Mission freelance consultant analyse de risques cyber à Lyon (2026)

Oui, et c'est l'un des marchés les plus porteurs pour les consultants analyse de risques cyber en dehors de Paris et du secteur financier. NIS2, transposée en droit français, élargit considérablement le périmètre des entités concernées par rapport à la directive NIS1 : les secteurs de la fabrication (industrie chimique, industrie automobile, industrie pharmaceutique, équipements de sécurité) entrent désormais dans le périmètre des entités importantes pour les entreprises de taille significative. Renault Trucks (Bourg-en-Bresse, filiale Volvo Group), Solvay (usines rhônalpines), les équipementiers automobile, les acteurs de la chimie fine et les entreprises de l'agroalimentaire industriel de la région sont concernés. Pour ces entreprises, souvent sans RSSI dédié, la mission type est une première analyse EBIOS RM complète (6 à 10 semaines) pour identifier les risques cyber sur leurs systèmes d'information et leurs systèmes de contrôle industriel (OT/ICS). L'analyse de risques OT/IT convergés (systèmes SCADA, automates, interfaces IT-OT) est un positionnement très demandé et encore peu couvert par le marché lyonnais.

Le CHU de Lyon est l'un des plus grands employeurs de consultants en cybersécurité santé de la région. Consécutivement aux cyberattaques qui ont frappé les hôpitaux français depuis 2021 (Corbeil-Essonnes, Versailles, Brest, Arles), les établissements de santé ont été enjoints par le plan Ma Santé 2022 et les recommandations de l'ANS (Agence du Numérique en Santé) de formaliser leur analyse de risques. Le CHU de Lyon, les HCL (Hospices Civils de Lyon) et les cliniques privées de la région engagent des consultants EBIOS RM pour deux types de missions : (1) Analyse de risques initiale sur leur Système d'Information de Santé (SIS), incluant les équipements biomédicaux connectés (robots chirurgicaux, imagerie médicale, systèmes de surveillance) ; (2) Mise à jour des analyses existantes après une restructuration du SI ou l'ajout de nouveaux services numériques. Ces missions HDS requièrent une connaissance des exigences de l'ANS et du RGPD santé, et se déroulent dans un contexte de forte contrainte budgétaire (les hôpitaux publics négocient les TJM).

Non, elle n'est pas indispensable mais constitue un avantage décisif sur certains créneaux lyonnais. Sur le marché pharmaceutique (Sanofi, Biogroup, Biomérieux), la certification ISO 27005 LRM est appréciée car elle signale une maîtrise des risques sur les données de santé et les environnements GxP — des contextes où ISO 27005 est souvent utilisé en complément ou à la place d'EBIOS RM. Sur les missions bancaires (Crédit Agricole, Crédit Mutuel), c'est CRISC ou EBIOS RM Practitioner qui sont les certifications demandées en priorité. Recommandation lyonnaise : EBIOS RM Practitioner d'abord pour ouvrir le marché principal, puis ISO 27005 LRM si vous visez les missions pharmaceutiques et santé — deux certifications qui se complètent parfaitement pour couvrir 90 % du marché lyonnais de l'analyse de risques.

BinchamTalent permet aux consultants en analyse de risques cybersécurité de rendre leur dossier directement visible par les RSSI, Risk Managers et DSI des entreprises françaises vérifiées — sans ESN. Vous renseignez vos méthodes maîtrisées (EBIOS RM, ISO 27005, FAIR), vos certifications (CRISC, ISO 27005 LRM, CISSP, CISM), vos secteurs (OIV, NIS2, défense, santé), votre disponibilité et votre TJM cible. Les recruteurs vous contactent directement.

Les trois méthodes ont des usages distincts sur le marché français. EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité Risk Manager) est la méthode de référence de l'ANSSI — elle est obligatoire pour les Opérateurs d'Importance Vitale (OIV) et fortement recommandée pour les Opérateurs de Services Essentiels (OSE) sous NIS2. Un consultant EBIOS RM confirmé est recherché en priorité pour les missions chez les grands comptes régulés (énergie, défense, santé, télécoms). ISO 27005 est le standard international d'appréciation des risques SI — plus universel, il est utilisé dans les missions d'audit et de certification ISO 27001. FAIR (Factor Analysis of Information Risk) est la méthode de quantification financière du risque cyber — encore peu répandue en France mais en forte croissance chez les grands groupes souhaitant parler le langage des COMEX et des CFO (probabilité × impact financier). En pratique, un consultant maîtrisant EBIOS RM + ISO 27005 couvre 90 % du marché français; l'ajout de FAIR ouvre les missions COMEX à TJM élevé.