Chargement…
Le guide complet 2026 - TJM, frameworks ISO 27001 et NIST CSF, certifications, missions NIS2 et DORA. Page mise à jour le 21 juillet 2026 par l’équipe BinchamTalent.
Avec l’arrivée massive de la réglementation européenne - NIS2 (transposée en France en 2024-2025), DORA (applicable depuis janvier 2025), AI Act (août 2026), Cyber Resilience Act (décembre 2027) - la fonction Gouvernance, Risque et Conformité (GRC) cybersécurité est devenue stratégique pour des milliers d’entreprises françaises qui n’étaient pas concernées hier. Pour un consultant expérimenté en audit, en risque ou en mise en conformité, le marché du freelance n’a jamais été aussi ouvert. Ce guide décrit ce qu’il faut savoir avant de se lancer : périmètre métier, frameworks de référence, TJM 2026, certifications, statut juridique, positionnement sur le marché, et comment BinchamTalent met votre dossier directement en relation avec les entreprises et recruteurs approuvés, sans commission ni intermédiaire.
Un contact direct, sans intermédiaire. Votre dossier de compétences GRC visible directement par les DSI, RSSI et cabinets vérifiés.
0 commission sur votre TJM
BinchamTalent ne prélève rien sur le tarif que vous facturez. Vous contractualisez en direct avec le client final.
Contrat direct avec l’entreprise
Vous signez votre mission directement avec la DSI, le RSSI ou la direction générale. Vous conservez la maîtrise de vos tarifs.
Recruteurs approuvés manuellement
Chaque entreprise est vérifiée par notre équipe (SIRET, site web, qualité du signataire). Pas de prises de contact bidons.
Vous restez maître de vos données
Vous choisissez librement le contenu de votre dossier de compétences, vous le mettez en pause ou le supprimez à tout moment.
Le consultant GRC (Gouvernance, Risques, Conformité) cybersécurité accompagne les organisations dans la conception, la mise en œuvre et le pilotage de leur stratégie de sécurité de l’information. Sa différence fondamentale avec l’ingénieur cyber opérationnel : il intervient en amont (cadrage stratégique, analyse de risques, architecture de la gouvernance) et en aval (audit, conformité, reporting), mais rarement « les mains dans le code ».
Selon le référentiel France Travail, son code ROME le plus représentatif est M1604 « Conseil en organisation et management », avec des passerelles vers M1802 « Conseil et maîtrise d’ouvrage en SI ». Concrètement, son périmètre se décompose en trois grands axes complémentaires :
Gouvernance
Élaboration de la Politique de Sécurité des Systèmes d’Information (PSSI), structuration des comités sécurité, définition des rôles et responsabilités (RACI), construction d’indicateurs de pilotage (KPI/KRI) pour le COMEX et le conseil d’administration, alignement avec la stratégie globale de l’entreprise.
Risques
Cartographie des actifs et des données sensibles, identification et qualification des menaces, analyse de risques formalisée (méthodes EBIOS RM, ISO 27005, NIST 800-30, FAIR), priorisation des plans de traitement, suivi du registre des risques résiduels acceptés par la direction.
Conformité
Mise en conformité réglementaire (NIS2, DORA, RGPD, HDS, PCI-DSS, SecNumCloud, RGS), audits internes et préparation à des audits externes (ISO 27001, ISAE 3402, SOC 2), réponse aux exigences contractuelles clients, dossiers d’habilitation OIV/OSE.
En freelance, on intervient le plus souvent en mission longue (régie) de 6 à 18 mois pour une ETI qui n’a pas encore structuré sa fonction GRC, ou en missions courtes (audit, gap analysis) de 2 à 8 semaines pour des grands comptes ayant déjà une équipe interne mais qui cherchent un regard externe.
Aucun métier de la cybersécurité n’est aussi structuré par la réglementation que la GRC. Les cinq textes ci-dessous concentrent la quasi-totalité de la demande de missions freelance en 2026. Maîtriser au moins trois d’entre eux ouvre l’accès aux missions les mieux rémunérées.
