Mission freelance consultant analyse de risques cyber à Rennes (2026)

La DGA-MI (Direction Générale de l'Armement — Maîtrise de l'Information), implantée à Bruz près de Rennes, est l'organisme central de la cyberdéfense française — il teste, évalue et qualifie les produits et systèmes de sécurité des armées. Les missions d'analyse de risques à la DGA-MI sont quasi-systématiquement soumises à des exigences d'habilitation CONFIDENTIEL DÉFENSE ou SECRET DÉFENSE, et s'obtiennent principalement via des marchés publics restreints ou des contrats avec des sociétés de conseil spécialisées défense déjà référencées. Pour un consultant freelance indépendant, l'accès direct à la DGA-MI est difficile — le contournement le plus courant est de passer par les sociétés de portage salarial ou de conseil spécialisées (Capgemini Defence, Thales Services Numériques, Sopra Steria Défense) qui ont des contrats-cadres avec la DGA. L'obtention préalable d'une habilitation CD (initiée par un client lors d'une mission précédente) est souvent un prérequis pour être ensuite recruté en direct ou en sous-traitance sur des projets DGA.

Orange R&D Rennes est un acteur actif sur l'analyse de risques de ses infrastructures de réseau, sous pression NIS2 (Orange est opérateur de télécommunications, entité essentielle au sens de la directive). Les missions portent sur plusieurs périmètres : l'analyse de risques des systèmes de cœur de réseau (commutation, routage, interfaces clients), les analyses de risques des systèmes de supervision et d'exploitation (NOC — Network Operations Center, systèmes de ticketing et d'alerte), et les analyses de risques des nouvelles architectures réseau (migration vers les réseaux virtualisés NFV/SDN, déploiement 5G). Orange R&D est particulièrement actif sur les méthodes hybrides : EBIOS RM pour les analyses structurées avec les équipes métier et ISO 27005 pour les analyses de risques plus techniques. Les consultants analysis de risques avec une connaissance des réseaux télécom (architecture BGP, protocoles de signalisation, gestion des accès clients) et une certification EBIOS RM Practitioner sont bien positionnés pour ces missions. La durée des missions est typiquement de 8 à 16 semaines, avec des possibilités de renouvellement dans le cadre des programmes NIS2.

Orange est l'un des opérateurs directement concernés par NIS2 en tant que fournisseur de réseaux et services de communications électroniques. Les équipes R&D d'Orange à Rennes travaillent sur des technologies (5G, eSIM, authentification réseau) qui tombent dans le périmètre NIS2. Les missions d'analyse de risques portent sur l'évaluation des risques liés aux nouvelles architectures réseau (5G standalone, network slicing), la rédaction de politiques de gestion des risques conformes NIS2, et les évaluations de fournisseurs critiques (supply chain risk). TDF (diffusion TV et radio) est également sous NIS2 pour ses infrastructures de diffusion. Ces missions sont attribuées principalement via les ESN partenaires Orange et TDF — un dossier BinchamTalent bien documenté aide à être identifié par les responsables achats.

BinchamTalent permet aux consultants en analyse de risques cybersécurité de rendre leur dossier directement visible par les RSSI, Risk Managers et DSI des entreprises françaises vérifiées — sans ESN. Vous renseignez vos méthodes maîtrisées (EBIOS RM, ISO 27005, FAIR), vos certifications (CRISC, ISO 27005 LRM, CISSP, CISM), vos secteurs (OIV, NIS2, défense, santé), votre disponibilité et votre TJM cible. Les recruteurs vous contactent directement.

Les trois méthodes ont des usages distincts sur le marché français. EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité Risk Manager) est la méthode de référence de l'ANSSI — elle est obligatoire pour les Opérateurs d'Importance Vitale (OIV) et fortement recommandée pour les Opérateurs de Services Essentiels (OSE) sous NIS2. Un consultant EBIOS RM confirmé est recherché en priorité pour les missions chez les grands comptes régulés (énergie, défense, santé, télécoms). ISO 27005 est le standard international d'appréciation des risques SI — plus universel, il est utilisé dans les missions d'audit et de certification ISO 27001. FAIR (Factor Analysis of Information Risk) est la méthode de quantification financière du risque cyber — encore peu répandue en France mais en forte croissance chez les grands groupes souhaitant parler le langage des COMEX et des CFO (probabilité × impact financier). En pratique, un consultant maîtrisant EBIOS RM + ISO 27005 couvre 90 % du marché français; l'ajout de FAIR ouvre les missions COMEX à TJM élevé.