Mission freelance consultant analyse de risques cyber à Montpellier (2026)

Le CHU de Montpellier est l'un des établissements de santé les plus avancés sur la cybersécurité en province, notamment après la sensibilisation liée aux attaques répétées sur les CHU français. Le CHU génère des missions d'analyse de risques cyber dans plusieurs contextes. Premièrement, les analyses de risques initiales ou de révision sur le SIS global (Système d'Information de Santé) — périmètre incluant le DPI (Dossier Patient Informatisé), les systèmes de gestion administrative, les équipements biomédicaux connectés (scanners, IRM, robots chirurgicaux) et les infrastructures réseau. Deuxièmement, les analyses de risques pour l'obtention ou le renouvellement de la certification HDS (Hébergeur de Données de Santé) sur les systèmes hébergeant des données de santé. Troisièmement, les analyses de risques ponctuelles sur des nouveaux projets numériques (télémédecine, partage d'images médicales avec d'autres établissements, intégration avec le Dossier Médical Partagé national). Ces missions requièrent une maîtrise d'EBIOS RM adaptée au contexte de santé, une connaissance des exigences de l'ANS (Agence du Numérique en Santé) et de la PGSSI-S, et une sensibilité aux contraintes opérationnelles d'un CHU (l'hôpital ne peut jamais être entièrement arrêté).

Oui, et c'est un marché en croissance rapide lié à la réglementation sur les logiciels médicaux. Les startups medtech et e-santé montpelliéraines développant des logiciels médicaux (SaMD — Software as a Medical Device) doivent respecter le règlement européen MDR 2017/745, qui impose des exigences essentielles de cybersécurité tout au long du cycle de vie du produit (article 59 et normes harmonisées IEC 62304, IEC 81001-5-1). Une analyse de risques cyber — souvent combinée à une analyse de risques de sécurité fonctionnelle au sens de l'IEC 14971 — est requise pour le marquage CE et pour les audits des Organismes Notifiés. Ces missions sont courtes (3 à 6 semaines) mais très spécialisées et bien rémunérées, car très peu de consultants maîtrisent à la fois EBIOS RM et les référentiels médical (MDR, IEC 62304). Un consultant ayant cette double compétence se positionne sur un marché de niche national qui va bien au-delà de Montpellier.

À Montpellier, la certification EBIOS RM est le prérequis de marché — elle ouvre les missions locales chez IBM, les ESN et les acteurs medtech. CRISC (Certified in Risk and Information Systems Control) est reconnu dans les contextes grands comptes et ESN internationales présentes à Montpellier (IBM, Cap Gemini) — elle signale une approche systémique qui rassure les DSI des filiales de grands groupes. FAIR est moins utilisé localement mais les missions de quantification financière pour les acteurs de la santé (CHU, cliniques sous certificat HDS) commencent à émerger. Recommandation pour Montpellier : EBIOS RM d'abord, CRISC ensuite pour monter en gamme, FAIR en option pour se différencier sur les missions santé à haute valeur ajoutée.

BinchamTalent permet aux consultants en analyse de risques cybersécurité de rendre leur dossier directement visible par les RSSI, Risk Managers et DSI des entreprises françaises vérifiées — sans ESN. Vous renseignez vos méthodes maîtrisées (EBIOS RM, ISO 27005, FAIR), vos certifications (CRISC, ISO 27005 LRM, CISSP, CISM), vos secteurs (OIV, NIS2, défense, santé), votre disponibilité et votre TJM cible. Les recruteurs vous contactent directement.

Les trois méthodes ont des usages distincts sur le marché français. EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité Risk Manager) est la méthode de référence de l'ANSSI — elle est obligatoire pour les Opérateurs d'Importance Vitale (OIV) et fortement recommandée pour les Opérateurs de Services Essentiels (OSE) sous NIS2. Un consultant EBIOS RM confirmé est recherché en priorité pour les missions chez les grands comptes régulés (énergie, défense, santé, télécoms). ISO 27005 est le standard international d'appréciation des risques SI — plus universel, il est utilisé dans les missions d'audit et de certification ISO 27001. FAIR (Factor Analysis of Information Risk) est la méthode de quantification financière du risque cyber — encore peu répandue en France mais en forte croissance chez les grands groupes souhaitant parler le langage des COMEX et des CFO (probabilité × impact financier). En pratique, un consultant maîtrisant EBIOS RM + ISO 27005 couvre 90 % du marché français; l'ajout de FAIR ouvre les missions COMEX à TJM élevé.