--- title: "Cold call DSI et RSSI : accroches, objections, script" description: "Appeler un DSI ou un RSSI : gagner la confiance, quand appeler, 3 accroches, 5 objections et leurs réponses, un script court et les erreurs à éviter." url: https://skipcall.io/blog/cold-call-dsi-rssi language: fr last_updated: 2026-11-05 --- [Demander à Claude sur cet article](https://claude.ai/new?q=Je%20lis%20%22Cold%20call%20d'un%20DSI%20ou%20d'un%20RSSI%20%3A%20prospecter%20sans%20ressembler%20%C3%A0%20une%20attaque%22%20\(https%3A%2F%2Fskipcall.io%2Fblog%2Fcold-call-dsi-rssi\).%20Lis%20l'article%2C%20puis%20r%C3%A9ponds%20%C3%A0%20mes%20questions%20dessus.) [Demander à ChatGPT sur cet article](https://chatgpt.com/?q=Je%20lis%20%22Cold%20call%20d'un%20DSI%20ou%20d'un%20RSSI%20%3A%20prospecter%20sans%20ressembler%20%C3%A0%20une%20attaque%22%20\(https%3A%2F%2Fskipcall.io%2Fblog%2Fcold-call-dsi-rssi\).%20Lis%20l'article%2C%20puis%20r%C3%A9ponds%20%C3%A0%20mes%20questions%20dessus.) LinkedIn X [Retour au blog](https://skipcall.io/blog) cold calling Créé le 5 novembre 2026 # Cold call d'un DSI ou d'un RSSI : prospecter sans ressembler à une attaque Pour un DSI et plus encore pour un RSSI, un appel d'un numéro inconnu qui pose des questions sur le système d'information ressemble d'abord à de l'ingénierie sociale. Ce qui les occupe en 2026, leurs KPI, leur vocabulaire, quand les appeler, comment passer le barrage sans passer par le support, 3 accroches, 5 objections avec leurs réponses, un script court et les erreurs qui grillent un fournisseur. 4 sur 10 entreprises françaises ont subi au moins une cyberattaque significative en 2025, le phishing restant la première porte d'entrée (baromètre CESIN, janvier 2026) +442 % d'attaques par hameçonnage vocal entre le premier et le second semestre 2024 (CrowdStrike, Global Threat Report 2025) 4,99 M$ coût moyen mondial d'une violation de données en 2026, en hausse de 12 % sur un an (IBM, Cost of a Data Breach 2026) Appeler un DSI ou un RSSI à froid, c’est appeler des personnes qui passent leur temps à se protéger contre ce que vous êtes en train de faire : un inconnu qui téléphone et pose des questions sur leur organisation. Pour un directeur des systèmes d’information, et plus encore pour un responsable de la sécurité des systèmes d’information, la confiance se gagne avant l’argument : soyez vérifiable, ne demandez rien de sensible, et parlez risque ou disponibilité plutôt que fonctionnalités. Ce guide fait partie d’une série sur les décideurs à appeler en prospection B2B. Il complète nos guides sur les [accroches](https://skipcall.io/blog/accroche-cold-call), les [scripts](https://skipcall.io/blog/modele-script-cold-call) et les [objections](https://skipcall.io/blog/objections-cold-call-reponses). ## Qu’est-ce qui occupe un DSI et un RSSI en 2026 ? Dans une PME, le DSI est souvent seul, ou presque, et cumule les rôles : infrastructure, applications, support, sécurité. Dans une ETI ou un grand groupe, le RSSI est un poste distinct, parfois rattaché au DSI, parfois à la direction générale ou à la direction des risques. Dans une start-up, le CTO dirige plutôt l’équipe technique du produit, et la sécurité de l’entreprise est souvent un sujet partagé. Trois sujets dominent leur agenda en 2026. **Une menace qui ne baisse pas.