Étend le périmètre de NIS1 d’environ 300 entités françaises à plus de 10 000. Concerne désormais les ETI (≥ 50 salariés et ≥ 10 M€ de CA) de 18 secteurs critiques, dont l’agroalimentaire, la gestion des déchets, l’aérospatial, les services postaux, les administrations publiques, la chimie. Obligations : gestion des risques cyber documentée, signalement des incidents sous 24 h, formation du top management, responsabilité personnelle des dirigeants en cas de manquement. Marché de mise en conformité estimé sur 3 à 5 ans.
Cible exclusivement le secteur financier (banques, assurances, gestionnaires d’actifs, fintech, plateformes crypto, agences de notation). Obligations spécifiques : gouvernance du risque IT pilotée par la direction, tests de pénétration TLPT menés par des prestataires qualifiés (PASSI ANSSI ou équivalents européens), gestion des prestataires tiers IT critiques, registre des incidents reportés à l’autorité compétente (ACPR en France), scénarios de continuité d’activité. Marché spécifique très demandé.
Socle de protection des données personnelles. Obligations : tenue d’un registre des traitements, analyses d’impact (AIPD) sur les traitements à risque, désignation d’un DPO si critères de l’article 37 remplis, gestion des droits des personnes (accès, rectification, effacement). Missions freelance GRC fréquentes : mise en place du registre, accompagnement DPO, audit RGPD, formation.
Encadre la mise sur le marché et l’usage des systèmes d’IA. Obligations spécifiques aux systèmes à haut risque (recrutement, crédit, santé, éducation, services publics, etc.) : analyse d’impact, gestion des données d’entraînement, robustesse cyber, journalisation, supervision humaine. Forte demande de compétences à l’intersection GRC et IA.
Cible tous les produits avec composants numériques mis sur le marché UE : IoT, logiciels, équipements industriels connectés. Exigences essentielles de cybersécurité tout au long du cycle de vie : sécurité by design, gestion des vulnérabilités, mise à jour de sécurité. Marché émergent et structurant pour les industriels.
S’y ajoutent les référentiels sectoriels français incontournables : HDS pour l’hébergement de données de santé, RGS pour les administrations, SecNumCloud pour le cloud souverain, PCI-DSS pour le paiement par carte. Chacun a sa propre logique d’audit et de certification.
Le consultant GRC ne « bricole » pas : il s’appuie sur des frameworks reconnus internationalement, qui structurent ses livrables et garantissent leur acceptation par les auditeurs externes, les clients et les régulateurs.
Contrairement aux idées reçues, le consultant GRC ne peut pas être « pure gouvernance ». Il doit comprendre la technique pour rester crédible face aux équipes IT et pour produire des plans réalistes. À l’inverse, ses soft skills pèsent souvent plus que la technique elle-même.
Les certifications jouent un rôle particulièrement structurant en GRC : elles conditionnent l’accès aux missions d’audit officiel (certification ISO 27001, audit PASSI ANSSI), elles justifient les TJM élevés, et elles donnent un signal de crédibilité immédiate à un client qui ne vous connaît pas.
Pour les missions PASSI (Prestataire d’Audit de Sécurité des Systèmes d’Information qualifié par l’ANSSI), l’inscription au RNIA (Registre National des Inscriptions des Auditeurs) est une condition supplémentaire indispensable. Cela suppose souvent d’être rattaché à un cabinet qualifié PASSI.
Les fourchettes ci-dessous sont indicatives, compilées à partir des baromètres publics 2025-2026 (Malt, Free-Work, Apec, Hays) et de retours directs d’employeurs. Le TJM d’un consultant GRC varie fortement selon sa spécialité (audit, gouvernance, risque, conformité réglementaire spécifique) et son ancienneté.
| Niveau | Expérience | TJM 2026 (HT) |
|---|---|---|
| Junior (analyste GRC) | 1-3 ans | 500 – 700 €/j |
| Confirmé (auditeur, consultant) | 4-7 ans | 700 – 950 €/j |
| Senior (manager risque, lead audit) | 8-12 ans | 950 – 1 300 €/j |
| Expert / RSSI freelance | 12+ ans | 1 300 – 1 700 €/j |
Fourchettes indicatives, compilées à partir de sources publiques (APEC, Malt, Free-Work) et recoupées avec les dossiers déposés sur BinchamTalent. Les montants réels varient selon le profil, les certifications, le secteur et les contraintes de la mission. Voir notre baromètre des TJM 2026.
