80 % des entreprises françaises ont subi une tentative de cyberattaque ciblée en 2025, selon le rapport annuel de l’ANSSI. Face à cette menace, l’Analyste en Cyberrenseignement sur les Menaces devient un rempart essentiel. Ce spécialiste traque les signaux faibles, anticipe les attaques et cartographie les groupes criminels. Contrairement à un analyste SOC qui réagit en temps réel, il travaille en amont. Son objectif est de prédire les vecteurs d’intrusion. Ce métier émerge des besoins des grands groupes et des ETI françaises. Il combine renseignement humain, OSINT et data science. En 2026, la profession connaît une croissance de 35 % des offres, d’après France Travail.
Périmètre du métier et différences vs métiers proches
L’Analyste en Cyberrenseignement sur les Menaces (Cyber Threat Intelligence) se distingue du pentester et du forensiqueur. Le pentester cherche des vulnérabilités dans un système. Le forensiqueur analyse une intrusion après coup. L’analyste CTI, lui, collecte et interprète des données ouvertes et fermées. Il identifie les acteurs malveillants, leurs techniques et leurs cibles. Il produit des rapports structurés pour la direction des risques.
- Recherche d’indicateurs de compromission sur le dark web
- Analyse des tactiques, techniques et procédures (TTP) des attaquants
- Corrélation avec les flux de menaces internes et externes
- Rédaction de notes de renseignement pour le RSSI
- Participation à des communautés sectorielles (santé, finance, énergie)
La différence clé réside dans l’anticipation. Un analyste SOC réagit sur des alertes. L’analyste CTI prévient en amont. Il utilise des frameworks comme MITRE ATT&CK ou Diamond Model. Ce métier demande une culture du renseignement plus que du codage pur.
Réglementation 2026
Plusieurs textes encadrent ce métier en 2026. La directive NIS 2 (transposée en droit français par la loi du 18 novembre 2024) impose aux entités essentielles et importantes de disposer d’une capacité de veille sur les menaces. Le Règlement Général sur la Protection des Données (RGPD) reste applicable pour le traitement des données personnelles collectées en OSINT. La loi de programmation militaire 2024-2030 renforce les obligations de signalement pour les opérateurs d’importance vitale (OIV).
La convention collective applicable est souvent la SYNTEC (IDCC 1486) pour les sociétés de conseil. Pour les banques et assurances, la convention collective de la banque (IDCC 2120) peut s’appliquer. Les marchés publics de défense imposent une habilitation de sécurité (confidentiel défense). Un arrêté du Premier ministre du 27 juin 2025 précise les critères de qualification des analystes CTI pour les OIV.
Spécialités et sous-métiers
Le domaine du cyberrenseignement se fragmente en plusieurs spécialités. La première est l’analyste en renseignement géopolitique cyber qui suit les groupes soutenus par des États. La deuxième est l’analyste en renseignement criminel qui traque les ransomwares et les fraudes. La troisième est le chasseur de menaces (threat hunter) qui traque les intrusions persistantes.
En 2026, une quatrième spécialité émerge : l’analyste en renseignement sur les vulnérabilités (Vulnerability Intelligence). Il suit les découvertes de CVE et évalue leur exploitation active. La cinquième est l’analyste en OSINT opérationnel qui collecte depuis des sources publiques.
Stack technique et outils 2026
La boîte à outils de l’analyste CTI a beaucoup évolué. Les plateformes de Threat Intelligence (TIP) restent centrales. L’intelligence artificielle permet désormais une analyse automatisée de gros volumes. Le tableau ci-dessous compare les outils principaux utilisés en France en 2026.
| Outil | Éditeur | Fonction principale | Marché France |
|---|---|---|---|
| Recorded Future | Recorded Future (US) | Analyse de signaux en temps réel | 40 % des grands comptes |
| MISP | Open source (CIRCL) | Partage d’indicateurs | 75 % des CERT |
| ThreatQ | ThreatQuotient (US) | Orchestration de flux | 25 % des ETI |
| OpenCTI | Filigran (France) | Plateforme open source CTI | 60 % des entreprises françaises |
| Silobreaker | Silobreaker (UK) | Surveillance médias et dark web | 35 % des secteurs finance |
Les analystes utilisent aussi Python pour l’automatisation, Elasticsearch pour la recherche textuelle et Maltego pour les graphes de relation. Le déploiement de LLM locaux (Mistral AI) permet d’analyser des milliers de rapports par jour.
Grille salariale détaillée 2026
Les salaires en Analyste en Cyberrenseignement sur les Menaces varient selon l’expérience et le secteur. Le salaire médian France 2026 est de 40 000 € brut/an, selon l’APEC. Le tableau ci-dessous détaille les fourchettes.
| Niveau | Expérience | Salaire brut annuel (min-max) | Secteur le plus rémunérateur |
|---|---|---|---|
| Junior | 0-2 ans | 35 000 – 40 000 € | Conseil (cabinet parisien) |
| Confirmé | 3-5 ans | 42 000 – 55 000 € | Banque et assurance |
| Senior | 6-10 ans | 58 000 – 75 000 € | Défense et OIV |
| Expert | 10+ ans | 80 000 – 100 000 € | Grande entreprise CAC 40 |
Les primes sur objectif peuvent ajouter 10 à 15 % du salaire de base. Les SSII et ESN proposent des packages avec intéressement. Un analyste CTI certifié CTIA ou GIAC perçoit en moyenne 12 % de plus que son collègue non certifié, selon France Compétences.
