Appeler un DSI ou un RSSI à froid, c’est appeler des personnes qui passent leur temps à se protéger contre ce que vous êtes en train de faire : un inconnu qui téléphone et pose des questions sur leur organisation. Pour un directeur des systèmes d’information, et plus encore pour un responsable de la sécurité des systèmes d’information, la confiance se gagne avant l’argument : soyez vérifiable, ne demandez rien de sensible, et parlez risque ou disponibilité plutôt que fonctionnalités.
Ce guide fait partie d’une série sur les décideurs à appeler en prospection B2B. Il complète nos guides sur les accroches, les scripts et les objections.
Qu’est-ce qui occupe un DSI et un RSSI en 2026 ?
Dans une PME, le DSI est souvent seul, ou presque, et cumule les rôles : infrastructure, applications, support, sécurité. Dans une ETI ou un grand groupe, le RSSI est un poste distinct, parfois rattaché au DSI, parfois à la direction générale ou à la direction des risques. Dans une start-up, le CTO dirige plutôt l’équipe technique du produit, et la sécurité de l’entreprise est souvent un sujet partagé.
Trois sujets dominent leur agenda en 2026.
Une menace qui ne baisse pas. Selon le 11e baromètre du CESIN, réalisé avec OpinionWay et publié en janvier 2026, quatre entreprises françaises sur dix déclarent avoir subi au moins une cyberattaque significative en 2025, et l’hameçonnage reste la première porte d’entrée, devant l’exploitation de vulnérabilités et les attaques par des tiers (Solutions Numériques, 28 janvier 2026). Au niveau mondial, le rapport 2026 d’IBM et du Ponemon Institute estime le coût moyen d’une violation de données à 4,99 millions de dollars, en hausse de 12 % sur un an, sur la base de 602 violations survenues entre mars 2025 et février 2026 (Baker Donelson, 30 juillet 2026).
Le téléphone fait désormais partie de la menace. Le Global Threat Report 2025 de CrowdStrike, publié le 27 février 2025, mesure une hausse de 442 % des opérations d’hameçonnage vocal entre le premier et le second semestre 2024 (CrowdStrike, résumé du rapport). Dans ces campagnes, les attaquants se font souvent passer pour le support informatique. C’est le contexte dans lequel votre appel arrive : un RSSI a appris à ses équipes à se méfier d’un inconnu qui téléphone et pose des questions.
Une réglementation qui se fait attendre. La directive européenne NIS2 étend les obligations de cybersécurité à des milliers d’entreprises de taille moyenne. En France, le projet de loi Résilience qui la transpose a été adopté par le Sénat le 12 mars 2025, mais son examen en séance à l’Assemblée nationale, prévu les 7 et 9 octobre 2026, a été retiré de l’ordre du jour le 6 octobre (Myra Security, état au 11 octobre 2026). Beaucoup d’entreprises se préparent sans connaître la version finale du texte. Pour les entités financières, le règlement DORA s’applique, lui, depuis le 17 janvier 2025.
Des ressources limitées. Le DSI d’une PME arbitre en permanence entre les projets demandés par les métiers, la dette technique, les coûts du cloud et la sécurité. Chaque nouvel outil est aussi un nouveau fournisseur à évaluer, à intégrer et à surveiller.
Leurs KPI et leur vocabulaire
Un DSI vous demandera ce que votre outil change pour les utilisateurs et pour son équipe. Un RSSI vous demandera ce qu’il change pour son niveau de risque, et ce qu’il ajoute comme risque. C’est la question que la plupart des commerciaux oublient : tout nouveau fournisseur est aussi une nouvelle surface d’attaque.
| Indicateur | Qui le suit | Comment votre appel peut s’y rattacher |
|---|---|---|
| Disponibilité, respect des SLA | DSI | Vous réduisez des interruptions ou des incidents de service |
| Budget informatique, coût du cloud | DSI | Vous remplacez plusieurs outils ou réduisez une facture |
| Avancement du portefeuille de projets | DSI | Vous libérez du temps d’équipe sur un projet prioritaire |
| Délai moyen de résolution des incidents | DSI, RSSI | Vous accélérez la détection ou la résolution |
| Couverture des correctifs, vulnérabilités ouvertes | RSSI | Vous réduisez le nombre de failles non traitées |
| Taux de clic aux campagnes d’hameçonnage simulées | RSSI | Vous améliorez la sensibilisation des salariés |
| Conformité (ISO 27001, NIS2, DORA, RGPD) | RSSI | Vous fournissez une preuve ou un contrôle attendu |
| Risque fournisseurs | RSSI | Vous êtes vous-même un fournisseur peu risqué, et vous le prouvez |
Leur vocabulaire : surface d’attaque, moindre privilège, SSO, MFA, PCA/PRA (plans de continuité et de reprise), PAS (plan d’assurance sécurité), analyse de risques, homologation, shadow IT, dette technique, FinOps. Si vous ne maîtrisez pas un terme, ne l’utilisez pas : un RSSI teste souvent la profondeur d’un commercial avec une question technique.