| Référentiel ou spécialité | TJM moyen 2026 | Note |
|---|---|---|
| ISO 27001 (audit et accompagnement) | 750 – 1 100 €/j | Cœur de marché, base solide |
| NIS2 (transition + conformité) | 850 – 1 250 €/j | Forte demande 2024-2027 |
| DORA (banque-assurance) | 950 – 1 400 €/j | Spécialité rare, finance européenne |
| EBIOS Risk Manager (analyse risques) | 800 – 1 200 €/j | Indispensable secteur public et OIV |
| RGPD / DPO externalisé | 700 – 1 000 €/j | Volume + récurrent, multi-clients |
| HDS (santé) + RGS (admin) | 850 – 1 300 €/j | Spécialités sectorielles, missions longues |
| PASSI (audit qualifié ANSSI) | 1 000 – 1 600 €/j | Réservé aux cabinets qualifiés |
⚠️ Données indicatives. Les baromètres officiels Apec, Hays, Robert Walters et les rapports CESIN sont les références à jour. Le TJM réel dépend également de la marque personnelle du freelance et de sa capacité à négocier.
Contrairement aux profils techniques, les consultants GRC viennent souvent de filières moins « informatique pure » : audit, gestion des risques, droit du numérique, management des SI. Voici les filières les plus représentées dans les dossiers de Talents GRC freelance :
Les reconversions sont très fréquentes en GRC : anciens auditeurs comptables (Big 4), anciens RSSI salariés, anciens juristes spécialisés en droit numérique, anciens ingénieurs cyber techniques qui élargissent leur scope. La porte d’entrée reste les certifications (ISO 27001 LA, CISA, CISM), souvent obtenues en 6 à 12 mois de préparation.
Comme pour tout freelance avec un TJM supérieur à 600 €/j, quatre formes juridiques sont couramment utilisées. Un expert-comptable spécialisé tranche en fonction de votre situation patrimoniale et familiale.
+ Création immédiate, comptabilité minimaliste.
− Plafond 77 700 € HT/an en prestations de services - atteint vite avec un TJM > 500 €/j. Pas de récupération TVA.
Profil cible : Lancement test, mission ponctuelle.
+ Régime général de la Sécurité sociale, arbitrage salaire/dividendes, image solide pour grands comptes.
− Charges sociales sur salaire élevées (~80%), comptabilité complète.
Profil cible : Profils confirmés/seniors > 80 k€ CA/an, vision long terme.
+ Optimisation trésorerie, charges TNS plus basses (~45%) que SASU.
− Régime TNS (couverture sociale légèrement inférieure), formalisme.
Profil cible : Premières années en attendant SASU.
+ Statut salarié, chômage, aucune création d’entreprise, simplicité absolue.
− Frais de gestion 5-10 % du TJM.
Profil cible : Transition CDI→freelance, missions courtes.
Le consultant GRC peut exercer dans trois cadres très différents. Chacun a ses avantages selon vos priorités personnelles et professionnelles.
| Critère | Freelance (direct) | Big 4 / cabinet | CDI RSSI interne |
|---|---|---|---|
| Rémunération brute | TJM intégral | Salaire + bonus | Salaire fixe + bonus |
| Sécurité financière | Variable (intercontrats) | Stable (salariat) | Très stable (CDI) |
| Choix des missions | Total | Selon les projets du cabinet | Selon l’employeur |
| Diversité des secteurs | Très large (multi-clients) | Large mais cadré | Limitée (un secteur) |
| Apprentissage méthodologique | Auto-formation | Formation cabinet structurée | Limité à l’existant |
| Carrière hiérarchique | Aucune (parcours horizontal) | Manager → Senior Manager → Partner | RSSI → CISO → DSI |
| Charge administrative | Élevée (statut, factu, TVA) | Nulle | Nulle |
| Couverture sociale | Variable selon statut | Salariat complet | Salariat complet |
Cinq trajectoires types pour un consultant GRC freelance senior :
Spécialisation verticale sectorielle
Devenir LA référence GRC dans un secteur précis (banque, santé, énergie, secteur public). TJM élevé, missions récurrentes, réseau qui se renforce. Inconvénient : exposition aux cycles d’un secteur unique.
