Micro-entreprise, SASU ou EURL : quel statut pour un consultant en cybersécurité ?
La micro-entreprise convient pour démarrer ou tester une activité de pentest à côté d'un poste salarié. Son plafond, fixé à 83 600 € de chiffre d'affaires annuel pour les prestations de services de 2026 à 2028, est toutefois vite atteint par un auditeur qui enchaîne les missions, et le régime ne déduit aucune dépense réelle : ni le lab, ni les certifications, ni les conférences. Seul s'applique un abattement forfaitaire de 34 % pour l'impôt sur le revenu.
Dès que l'activité devient régulière, une société prend le relais. En SASU, vous êtes président assimilé salarié et pouvez combiner salaire et dividendes. En EURL, le gérant associé unique relève des travailleurs non salariés, avec des cotisations calculées autrement et une protection sociale différente. Nous comparons les deux sur vos chiffres avant de créer quoi que ce soit.
Pentester freelance : le cadre contractuel des tests d'intrusion
Un test d'intrusion n'est légal que s'il est autorisé par écrit. L'article 323-1 du Code pénal punit l'accès ou le maintien frauduleux dans un système de traitement automatisé de données de trois ans d'emprisonnement et de 100 000 € d'amende : c'est l'autorisation du client qui fait de votre intervention une prestation et non une infraction.
La convention d'audit précise donc le périmètre (adresses IP, applications, environnements de recette ou de production), les dates et plages horaires, les techniques exclues et les contacts à joindre en cas d'incident. Elle doit être signée par une personne qui a réellement le pouvoir d'autoriser l'accès. En sous-traitance d'un cabinet ou d'une ESN, vérifiez que l'autorisation donnée par le client final couvre bien votre intervention.
Les outils aussi sont encadrés : l'article 323-3-1 sanctionne la détention ou la mise à disposition d'outils conçus pour attaquer un système, sauf motif légitime, notamment de recherche ou de sécurité informatique. Une activité déclarée, des contrats signés et des factures en ordre documentent le cadre professionnel dans lequel vous les utilisez.
Assurance RC Pro : obligatoire ou non pour un pentester ?
Non, la loi n'impose pas d'assurance responsabilité civile professionnelle aux consultants en sécurité informatique, à la différence des professions de santé ou du droit. Mais un client peut en demander l'attestation à la signature, et un incident pendant un test, comme un service interrompu ou des données altérées, peut engager votre responsabilité.
Lisez le contrat de près : il doit viser explicitement l'audit et les tests d'intrusion, pas seulement le conseil informatique, et ses exclusions doivent être compatibles avec vos méthodes. La prime est une charge de votre société, déductible comme les autres dépenses engagées pour l'activité.
Qualification PASSI : ce qu'elle change pour un indépendant
La qualification PASSI (prestataire d'audit de la sécurité des systèmes d'information) est attribuée selon un référentiel de l'ANSSI à des prestataires, c'est-à-dire des entreprises. Ses portées couvrent l'audit de code source, d'architecture et de configuration, l'audit organisationnel et physique et les tests d'intrusion. Les auditeurs sont évalués individuellement, mais c'est la structure qui est qualifiée.
Pour un freelance, deux voies existent. Vous intervenez pour un prestataire qualifié, qui vous impose ses méthodes et ses règles de confidentialité ; votre contrat avec lui fixe votre tarif et vos délais de paiement. Ou vous montez avec des associés un cabinet d'audit qui vise lui-même la qualification : c'est alors un projet de société à part entière, avec capital, pacte d'associés et organisation, que nous structurons avec vous dès le départ.
RSSI à temps partagé : quel statut et comment facturer ?
Être RSSI à temps partagé, c'est porter la sécurité de plusieurs entreprises à la fois, avec pour chacune un forfait mensuel ou un nombre de jours fixe. Une société, SASU ou EURL, est le cadre naturel de cette activité : elle lisse votre rémunération, garde une réserve de trésorerie et déduit vos outils de pilotage, de la plateforme GRC aux abonnements de veille.
Ce modèle crée des revenus réguliers mais concentrés sur quelques contrats. Nous suivons l'échéance de chacun et la facturation récurrente, comme pour les DAF à temps partagé, qui vivent la même organisation. La directive européenne NIS2 élargit fortement le nombre d'organisations tenues de gérer leurs risques cyber, même si sa transposition en droit français n'était pas achevée à l'automne 2026. Vos missions croisent aussi celles des consultants RGPD et DPO externalisés, avec qui vous partagez souvent les mêmes clients.
TJM d'un consultant cybersécurité freelance : ce qu'il reste vraiment
Le TJM d'un consultant en cybersécurité dépend de la spécialité (pentest applicatif, audit d'infrastructure, gouvernance et conformité, réponse à incident), de la séniorité, des certifications et du fait de travailler en direct ou via un intermédiaire. Nous raisonnons sur votre tarif réel plutôt que sur une moyenne de marché.
Entre le tarif et votre revenu net, il faut retirer les jours non facturés (préparation, rédaction des rapports, veille, passage de certifications), les frais, les cotisations et l'impôt. Le rapport d'audit et sa restitution prennent du temps : un forfait de test qui les oublie fait baisser d'autant votre taux journalier effectif.
Certifications, lab et veille : quels frais déduire ?
En société, une dépense est déductible si elle est engagée dans l'intérêt de l'entreprise, effective et justifiée. Pour un consultant en sécurité, cela couvre les certifications (OSCP, OSWE, CISSP, CEH…), les plateformes d'entraînement, les licences d'outils d'audit, les conférences spécialisées et les déplacements pour s'y rendre.
Le matériel de lab suit une règle simple : les petits équipements et logiciels d'une valeur unitaire jusqu'à 500 € HT peuvent en principe passer directement en charges ; au-delà, ils sont amortis sur leur durée d'utilisation. Un serveur de test s'amortit, un adaptateur Wi-Fi passe en charges. Les primes de bug bounty versées par une plateforme sont un autre sujet propre au métier : nous regardons avec vous comment les intégrer à vos comptes.
Pourquoi un expert-comptable qui connaît les métiers de la cybersécurité
Un consultant en sécurité a peu de clients mais des montants élevés, signe des conventions sensibles, investit chaque année dans ses certifications et alterne missions longues et audits courts. DCE Expertise, cabinet de Déborah Cattan, experte-comptable et commissaire aux comptes, accompagne les consultants en cybersécurité indépendants partout en France, à distance ou au cabinet, dans le cadre de notre accompagnement des freelances de l'informatique et du conseil.
Les mêmes questions de structure se posent pour les architectes SI et les consultants cloud et DevOps : statut, frais de certification, rémunération. Nous vous répondons rapidement, avec un interlocuteur qui connaît votre dossier.
Cybersécurité, faisons le point sur votre situation.
Prendre rendez-vous