Quand appeler un DSI ou un RSSI
| Période | Ce qui se passe | Votre stratégie |
|---|---|---|
| Fin d’année | Gel des changements fréquent, clôtures, congés | Appels courts, objectif de rendez-vous en janvier |
| Audits de certification (ISO 27001, par exemple) | Équipe mobilisée sur les preuves | Évitez |
| Mises en production majeures, migrations | Disponibilité minimale | Évitez, rappelez après |
| Incident de sécurité public | Gestion de crise | N’appelez pas pour vendre |
| Préparation budgétaire (souvent à l’automne) | Arbitrages pour l’année suivante | Bon moment pour entrer dans le plan |
| Arrivée d’un nouveau DSI ou RSSI | Revue de l’existant | Votre meilleure fenêtre |
Dans la journée, le début de matinée et la fin d’après-midi évitent les réunions de projet et les comités. Notre guide du meilleur moment pour appeler un prospect B2B et l’outil quand appeler vous aident à choisir vos créneaux.
Comment passer le barrage sans passer par le support
Le DSI et le RSSI ont rarement une assistante dédiée dans une PME. Le barrage, c’est le standard, la boîte générique et leur réflexe de laisser sonner un numéro inconnu. Les techniques générales sont dans notre guide du barrage secrétaire. Trois règles propres à cette fonction :
- Ne passez jamais par le support informatique. Appeler la hotline pour obtenir un nom, un numéro direct ou le nom d’un outil, c’est reproduire le scénario d’ingénierie sociale que le support est formé à repérer. Au mieux on vous raccroche au nez, au pire votre appel est remonté au RSSI comme une tentative suspecte.
- Annoncez votre démarche au standard. « Bonjour, Julien Moreau, de [société], c’est un appel de prospection pour la direction informatique. Pouvez-vous me dire à qui je peux m’adresser, ou me transférer ? » La transparence rassure, et un standard qui sait que vous êtes un commercial vous orientera plus volontiers qu’un standard qui doute.
- Annoncez l’appel par écrit. Un e-mail ou un message LinkedIn de deux lignes la veille, avec votre nom, votre société et le sujet, permet au DSI de vérifier qui vous êtes avant de décrocher. Pour un RSSI, c’est presque indispensable. Notre article sur l’appel tiède et l’appel à froid détaille cette approche.
3 accroches pour un DSI ou un RSSI
Une bonne accroche pour ces interlocuteurs contient trois éléments : votre identité vérifiable, un sujet qui relève de leur périmètre, et aucune demande d’information sensible. Les principes généraux sont dans notre article sur les accroches de cold call.
1. L’accroche vérifiable (RSSI). « Bonjour Madame Fabre, Julien Moreau, de [société], vous pouvez retrouver ma page sur [site de votre entreprise]. Je vous ai écrit hier sur LinkedIn. Je vous appelle au sujet de [sujet de son périmètre] : est-ce que c’est un bon moment pour trente secondes, ou je vous propose un créneau ? »
2. L’accroche projet (DSI). « Bonjour Monsieur Caron, Julien Moreau, de [société]. On aide des DSI d’ETI industrielles à [résultat mesurable sur un de ses indicateurs]. Je ne connais pas votre situation, d’où mon appel : est-ce un sujet sur votre feuille de route de l’année prochaine ? »
3. L’accroche réglementaire, à manier avec précaution. « Bonjour Madame Fabre, Julien Moreau, de [société]. Beaucoup de RSSI que j’appelle préparent NIS2 sans connaître la version finale de la loi française. Nous aidons sur [point précis et vérifiable]. Est-ce que c’est un chantier ouvert chez vous ? » N’utilisez cette accroche que si votre offre répond réellement à une exigence de la directive, et sans jamais suggérer une sanction imminente : jouer sur la peur est la manière la plus sûre de perdre un RSSI.
5 objections typiques d’un DSI ou d’un RSSI et comment y répondre
« Comment avez-vous eu mon numéro ? » Répondez immédiatement et précisément : « Il vient de [source exacte]. Si vous ne souhaitez plus être appelée, je le note tout de suite. » Le RGPD impose d’informer la personne de l’origine des données. Un RSSI pose souvent cette question pour tester le fournisseur : une réponse floue met fin à la relation.
« Envoyez-moi votre documentation sécurité. » « Bien sûr. Nous avons [documents disponibles : politique de sécurité, certifications, questionnaire rempli]. Je vous l’envoie aujourd’hui. Pour que vous la lisiez avec le bon contexte, est-ce qu’on peut prévoir vingt minutes après votre lecture ? » Ayez ces documents prêts avant d’appeler un RSSI : s’ils n’existent pas, vous n’êtes pas prêt pour cette cible.