** Selon le 11e baromètre du CESIN, réalisé avec OpinionWay et publié en janvier 2026, quatre entreprises françaises sur dix déclarent avoir subi au moins une cyberattaque significative en 2025, et l’hameçonnage reste la première porte d’entrée, devant l’exploitation de vulnérabilités et les attaques par des tiers ([Solutions Numériques, 28 janvier 2026](https://www.solutions-numeriques.com/barometre-cesin-2025-moins-dattaques-visibles-un-risque-cyber-plus-systemique/)). Au niveau mondial, le rapport 2026 d’IBM et du Ponemon Institute estime le coût moyen d’une violation de données à 4,99 millions de dollars, en hausse de 12 % sur un an, sur la base de 602 violations survenues entre mars 2025 et février 2026 ([Baker Donelson, 30 juillet 2026](https://www.bakerdonelson.com/ten-takeaways-from-ibms-2026-cost-of-a-data-breach-report)). Le téléphone fait désormais partie de la menace. Le Global Threat Report 2025 de CrowdStrike, publié le 27 février 2025, mesure une hausse de 442 % des opérations d’hameçonnage vocal entre le premier et le second semestre 2024 ([CrowdStrike, résumé du rapport](https://www.crowdstrike.com/fr-fr/resources/reports/global-threat-report-executive-summary-2025/)). Dans ces campagnes, les attaquants se font souvent passer pour le support informatique. C’est le contexte dans lequel votre appel arrive : un RSSI a appris à ses équipes à se méfier d’un inconnu qui téléphone et pose des questions. **Une réglementation qui se fait attendre.** La directive européenne NIS2 étend les obligations de cybersécurité à des milliers d’entreprises de taille moyenne. En France, le projet de loi Résilience qui la transpose a été adopté par le Sénat le 12 mars 2025, mais son examen en séance à l’Assemblée nationale, prévu les 7 et 9 octobre 2026, a été retiré de l’ordre du jour le 6 octobre ([Myra Security, état au 11 octobre 2026](https://www.myrasecurity.com/fr/savoir/nis2-loi-resilience/)). Beaucoup d’entreprises se préparent sans connaître la version finale du texte. Pour les entités financières, le règlement DORA s’applique, lui, depuis le 17 janvier 2025. **Des ressources limitées.** Le DSI d’une PME arbitre en permanence entre les projets demandés par les métiers, la dette technique, les coûts du cloud et la sécurité. Chaque nouvel outil est aussi un nouveau fournisseur à évaluer, à intégrer et à surveiller. ## Leurs KPI et leur vocabulaire **Un DSI vous demandera ce que votre outil change pour les utilisateurs et pour son équipe. Un RSSI vous demandera ce qu’il change pour son niveau de risque, et ce qu’il ajoute comme risque.** C’est la question que la plupart des commerciaux oublient : tout nouveau fournisseur est aussi une nouvelle surface d’attaque. | Indicateur | Qui le suit | Comment votre appel peut s’y rattacher | | - | - | - | | Disponibilité, respect des SLA | DSI | Vous réduisez des interruptions ou des incidents de service | | Budget informatique, coût du cloud | DSI | Vous remplacez plusieurs outils ou réduisez une facture | | Avancement du portefeuille de projets | DSI | Vous libérez du temps d’équipe sur un projet prioritaire | | Délai moyen de résolution des incidents | DSI, RSSI | Vous accélérez la détection ou la résolution | | Couverture des correctifs, vulnérabilités ouvertes | RSSI | Vous réduisez le nombre de failles non traitées | | Taux de clic aux campagnes d’hameçonnage simulées | RSSI | Vous améliorez la sensibilisation des salariés | | Conformité (ISO 27001, NIS2, DORA, RGPD) | RSSI | Vous fournissez une preuve ou un contrôle attendu | | Risque fournisseurs | RSSI | Vous êtes vous-même un fournisseur peu risqué, et vous le prouvez | Leur vocabulaire : **surface d’attaque**, **moindre privilège**, **SSO**, **MFA**, **PCA/PRA** (plans de continuité et de reprise), **PAS** (plan d’assurance sécurité), **analyse de risques**, **homologation**, **shadow IT**, **dette technique**, **FinOps**. Si vous ne maîtrisez pas un terme, ne l’utilisez pas : un RSSI teste souvent la profondeur d’un commercial avec une question technique. ## Quand appeler un DSI ou un RSSI | Période | Ce qui se passe | Votre stratégie | | - | - | - | | Fin d’année | Gel des changements fréquent, clôtures, congés | Appels courts, objectif de rendez-vous en janvier | | Audits de certification (ISO 27001, par exemple) | Équipe mobilisée sur les preuves | Évitez | | Mises en production majeures, migrations | Disponibilité minimale | Évitez, rappelez après | | Incident de sécurité public | Gestion de crise | N’appelez pas pour vendre | | Préparation budgétaire (souvent à l’automne) | Arbitrages pour l’année suivante | Bon moment pour entrer dans le plan | | Arrivée d’un nouveau DSI ou RSSI | Revue de l’existant | Votre meilleure fenêtre | Dans la journée, le début de matinée et la fin d’après-midi évitent les réunions de projet et les comités. Notre [guide du meilleur moment pour appeler un prospect B2B](https://skipcall.io/blog/meilleur-moment-appeler-prospect-b2b) et l’outil [quand appeler](https://skipcall.io/outils/quand-appeler) vous aident à choisir vos créneaux. ## Comment passer le barrage sans passer par le support Le DSI et le RSSI ont rarement une assistante dédiée dans une PME. Le barrage, c’est le standard, la boîte générique et leur réflexe de laisser sonner un numéro inconnu. Les techniques générales sont dans notre [guide du barrage secrétaire](https://skipcall.io/blog/script-barrage-secretaire). Trois règles propres à cette fonction : 1. **Ne passez jamais par le support informatique.** Appeler la hotline pour obtenir un nom, un numéro direct ou le nom d’un outil, c’est reproduire le scénario d’ingénierie sociale que le support est formé à repérer. Au mieux on vous raccroche au nez, au pire votre appel est remonté au RSSI comme une tentative suspecte. 2. **Annoncez votre démarche au standard.** « Bonjour, Julien Moreau, de \[société], c’est un appel de prospection pour la direction informatique. Pouvez-vous me dire à qui je peux m’adresser, ou me transférer ? » La transparence rassure, et un standard qui sait que vous êtes un commercial vous orientera plus volontiers qu’un standard qui doute. 3. **Annoncez l’appel par écrit.** Un e-mail ou un message LinkedIn de deux lignes la veille, avec votre nom, votre société et le sujet, permet au DSI de vérifier qui vous êtes avant de décrocher. Pour un RSSI, c’est presque indispensable. Notre article sur [l’appel tiède et l’appel à froid](https://skipcall.io/blog/warm-call-vs-cold-call) détaille cette approche. ## 3 accroches pour un DSI ou un RSSI Une bonne accroche pour ces interlocuteurs contient trois éléments : votre identité vérifiable, un sujet qui relève de leur périmètre, et aucune demande d’information sensible. Les principes généraux sont dans notre article sur les [accroches de cold call](https://skipcall.io/blog/accroche-cold-call). **1. L’accroche vérifiable (RSSI).** « Bonjour Madame Fabre, Julien Moreau, de \[société], vous pouvez retrouver ma page sur \[site de votre entreprise]. Je vous ai écrit hier sur LinkedIn. Je vous appelle au sujet de \[sujet de son périmètre] : est-ce que c’est un bon moment pour trente secondes, ou je vous propose un créneau ? » **2. L’accroche projet (DSI).** « Bonjour Monsieur Caron, Julien Moreau, de \[société]. On aide des DSI d’ETI industrielles à \[résultat mesurable sur un de ses indicateurs]. Je ne connais pas votre situation, d’où mon appel : est-ce un sujet sur votre feuille de route de l’année prochaine ? » **3. L’accroche réglementaire, à manier avec précaution.** « Bonjour Madame Fabre, Julien Moreau, de \[société]. Beaucoup de RSSI que j’appelle préparent NIS2 sans connaître la version finale de la loi française. Nous aidons sur \[point précis et vérifiable]. Est-ce que c’est un chantier ouvert chez vous ? » N’utilisez cette accroche que si votre offre répond réellement à une exigence de la directive, et sans jamais suggérer une sanction imminente : jouer sur la peur est la manière la plus sûre de perdre un RSSI. ## 5 objections typiques d’un DSI ou d’un RSSI et comment y répondre **« Comment avez-vous eu mon numéro ? »** Répondez immédiatement et précisément : « Il vient de \[source exacte]. Si vous ne souhaitez plus être appelée, je le note tout