Spécialisation par référentiel
Se positionner comme expert NIS2, DORA, EBIOS RM, RGPD ou HDS. Très demandé pendant les phases de transposition réglementaire, plus calme ensuite. Profil à renouveler tous les 3-5 ans.
RSSI freelance / Interim Manager
Prendre la fonction RSSI à temps plein chez une PME ou ETI pendant 6 à 18 mois, le temps qu’elle recrute en interne. TJM 1 200-1 700 €/j, contrats longs en régie. Trajectoire la plus rémunératrice mais aussi la plus exposée politiquement.
Création de cabinet
À terme, structurer une équipe et passer du freelance solo à la société de conseil. Possibilité de viser la qualification PASSI ANSSI (3 à 5 ans d’investissement). Très rentable mais demande de devenir manager et commercial.
Hybride formateur / consultant
Mix entre missions opérationnelles et activités de formation (organismes type ISACA, PECB, AFNOR Compétences, écoles d’ingénieurs). Stabilise les revenus et renforce la marque personnelle.
Le marché du consulting GRC est tiré par cinq dynamiques qui se renforcent mutuellement :
Côté distribution, l’écosystème français du GRC est animé par des associations actives : le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique), le CLUSIF (référentiels et études), et l’AFCDP pour les DPO. Y participer activement accélère significativement la construction de réseau.
Dix étapes pratiques, dans l’ordre, pour lancer une activité de consultant GRC freelance senior :
Si vous êtes DSI, RSSI, Risk Manager, DPO ou direction générale en quête d’un consultant GRC freelance, voici les points clés pour bien cadrer votre recherche et éviter les pièges classiques :
BinchamTalent permet aux recruteurs approuvés de publier leurs offres gratuitement et de contacter sans frais les Talents qui y postulent. Un abonnement ouvre en plus le sourcing de l’ensemble des dossiers de compétences publiés. Voir l’espace recruteur.
Les missions freelance consultant GRC cybersécurité se concentrent dans les grandes métropoles mais chaque région a ses donneurs d'ordre spécifiques. Voici un panorama des 13 bassins les plus actifs pour votre profil.
Île-de-France
Banque et assurance sous DORA (résilience opérationnelle, risque tiers, tests d'intrusion encadrés), énergie et transport, administrations centrales, cabinets de conseil cyber - le seul bassin français où les programmes de conformité pluriannuels justifient des équipes de gouvernance à demeure.
Voir les missions
Auvergne-Rhône-Alpes
Pharmacie et santé (systèmes qualifiés, référentiels qualité croisés avec l'ISO 27001), banque régionale sous DORA, collectivités et ETI industrielles qui nomment leur premier responsable conformité - la double lecture qualité pharmaceutique et sécurité y est la compétence la plus rare.
Voir les missions
Occitanie
Aéronautique, spatial et défense - certification ISO 27001, montée en conformité EASA Part-IS de toute la chaîne de sous-traitance, politiques de sécurité des systèmes classifiés : la gouvernance y est adossée à des référentiels sectoriels qu'on ne rencontre nulle part ailleurs.
Voir les missions
Nouvelle-Aquitaine
Défense et naval, collectivités de Nouvelle-Aquitaine engagées dans leur mise en conformité NIS2, écosystème du CyberCampus régional - un marché où la gouvernance publique pèse autant que l'industrielle, avec des premiers postes de responsable conformité dans les jeunes éditeurs.
Voir les missions
Pays de la Loire
Construction navale militaire et civile, télécoms, établissements de santé engagés dans le programme CaRE - la gouvernance y porte sur des systèmes de production et des données de conception industrielle, plus que sur des référentiels bancaires ou de service.
Voir les missions
Hauts-de-France
Grande distribution et logistique - conformité PCI-DSS des paiements, gestion des risques fournisseurs à l'échelle de dizaines de pays, RGPD sur de très gros volumes de données clients : un terrain de gouvernance retail sans équivalent en France.
Voir les missions
Grand Est
Chimie et agroalimentaire de spécialité (conformité des systèmes de contrôle industriel), banque coopérative sous DORA, institutions européennes - la gouvernance s'y écrit souvent en double référentiel français et allemand, une combinaison quasi absente du reste du marché.