« Passez par le référencement fournisseurs. » « Je le ferai. Est-ce que vous pouvez me dire qui le pilote, et si le sujet vous paraît pertinent ? Je préfère arriver au référencement avec votre accord de principe. »
« On ne prend pas d’appels de fournisseurs. » « Je comprends, et je ne vous rappellerai pas. Est-ce que je peux vous envoyer un e-mail de cinq lignes que vous lirez quand vous voudrez ? » Respectez le refus : ce profil se souvient des commerciaux qui insistent.
« On a déjà un outil, ou un intégrateur, pour ça. » « C’est normal. Je ne vous demande pas lequel. Ce qui fait changer nos clients, en général, c’est [raison précise]. Si ce n’est pas un problème chez vous, je vous laisse tranquille. » Ne demandez pas le nom de l’outil en place : c’est précisément l’information qu’un RSSI ne donne pas à un inconnu.
Notre outil d’entraînement aux objections permet de répéter ces réponses à l’oral.
Un script court pour appeler un RSSI
Vous : Bonjour Madame Fabre, Julien Moreau, de [société]. Je vous ai écrit hier sur LinkedIn à propos de [sujet]. C’est un appel de prospection : vous avez une minute, ou je vous propose un autre moment ?
RSSI : Une minute. Comment avez-vous eu mon numéro ?
Vous : Il vient de [source exacte]. Si vous préférez ne plus être appelée, je le note. Sinon, voici pourquoi j’appelle : nous aidons des RSSI d’ETI à [résultat mesurable]. Je ne vous demande rien sur votre environnement aujourd’hui. Ma seule question : est-ce un sujet sur lequel vous prévoyez d’avancer dans les douze prochains mois ?
RSSI : Peut-être. Envoyez-moi de la documentation.
Vous : Je vous envoie aujourd’hui notre [document de sécurité] et une page qui explique la démarche. Je vous propose vingt minutes après votre lecture, par exemple jeudi en huit à 9 h, avec quelqu’un de notre équipe technique. Si la lecture ne vous convainc pas, vous me le dites et je n’insiste pas.
Le script suit la structure de notre modèle de script cold call, avec deux ajustements propres à cette cible : la source des données est donnée sans détour, et aucune question n’est posée sur l’environnement technique. Les questions de qualification viennent au deuxième rendez-vous, avec nos questions de découverte.
Les erreurs à éviter avec un DSI ou un RSSI
Poser des questions de reconnaissance. Outils en place, versions, organisation de l’équipe, prestataires : rien de tout cela au premier appel.
Jouer sur la peur. « Avec NIS2, vous risquez des millions d’amende » ou « vous êtes la prochaine cible » : un RSSI entend ce discours tous les jours et le classe dans le marketing anxiogène.
Se présenter de façon vague. « Je vous appelle de la part d’un partenaire » ou un prénom seul déclenchent tous les signaux d’alerte. Nom complet, société, raison de l’appel.
Promettre une sécurité absolue. « Avec nous, vous êtes protégé » est faux pour n’importe quel produit, et un RSSI le sait.
Ne pas avoir sa propre documentation de sécurité. Un fournisseur incapable de dire où sont hébergées ses données, qui y accède et comment elles sont protégées ne passera pas l’évaluation, quelle que soit la qualité de son produit.
Rappeler en boucle. Un DSI qui a dit non une fois et qui reçoit cinq appels de suite peut bloquer votre numéro, et parfois signaler votre domaine.
Si vous appelez des listes de DSI ou de RSSI, un power dialer, qui compose un numéro à la fois, vous laisse le temps de relire la fiche et le message envoyé la veille avant chaque appel. L’enregistrement et la transcription vous évitent de redemander une information déjà donnée, ce qu’un RSSI remarque toujours. Pensez à respecter les règles d’information sur l’enregistrement, détaillées dans notre article sur l’enregistrement des appels en entreprise.
Les autres décideurs de la série
- Appeler un DAF : un décideur qui transforme toute proposition en coût complet et en délai de retour.
- Appeler un directeur marketing : un décideur jugé sur le pipeline, qui reconnaît toutes les techniques de prospection.
- Appeler un directeur commercial : quelqu’un qui fait votre métier et jugera votre appel en connaisseur.
- Appeler un DRH : un décideur pris entre recrutement, droit social et budget.
- Appeler un dirigeant de PME : celui qui décide de tout et n’a le temps de rien.
Ce qu’il faut retenir
- Pour un DSI et surtout un RSSI, un appel inconnu ressemble d’abord à une attaque : la confiance passe avant l’argument.
- Soyez vérifiable, annoncez l’appel par écrit, et ne posez aucune question sur l’environnement technique au premier contact.
- Parlez disponibilité, projets et coûts au DSI ; risque, conformité et preuve au RSSI.
- Évitez les gels de fin d’année, les audits et les mises en production, et n’appelez jamais pour vendre pendant un incident public.
- Ayez votre propre documentation de sécurité prête : c’est souvent elle qui décide du deuxième rendez-vous.