de suite. » Le RGPD impose d’informer la personne de l’origine des données. Un RSSI pose souvent cette question pour tester le fournisseur : une réponse floue met fin à la relation. **« Envoyez-moi votre documentation sécurité. »** « Bien sûr. Nous avons \[documents disponibles : politique de sécurité, certifications, questionnaire rempli]. Je vous l’envoie aujourd’hui. Pour que vous la lisiez avec le bon contexte, est-ce qu’on peut prévoir vingt minutes après votre lecture ? » Ayez ces documents prêts avant d’appeler un RSSI : s’ils n’existent pas, vous n’êtes pas prêt pour cette cible. **« Passez par le référencement fournisseurs. »** « Je le ferai. Est-ce que vous pouvez me dire qui le pilote, et si le sujet vous paraît pertinent ? Je préfère arriver au référencement avec votre accord de principe. » **« On ne prend pas d’appels de fournisseurs. »** « Je comprends, et je ne vous rappellerai pas. Est-ce que je peux vous envoyer un e-mail de cinq lignes que vous lirez quand vous voudrez ? » Respectez le refus : ce profil se souvient des commerciaux qui insistent. **« On a déjà un outil, ou un intégrateur, pour ça. »** « C’est normal. Je ne vous demande pas lequel. Ce qui fait changer nos clients, en général, c’est \[raison précise]. Si ce n’est pas un problème chez vous, je vous laisse tranquille. » Ne demandez pas le nom de l’outil en place : c’est précisément l’information qu’un RSSI ne donne pas à un inconnu. Notre outil [d’entraînement aux objections](https://skipcall.io/outils/entrainement-objections) permet de répéter ces réponses à l’oral. ## Un script court pour appeler un RSSI > **Vous :** Bonjour Madame Fabre, Julien Moreau, de \[société]. Je vous ai écrit hier sur LinkedIn à propos de \[sujet]. C’est un appel de prospection : vous avez une minute, ou je vous propose un autre moment ? > > **RSSI :** Une minute. Comment avez-vous eu mon numéro ? > > **Vous :** Il vient de \[source exacte]. Si vous préférez ne plus être appelée, je le note. Sinon, voici pourquoi j’appelle : nous aidons des RSSI d’ETI à \[résultat mesurable]. Je ne vous demande rien sur votre environnement aujourd’hui. Ma seule question : est-ce un sujet sur lequel vous prévoyez d’avancer dans les douze prochains mois ? > > **RSSI :** Peut-être. Envoyez-moi de la documentation. > > **Vous :** Je vous envoie aujourd’hui notre \[document de sécurité] et une page qui explique la démarche. Je vous propose vingt minutes après votre lecture, par exemple jeudi en huit à 9 h, avec quelqu’un de notre équipe technique. Si la lecture ne vous convainc pas, vous me le dites et je n’insiste pas. Le script suit la structure de notre [modèle de script cold call](https://skipcall.io/blog/modele-script-cold-call), avec deux ajustements propres à cette cible : la source des données est donnée sans détour, et aucune question n’est posée sur l’environnement technique. Les questions de qualification viennent au deuxième rendez-vous, avec nos [questions de découverte](https://skipcall.io/blog/questions-decouverte-cold-call). ## Les erreurs à éviter avec un DSI ou un RSSI **Poser des questions de reconnaissance.** Outils en place, versions, organisation de l’équipe, prestataires : rien de tout cela au premier appel. **Jouer sur la peur.** « Avec NIS2, vous risquez des millions d’amende » ou « vous êtes la prochaine cible » : un RSSI entend ce discours tous les jours et le classe dans le marketing anxiogène. **Se présenter de façon vague.** « Je vous appelle de la part d’un partenaire » ou un prénom seul déclenchent tous les signaux d’alerte. Nom complet, société, raison de l’appel. **Promettre une sécurité absolue.** « Avec nous, vous êtes protégé » est faux pour n’importe quel produit, et un RSSI le sait. **Ne pas avoir sa propre documentation de sécurité.