Voir les missions
Provence-Alpes-Côte d'Azur
Transport maritime, énergie et aéronautique de voilure tournante - certification ISO 27001 déployée sur des réseaux d'agences mondiaux, conformité des systèmes industriels de raffinage, et un très grand centre hospitalier engagé dans son programme d'hébergement de données de santé.
Voir les missions
Occitanie
Santé publique et industrie pharmaceutique - hébergement de données de santé, référentiels de sécurité hospitaliers, environnements de production qualifiés et mise en conformité des dispositifs médicaux connectés : une gouvernance santé que peu de marchés régionaux permettent de pratiquer.
Voir les missions
Bretagne
Cyberdéfense et télécoms - politiques de sécurité de programmes militaires, évaluation selon les Critères Communs, conformité des opérateurs de réseau, et collectivités bretonnes en mise en conformité NIS2 : la gouvernance des systèmes sensibles y est un métier à part entière.
Voir les missions
Côte d'Azur
Fournisseurs de services critiques du transport aérien, hôtellerie et établissements publics - obligations de résilience opérationnelle, conformité des paiements hôteliers, projets NIS2 des collectivités et hébergement de données de santé : une gouvernance partagée entre entreprises internationales et acteurs publics.
Voir les missions
Auvergne-Rhône-Alpes
Micro-électronique, énergie et recherche publique - conformité des chaînes d'approvisionnement de semi-conducteurs, sécurisation des systèmes de contrôle industriel selon les normes du secteur, protection des résultats de recherche et contrôle des technologies à double usage : une gouvernance très technique.
Voir les missions
Provence-Alpes-Côte d'Azur
Éditeurs de logiciels et R&D d'entreprise du parc - certification SOC 2 attendue par les clients américains, gouvernance du risque fournisseur sur des centaines de prestataires, et premiers postes de conformité dans les jeunes pousses du pôle Solutions Communicantes Sécurisées.
Voir les missions
BinchamTalent connecte les consultant GRC cybersécurités freelance avec des recruteurs approuvés dans toute la France - contrat en direct, sans commission, sans intermédiaire.
Selon les baromètres marché 2025-2026 (Free-Work, Malt, Apec), le TJM d'un consultant GRC se situe entre 500 € (junior) et 1 400 € (senior auditeur lead ISO 27001 ou expert DORA). Le profil confirmé certifié ISO 27001 Lead Auditor (4-7 ans) facture en moyenne 800 €/j. Les missions de pilotage de conformité NIS2 ou DORA, soumises à pression réglementaire forte, paient généralement 15 à 25 % au-dessus du TJM standard.
Un consultant GRC (Gouvernance, Risques, Conformité) intervient sur des activités d'audit, de méthodologie et de mise en conformité. Il rédige des PSSI, conduit des audits ISO 27001, anime des comités sécurité, présente des indicateurs au COMEX. Un ingénieur cybersécurité opérationnel, lui, configure des firewalls, exploite des SIEM, mène des pentests. Les deux métiers sont complémentaires mais les compétences attendues sont distinctes : GRC = communication, méthodologie, juridique ; technique = protocoles, outils, code. Beaucoup de RSSI viennent du GRC ; beaucoup d'architectes sécurité viennent de la technique.
Trois certifications dominent le marché français. ISO 27001 Lead Auditor (PECB, BSI ou AFNOR) est la référence absolue pour les audits de SMSI : indispensable pour candidater aux missions PASSI ou conduire un audit de certification. ISO 27001 Lead Implementer accompagne sa cousine pour les missions de déploiement. CISA (ISACA) est la certification la plus reconnue internationalement pour l'audit SI. À cela s'ajoutent CISM (ISACA) pour la gouvernance, CRISC (ISACA) pour le risque, et ISO 22301 Lead Implementer pour la continuité d'activité (PCA/PRA). Les profils orientés conformité sectorielle valorisent en plus DPO (CNIL), CIPP/E (IAPP) ou Certified DORA Practitioner.
