Un consultant en cybersécurité freelance facture souvent entre 550 et 900 € HT par jour, selon qu'il fait de l'audit technique, de la gouvernance (GRC) ou du management de la sécurité en transition. Il exerce le plus souvent en SASU ou en EURL. Le métier impose des précautions particulières : une autorisation écrite et précise avant tout test d'intrusion, une RC Pro qui couvre explicitement les activités de sécurité, et des missions sous habilitation parfois difficiles d'accès en indépendant.
- TJM indicatifs : 550 à 900 €, davantage pour un RSSI de transition expérimenté.
- Jamais de test d'intrusion sans autorisation écrite signée par une personne habilitée.
- La RC Pro doit couvrir les activités de sécurité offensive, souvent exclues par défaut.
- Certains audits exigent une qualification ou une habilitation : renseignez-vous avant de répondre.
Les métiers et leurs TJM observés
La cybersécurité recouvre des métiers très différents. Les fourchettes ci-dessous sont indicatives et prudentes, pour des missions en France.
| Profil | TJM observé (HT) | Livrable type |
|---|---|---|
| Consultant GRC / conformité | 550 à 800 € | Analyse de risques, politique de sécurité, conformité |
| Auditeur / pentesteur | 600 à 900 € | Rapport d'audit, tests d'intrusion |
| Ingénieur sécurité (SOC, cloud, IAM) | 550 à 800 € | Mise en œuvre, supervision, durcissement |
| RSSI de transition | 800 à 1 200 € | Pilotage de la sécurité sur une période donnée |
La simulation à 800 € par jour montre ce qu'il reste après cotisations et impôts.
Statut et organisation
Comme pour les autres métiers IT à ce niveau de TJM, la société s'impose. SASU et EURL fonctionnent toutes deux ; le choix se fait sur la protection sociale et la façon de vous rémunérer. Voyez le statut d'un freelance IT.
Beaucoup de consultants en sécurité alternent missions longues en régie (ingénieur sécurité, RSSI délégué) et missions courtes au forfait (audit, test d'intrusion). Ce rythme irrégulier rend la gestion de la trésorerie importante : gardez plusieurs mois de charges d'avance.
Tests d'intrusion : l'autorisation écrite n'est pas une formalité
Accéder ou se maintenir sans droit dans un système informatique est un délit pénal. Ce qui distingue un test d'intrusion d'une attaque, c'est l'autorisation du client. Elle doit être écrite, signée et précise.
- Signataire habilité à engager le client, et propriétaire réel des systèmes testés (attention aux infrastructures hébergées chez un tiers).
- Périmètre exact : adresses, applications, environnements, et ce qui est exclu.
- Fenêtre de test, techniques autorisées ou interdites (ingénierie sociale, déni de service).
- Contacts d'urgence et procédure d'arrêt en cas d'incident.
- Traitement et destruction des données collectées en fin de mission.
Assurances : RC Pro et garantie cyber
Une RC Pro standard de prestataire informatique exclut parfois les activités de sécurité offensive. Déclarez précisément votre activité à l'assureur et obtenez une attestation qui mentionne les tests d'intrusion si vous en faites.
- Plafond de garantie cohérent avec les systèmes audités.
- Couverture des dommages immatériels (indisponibilité, perte de données).
- Garantie cyber pour vos propres incidents : vol de votre poste, compromission de vos outils contenant des rapports clients.
Freenside offre la RC Pro avec l'abonnement payant ; son réseau d'assureurs peut aussi étudier une couverture plus spécifique. Vérifiez dans tous les cas que l'attestation mentionne bien votre activité réelle.
Équipement et frais propres au métier
- Postes dédiés aux tests, matériel réseau, cartes et équipements radio : achetés par la société, amortis selon leur valeur.
- Licences d'outils d'audit commerciaux et abonnements de veille : déductibles.
- Certifications et conférences de sécurité : frais de formation, avec les déplacements associés.
- Stockage chiffré des rapports et des preuves : à prévoir dès le départ.
Voyez les frais déductibles d'un freelance pour les règles générales.
Questions fréquentes
Quel est le TJM d'un pentesteur freelance ?
Les fourchettes observées vont souvent de 600 à 900 € HT par jour, selon l'expérience, les certifications et le type de cible. Ce sont des repères indicatifs.
Un freelance peut-il faire des tests d'intrusion légalement ?
Oui, avec une autorisation écrite et précise du client, signée par une personne habilitée et portant sur des systèmes qu'il détient réellement. Sans autorisation, l'intrusion est un délit.
Peut-on être RSSI à temps partagé en freelance ?
Oui, de nombreuses PME font appel à un RSSI externalisé quelques jours par mois. Le contrat doit préciser votre rôle de conseil, pour éviter que la responsabilité de la sécurité repose entièrement sur vous.
Faut-il être habilité pour travailler en cybersécurité ?
Pas en général. Certaines missions dans la défense ou auprès d'opérateurs sensibles l'exigent. La procédure passe par le donneur d'ordre et peut être plus difficile en indépendant.
Ce guide donne des repères généraux selon les règles en vigueur à sa date de mise à jour. Il ne remplace pas un conseil adapté à votre situation : votre expert-comptable valide avec vous chaque choix.
Une équipe d'experts répond à votre situation.
Expert-comptable, fiscaliste, avocats, assureurs : on regarde votre TJM, votre statut et vos objectifs, et on vous dit concrètement quoi faire. 30 minutes, sans engagement.
Pas une IA : des experts humains, spécialisés freelances, qui vous répondent.