** Un fournisseur incapable de dire où sont hébergées ses données, qui y accède et comment elles sont protégées ne passera pas l’évaluation, quelle que soit la qualité de son produit. **Rappeler en boucle.** Un DSI qui a dit non une fois et qui reçoit cinq appels de suite peut bloquer votre numéro, et parfois signaler votre domaine. Si vous appelez des listes de DSI ou de RSSI, un [power dialer](https://skipcall.io/power-dialer), qui compose un numéro à la fois, vous laisse le temps de relire la fiche et le message envoyé la veille avant chaque appel. L’[enregistrement et la transcription](https://skipcall.io/features/enregistrement-transcription) vous évitent de redemander une information déjà donnée, ce qu’un RSSI remarque toujours. Pensez à respecter les règles d’information sur l’enregistrement, détaillées dans notre article sur [l’enregistrement des appels en entreprise](https://skipcall.io/blog/enregistrement-appels-entreprise-rgpd). ## Les autres décideurs de la série - [Appeler un DAF](https://skipcall.io/blog/cold-call-daf) : un décideur qui transforme toute proposition en coût complet et en délai de retour. - [Appeler un directeur marketing](https://skipcall.io/blog/cold-call-directeur-marketing) : un décideur jugé sur le pipeline, qui reconnaît toutes les techniques de prospection. - [Appeler un directeur commercial](https://skipcall.io/blog/cold-call-directeur-commercial) : quelqu’un qui fait votre métier et jugera votre appel en connaisseur. - [Appeler un DRH](https://skipcall.io/blog/cold-call-drh) : un décideur pris entre recrutement, droit social et budget. - [Appeler un dirigeant de PME](https://skipcall.io/blog/cold-call-dirigeant-fondateur) : celui qui décide de tout et n’a le temps de rien. ## Ce qu’il faut retenir - Pour un DSI et surtout un RSSI, un appel inconnu ressemble d’abord à une attaque : la confiance passe avant l’argument. - Soyez vérifiable, annoncez l’appel par écrit, et ne posez aucune question sur l’environnement technique au premier contact. - Parlez disponibilité, projets et coûts au DSI ; risque, conformité et preuve au RSSI. - Évitez les gels de fin d’année, les audits et les mises en production, et n’appelez jamais pour vendre pendant un incident public. - Ayez votre propre documentation de sécurité prête : c’est souvent elle qui décide du deuxième rendez-vous. Auteur [Charles Baldet](https://skipcall.io/auteur/charles-baldet) [Charles Baldet on LinkedIn](https://www.linkedin.com/in/charlesbaldet/) CEO et cofondateur, Skipcall Charles est CEO et cofondateur de Skipcall. Commando commercial avec plus de 10 ans d'expérience en SaaS B2B et grands comptes stratégiques, il a closé des deals majeurs chez Stellantis, SNCF, RATP et Natixis. Spécialiste des méthodologies PUCCKA et MEDDIC, Charles enseigne régulièrement la vente à l'incubateur d'HEC et à la Sorbonne. Il a été classé parmi les 10 meilleurs business angels de moins de 35 ans par Les Echos en 2020. Il a aussi cofondé Getalead (agence sales B2B) et Getlab (studio SalesTech). [Voir tous ses articles](https://skipcall.io/auteur/charles-baldet) ## Un agenda rempli de rendez-vous commence par un appel. [Démarrer maintenant](https://app.skipcall.io/signup) [Réservez une démo](https://skipcall.io/demo) **Sans engagement** · Numéro actif en 2 minutes FAQ ## Questions fréquentes **Comment appeler un DSI ou un RSSI en prospection ?** En se rendant vérifiable dès la première phrase : nom complet, société, raison de l'appel, et un moyen de vérifier qui vous êtes, comme votre page sur le site de votre entreprise. Ne posez aucune question sur leurs outils, leurs versions ou leur organisation de sécurité lors du premier appel : ce sont exactement les questions que posent les attaquants en phase de reconnaissance. **Quelle est la différence entre un DSI et un RSSI pour un commercial ?