez au téléphone, il connaît le prénom de votre DSI et l'historique de vos arbitrages. Ensuite une absence totale de frais de structure, qui se traduit par un taux journalier souvent inférieur de 30 à 40 % à celui d'un cabinet. Enfin une liberté de parole : il n'a rien à vendre d'autre que son temps, ce qui rend ses recommandations difficiles à soupçonner de conflit d'intérêts.
Pour une TPE qui démarre, ou pour une mission ponctuelle très ciblée, ce modèle est souvent le bon. Les cinq questions qui suivent ne servent pas à le disqualifier, mais à identifier le moment où il atteint sa limite.
Que se passe-t-il si votre interlocuteur s'arrête ?
C'est la question la plus banale et la plus rarement posée. Un arrêt maladie, une mission longue chez un autre client, un changement de vie professionnelle : dans une relation à un seul point de contact, chacun de ces événements suspend votre démarche de conformité, parfois pendant plusieurs mois.
La conséquence est rarement dramatique du jour au lendemain. Elle l'est en revanche quand elle tombe pendant une échéance : une certification en cours, un audit client, une notification d'incident. C'est à ce moment-là que l'absence de relais se paie.
Un cabinet mutualise ce risque par construction. Phishia s'appuie sur plus de quinze experts certifiés et intervient depuis 2018 sur plus de 200 missions : la continuité ne dépend pas d'une personne. C'est moins confortable qu'une relation unique, mais c'est plus robuste.
Qui couvre les spécialités que votre interlocuteur ne couvre pas ?
La cybersécurité d'entreprise s'est fragmentée en métiers distincts. Conduire une analyse de risque EBIOS RM, réaliser un test d'intrusion applicatif, cadrer un plan de continuité d'activité, évaluer la conformité d'un sous-traitant, construire une politique de gestion des identités : ce sont cinq compétences différentes, que très peu de professionnels maîtrisent toutes à un niveau opérationnel.
Un indépendant sérieux le dit et oriente vers des confrères. C'est honnête, mais cela vous transfère la charge de coordination : vous devenez l'intégrateur de votre propre démarche, avec plusieurs contrats, plusieurs méthodes et plusieurs formats de livrables à réconcilier.
Phishia couvre en interne simulation de phishing, sensibilisation et e-learning, pentest et audit, CTI/OSINT, gestion des identités, plan de continuité et évaluation des tiers. L'intérêt n'est pas l'étendue du catalogue en soi, c'est qu'un seul référentiel de risques alimente ces sept domaines.
Où vit la connaissance de votre SI ?
Chez un indépendant, une grande partie du contexte accumulé vit dans sa tête et dans ses fichiers de travail. Vous récupérez les livrables ; vous ne récupérez pas le raisonnement, les hypothèses écartées, les exceptions acceptées et les raisons de les avoir acceptées.
C'est un point sur lequel l'outillage change réellement la donne. Chez Phishia, le travail se dépose dans GALEA : cartographie, scénarios de risque, registre, plan d'actions de 65 mesures priorisées, 54 contrôles de conformité pré-remplis depuis votre socle documentaire. Le contexte devient une donnée structurée que vous détenez, et non une mémoire individuelle que vous louez.
Dit autrement : le jour où vous changez de prestataire, le nouvel arrivant reprend un référentiel à jour au lieu de recommencer les entretiens de cadrage.
Comment absorbez-vous un pic de charge ?
Une démarche de conformité n'est pas linéaire. Il y a de longues périodes de pilotage calme, puis des séquences courtes et très denses : préparation d'un audit de certification, réponse à un questionnaire client de 200 lignes, gestion d'un incident avec notification sous 72 heures, mise à niveau NIS2 d'une filiale.
Sur ces pics, un indépendant est intrinsèquement contraint : il ne peut pas se dédoubler. Vous absorbez donc le surplus en interne, ou vous décalez l'échéance. Une équipe peut renforcer temporairement, ce qui a un coût mais préserve le calendrier. Pour les organisations qui n'ont pas de RSSI interne, Phishia propose par ailleurs une formule de RSSI externalisé à 15 000 € par an, qui lisse ce type de variation en installant une présence régulière plutôt que des interventions ponctuelles.
Qui porte la responsabilité, et avec quelle assise ?
Dernier point, rarement abordé de front : la capacité à assumer. Un indépendant est couvert par sa responsabilité civile professionnelle, comme tout prestataire, mais l'assise financière derrière cette couverture n'est pas la même que celle d'une société employant une quinzaine de consultants. Ce n'est pas une question de sérieux — beaucoup d'indépendants sont irréprochables — c'est une question de dimensionnement, et elle devient sensible dès que votre propre donneur d'ordre exige des garanties contractuelles sur sa chaîne de sous-traitance. Les démarches d'évaluation des tiers, généralisées par NIS2, rendent ce sujet de plus en plus concret.
Comment Phishia se positionne
Phishia ne prétend pas être moins cher à la journée qu'un indépendant : ce serait invraisemblable. Le raisonnement porte sur le coût complet et sur la continuité. En outillant les tâches répétitives de la conformité, le cabinet mesure en moyenne une baisse de 60 % du coût total de conformité — jusqu'à 75 % pour les petites structures — et un time-to-compliance divisé par six.
Le modèle reste modulable : plateforme GALEA seule (200 €/mois pour une TPE, 300 € pour une PME, 700 € pour une ETI, sur devis au-delà, avec deux mois offerts en facturation annuelle), conseil seul, ou formule combinée. Rien n'interdit non plus de conserver votre indépendant sur ce qu'il fait le mieux et de lui donner accès à un référentiel commun.
Questions fréquentes
Mon consultant actuel peut-il travailler dans GALEA ?
Oui. La plateforme peut être souscrite seule, indépendamment de toute prestation de conseil Phishia. Certaines organisations choisissent l'outil pour structurer leur référentiel et gardent leur intervenant habituel pour l'accompagnement.
À partir de quelle taille d'entreprise un indépendant devient-il insuffisant ?
Il n'y a pas de seuil en effectif. Le déclencheur est plutôt réglementaire ou contractuel : entrée dans le périmètre NIS2, exigence de certification par un client grand compte, activité soumise à DORA ou à l'hébergement de données de santé. Dès que l'échéance est opposable par un tiers, la question de la continuité devient prioritaire.
Comment vérifier la profondeur réelle d'une équipe avant de signer ?
Demandez qui interviendra nommément, quelles certifications détiennent ces personnes, et surtout qui les remplace en cas d'indisponibilité. Demandez aussi à voir un livrable anonymisé et le format sous lequel les données vous seront restituées en fin de mission.
Sources
- ANSSI — portail cyber.gouv.fr (EBIOS Risk Manager, NIS2, guides)
- ISO/IEC 27001 — page officielle de la norme
- GALEA — périmètre fonctionnel et grille tarifaire publiée
- Phishia — équipe, références et catalogue de services
Sources consultées le 23 septembre 2026. Aucun prestataire individuel n'est visé : les caractéristiques décrites correspondent au modèle de l'exercice en indépendant, non à un professionnel identifié.