Un consultant GRC opère sur deux niveaux de frameworks. Les référentiels de gouvernance et d'audit : ISO 27001/27002 (système de management de la sécurité de l'information), NIST Cybersecurity Framework (5 fonctions : Identify, Protect, Detect, Respond, Recover), COBIT 2019 (gouvernance IT), ITIL 4 (gestion des services), CIS Controls v8 (mesures techniques prioritaires). Les méthodes d'analyse de risques : EBIOS RM (méthode officielle française publiée par l'ANSSI), ISO 27005, NIST 800-30, FAIR (Factor Analysis of Information Risk) pour la quantification financière des risques cyber. La maîtrise de plusieurs frameworks ouvre les portes des grands comptes internationaux et des cabinets de conseil.
Trois leviers principaux. (1) Spécialisation verticale : choisir un secteur (banque, santé, énergie, secteur public) et le maîtriser à fond - vocabulaire métier, contraintes réglementaires, jurisprudence. C'est le premier différenciateur d'un profil senior. (2) Valeur ajoutée pragmatique : livrer des plans d'action réalistes, avec des estimations de charge et des arbitrages assumés, et pas seulement un état des lieux. (3) Réactivité : un freelance disponible peut démarrer une mission urgente en une semaine, ce qui répond bien aux pics de charge réglementaires. Sur les TJM, un senior freelance GRC se positionne souvent entre 900 et 1 300 €/j.
L'erreur courante est de vouloir tout traiter en parallèle. La méthode éprouvée est en cinq étapes : (1) cartographie des actifs critiques et identification des données sensibles (RGPD, secrets industriels, données HDS, etc.) ; (2) gap analysis vs le ou les référentiels applicables - un référentiel à la fois, en commençant par celui qui pèse juridiquement le plus (DORA pour la finance, NIS2 pour les OIV/OSE, HDS pour la santé) ; (3) plan de remédiation priorisé par impact et coût ; (4) exécution sur 6 à 18 mois avec comités mensuels ; (5) audit blanc avant l'audit officiel ou la déclaration aux autorités. Beaucoup de missions s'arrêtent à l'étape 2 - l'erreur est de laisser le client seul à partir de là.
Ce n'est pas obligatoire mais c'est un accélérateur très significatif. Trois profils accèdent à la GRC freelance senior : (1) les ex-RSSI internes qui basculent en consultant après 8-15 ans en entreprise - ils apportent le poids du vécu et la capacité de parler à un COMEX ; (2) les anciens auditeurs Big 4 (KPMG, EY, PwC, Deloitte) ou cabinets spécialisés (Wavestone, Devoteam, Mazars) - ils apportent la méthodologie et la rigueur documentaire ; (3) les techniques qui ont basculé en gouvernance via les certifications ISO 27001 - ils apportent la crédibilité technique mais doivent travailler les soft skills. Aucun parcours n'est meilleur en absolu ; chacun cible des clients différents.
BinchamTalent vous met en relation directe avec les recruteurs et les DSI qui lancent des chantiers GRC : vous publiez votre dossier de compétences, ils vous contactent en direct. Vous négociez vous-même votre TJM et vous contractualisez en direct avec l'entreprise - 0 commission, 0 marge sur votre rémunération : vous gardez 100 % de votre TJM. La mise en visibilité est ciblée cybersécurité/GRC : votre dossier est qualifié ISO 27001, EBIOS RM, NIS2 et DORA, et non dilué dans un vivier généraliste.
Oui : votre profil BinchamTalent reflète votre disponibilité réelle et les recruteurs peuvent vous contacter avant même la fin de votre mission actuelle. Disponible immédiatement, à partir d'une date, ou en mission mais ouvert à des opportunités - les recruteurs anticipent leur besoin. Mettez simplement à jour votre disponibilité dans votre dossier après chaque changement de situation.
Si vous explorez d’autres spécialisations proches du GRC :
Toutes les références sont des organismes officiels ou des publications reconnues du marché GRC. Les fourchettes de TJM citées sont indicatives.
Référentiels & normes
Organismes certif.
Cette page a une vocation informative. Les fourchettes de TJM et les listes de certifications, écoles et frameworks citées sont compilées à partir de sources publiques 2024-2026 et peuvent évoluer. Pour des données officielles et à jour, consultez directement les publications Apec, Numeum, OPIIEC, CESIN et les sites officiels des organismes de certification (ISACA, PECB, AFNOR, BSI).