** Le DSI porte les projets, le budget informatique, la disponibilité des systèmes et la relation avec les métiers. Le RSSI porte le risque : protection des données, conformité, gestion des incidents, sensibilisation des salariés. Le DSI achète des outils qui font fonctionner l'entreprise, le RSSI valide ou bloque tout ce qui touche à la sécurité, y compris les achats des autres directions. **Pourquoi un RSSI se méfie-t-il des appels de prospection ?** Parce que le téléphone est devenu un vecteur d'attaque majeur. CrowdStrike a mesuré une hausse de 442 % de l'hameçonnage vocal entre le premier et le second semestre 2024. Un RSSI forme ses équipes à se méfier des appels inconnus qui posent des questions sur l'organisation : un commercial qui pose ces mêmes questions déclenche le même réflexe. **Quand appeler un DSI ou un RSSI ?** En dehors des périodes de gel des changements, souvent en fin d'année, des audits de certification et des mises en production majeures. Ne les appelez jamais pour vendre quand leur entreprise est touchée par un incident public : c'est le meilleur moyen d'être blacklisté. La préparation budgétaire, à l'automne, est un bon moment pour entrer dans le plan de l'année suivante. **Faut-il passer par le support informatique pour joindre le DSI ?** Non. Appeler le support ou la hotline pour obtenir un nom ou un numéro direct reproduit le scénario type d'ingénierie sociale que les équipes de support sont formées à repérer. Passez par le standard, en annonçant clairement votre démarche, ou par un message LinkedIn ou un e-mail qui annonce l'appel. **Où en est la directive NIS2 en France ?** La directive européenne NIS2 devait être transposée avant le 17 octobre 2024. En France, le projet de loi Résilience qui la transpose a été adopté par le Sénat le 12 mars 2025, mais son examen en séance à l'Assemblée nationale, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour. À la mi-octobre 2026, la loi n'était donc pas adoptée. Vérifiez l'état du texte avant de vous en servir dans une accroche. **Que répondre quand un RSSI demande comment on a eu son numéro ?** La vérité, immédiatement et précisément : la source des données, par exemple un fichier B2B ou son profil professionnel public, et le fait qu'il peut s'opposer à tout nouvel appel. Le RGPD impose d'informer la personne de l'origine des données. Un RSSI teste souvent cette question : une réponse floue met fin à la relation. Lectures complémentaires ## Articles connexes [Voir tous les articles](https://skipcall.io/blog) 01 Cold calling ### [Barrage secrétaire : 12 techniques et scripts pour atteindre le décideur](https://skipcall.io/blog/script-barrage-secretaire) 12 techniques testées, les réponses mot pour mot selon la question posée, le calcul du coût réel de votre barrage et la méthode pour en faire un allié. 1 sept. 2026 02 Cold calling ### [Questions de découverte en cold call : 30 questions pour qualifier en 5 minutes](https://skipcall.io/blog/questions-decouverte-cold-call) 30 questions de découverte classées par moment de l'appel, la formulation exacte, le séquençage minuté et la grille de scoring qui tranche en 20 secondes. 1 sept. 2026 03 cold calling ### [Cold call d'un DAF : comment parler argent à un directeur financier](https://skipcall.io/blog/cold-call-daf) Appeler un directeur administratif et financier à froid, c'est parler à quelqu'un qui pense en trésorerie, en marge et en risque. Ce qui l'occupe en 2026, ses indicateurs, son vocabulaire, les bons et les mauvais moments pour l'appeler, comment passer l'assistante de direction, 3 accroches, 5 objections avec leurs réponses, un script court et les erreurs qui vous font raccrocher au nez. 5 nov. 2026 ## Prêt à décupler votre productivité ? Rejoignez les équipes commerciales qui ont transformé leur prospection. [Demander une démo](https://skipcall.io/demo) Démonstration personnalisée • Sans engagement