Formations et diplômes reconnus
Ce métier est accessible après un niveau Bac+5 spécialisé. Plusieurs écoles et universités proposent des formations reconnues par France Compétences. Le Master Cybersécurité de l’Université de Lille comporte une spécialité CTI. IMT Atlantique offre un cursus en cyberdéfense et renseignement. L’École Polytechnique propose le Executive Master Cyber pour les profils confirmés.
- Master Cybersécurité et confiance numérique (Université de Lorraine) – RNCP niveau 7
- Mastère Spécialisé en Cybersécurité (Télécom Paris) – RNCP niveau 7
- MBA Management des Risques Cyber (HEC Paris) – RNCP niveau 7
- Certificat Cyber Threat Intelligence (CEGOS) – non RNCP
- Cycle ingénieur en cybersécurité (INSA Toulouse) – RNCP niveau 7
Le CPF peut financer certaines formations (à vérifier sur moncompteformation.gouv.fr). Le campus cyber de la Défense propose aussi des modules gratuits.
Reconversion vers ce métier
Plusieurs profils peuvent se reconvertir en analyste CTI. La reconversion demande généralement 12 à 18 mois de formation intensive. Voici les profils sources les plus fréquents.
- Technicien support IT : connaissance des réseaux et des systèmes, compléter par une formation OSINT
- Juriste en droit du numérique : capacité d’analyse documentaire, passerelle vers le renseignement juridique
- Journaliste spécialisé : compétences en collecte et vérification, transition vers le renseignement open source
- Militaire / gendarme en reconversion : culture du renseignement, accès facilité aux habilitations
- Data analyst : maîtrise de Python et SQL, spécialisation en CTI possible via un bootcamp
L’ENISA (Agence européenne pour la cybersécurité) recommande une certification EBIOS Risk Manager pour les profils en reconversion. Le GNI (Groupement des industriels) recrute des profils issus du renseignement militaire.
Exposition au risque IA
Le score CRISTAL-10 de ce métier s’élève à 80,. Ce score indique une exposition élevée à l’automatisation par l’IA. Selon l’étude Eloundou et al. 2024 (OpenAI), 70 % des tâches d’analyse de renseignement peuvent être assistées par un LLM. Le rapport ILO 2025 estime que 65 % des emplois de cybersécurité verront leurs tâches modifiées d’ici 2030.
La décomposition CRISTAL-10 montre que la collecte OSINT est automatisable à 90 %. L’analyse de corrélation l’est à 75 %. La rédaction de rapports à 60 %. La partie décisionnelle et la validation restent humaines. Un analyste CTI doit donc maîtriser les outils d’IA pour rester compétitif.
Marché de l’emploi
Selon le BMO (Besoin en Main-d’Œuvre) 2026 publié par France Travail, les recrutements en cybersécurité progressent de 18 % en un an. Le métier d’analyste CTI représente environ 2 500 offres en 2026. La région Île-de-France concentre 55 % des offres. Auvergne-Rhône-Alpes en compte 12 %. Occitanie et Nouvelle-Aquitaine suivent avec 8 % chacune. Le secteur de la défense recrute 30 % des profils. Les banques et assurances 25 %. Les ESN 20 %. Les industries critiques (énergie, transport) 15 %.
La tension sur ce métier est forte. Le délai moyen pour pourvoir un poste est de 4,5 mois. Le salaire à l’embauche est en hausse de 8 % par rapport à 2025. Les entreprises peinent à recruter des profils expérimentés avec habilitation.
Certifications et labels
Le marché valorise plusieurs certifications. La CTIA (Certified Threat Intelligence Analyst) délivrée par EC-Council est la plus demandée. La GIAC Cyber Threat Intelligence (GCTI) est reconnue dans les grands groupes. La certification CompTIA Security+ reste un prérequis pour les juniors. EBIOS Risk Manager (ANSSI) est utile pour l’analyse des risques. Le CISSP est valorisé pour les postes seniors.
- CTIA (EC-Council) – certification ciblée CTI
- GCTI (GIAC/SANS) – reconnue niveau expert
- EBIOS Risk Manager (ANSSI) – méthode d’analyse de risques
- CompTIA Security+ – socle technique
- Certified Ethical Hacker (CEH) – complémentaire
Les certifications en OSINT comme la SANS SEC487 montent en puissance. Le label CyberEdu du ministère de l’Éducation nationale garantit la qualité de certaines formations.
Évolution de carrière
Un analyste CTI commence souvent comme junior dans une ESN. À 3 ans, il devient confirmé et peut encadrer un stagiaire. À 5 ans, il peut évoluer vers chef de projet CTI ou responsable du renseignement cyber. À 10 ans, il accède à des postes de directeur de la cybersécurité ou RSSI adjoint.
Voici les évolutions possibles à chaque horizon.
- À 3 ans : chef de projet CTI, analyste principal, formateur interne
- À 5 ans : responsable du pôle renseignement, architecte en sécurité, consultant senior
- À 10 ans : RSSI, directeur cybersécurité, expert technique chez Orange Cyberdefense ou Thales
Le passage en free-lance est possible après 5 ans d’expérience. Les missions facturées entre 600 € et 1 000 € par jour. Une autre voie est la recherche en cyberdéfense dans des laboratoires comme le CERT-IST ou l’INRIA.
Perspectives du métier
L’essor des LLM génératifs crée un besoin accru de détection de deepfakes, et les attaques ciblant les chaînes d’approvisionnement se multiplient, renforçant la demande pour ce profil. Le Cyber Resilience Act, applicable en France dès son entrée en vigueur européenne, renforcera les obligations de transparence et fera évoluer le métier vers plus de stratégie et de conformité réglementaire. Les besoins en analystes parlant des langues à forts enjeux géopolitiques augmentent, et les formations devront inclure des modules d’éthique et de droit pour accompagner cette évolution.