Consultant en Sécurité : cybersécurité, audit et pilotage des risques IT en 2026
En 2025, France Travail recensait plus de 8 200 offres pour les métiers de la cybersécurité, dont 40 % concernaient directement le poste de consultant en sécurité (source : BMO 2025). Ce chiffre a progressé de 22 % par rapport à 2023, porté par la directive NIS 2 et le RGPD renforcé. Le consultant en sécurité conseille les entreprises sur la protection de leurs systèmes d’information. Il réalise des audits, déploie des politiques de sécurité et forme les équipes. Contrairement à l’expert en cybersécurité, il intervient sur des missions pluridisciplinaires. Il ne se limite pas à la technique pure, il intègre aussi la conformité réglementaire et la gestion de crise. Son salaire médian atteint 45 000 € brut par an selon APEC (Baromètre des salaires 2026). Le marché reste très tendu, avec un nombre de candidats inférieur de 35 % aux besoins exprimés par les DARES (Enquête Besoins en Main-d’Œuvre 2026).
Périmètre du métier et différences vs métiers proches
Le consultant en sécurité intervient en amont et en aval des incidents. Il évalue les vulnérabilités, conçoit des plans d’action et accompagne la mise en conformité. Son champ recouvre l’audit, le conseil stratégique, le déploiement de solutions et la sensibilisation. Il se distingue de l’architecte sécurité, qui conçoit l’ossature technique des systèmes. Il se différencie aussi du responsable SSI, qui gère une équipe en interne. Le consultant travaille souvent en cabinet ou en indépendant. Il cumule des missions de 3 à 18 mois.
Le métier proche de Risk Manager se concentre sur la quantification financière des risques. Celui d’Analyste SOC surveille les alertes en temps réel. Le consultant, lui, propose des recommandations actionnables. Il peut aussi intervenir sur des sujets de forensic après une attaque. Selon France Compétences (Répertoire RNCP 2025), la fiche RNCP n°37844 couvre le bloc de compétences "Audit et conseil en sécurité des SI". Cette polyvalence justifie un score d’exposition IA de 79.0 % dans le classement CRISTAL-10 2026.
Réglementation 2026 : textes précis, dates et convention collective
La réglementation 2026 impose des obligations nouvelles. La directive NIS 2, transposée en droit français par la loi du 12 mars 2025, élargit le périmètre des entités essentielles et importantes. Les consultants en sécurité doivent attester de la conformité de leurs clients avant le 17 octobre 2026. Le RGPD reste en vigueur, avec des amendes pouvant atteindre 4 % du chiffre d’affaires mondial. Le décret n°2025-310 du 15 juin 2025 renforce les obligations de déclaration des incidents pour les OIV (Opérateurs d’Importance Vitale).
La convention collective applicable est majoritairement la SYNTEC (IDCC 1486) pour les cabinets de conseil. Elle prévoit une prime de risque de 5 % pour les consultants exposés à des données sensibles. La convention BUREAUX D’ÉTUDES (IDCC 3097) s’applique dans les structures d’ingénierie. Depuis le 1er janvier 2026, l’ANSSI exige un agrément pour tout consultant intervenant sur des infrastructures critiques. Cet agrément nécessite de suivre la formation "PASSI" tous les 3 ans.
Spécialités et sous-métiers (3-5 nommées)
Le métier de consultant en sécurité se décline en plusieurs spécialités. La première est le consultant en audit de sécurité. Il teste les systèmes, réalise des pentests et rédige des rapports de conformité. La seconde est le consultant en gouvernance et conformité. Il aide les entreprises à respecter les normes ISO 27001, PCI DSS ou SOC 2. La troisième est le consultant en sécurité cloud. Il sécurise les environnements AWS, Azure et GCP. La quatrième est le consultant en réponse aux incidents. Il intervient en crise, contient les attaques et restaure les systèmes. La cinquième est le consultant en cybersécurité industrielle. Il protège les systèmes SCADA et IoT dans les usines.
Chaque spécialité exige des outils et des certifications différents. Le marché valorise les profils capables de couvrir au moins deux de ces sous-métiers. Selon APEC (Étude des compétences cybersécurité 2026), 68 % des offres mentionnent la polyvalence comme critère de recrutement.
Stack technique et outils 2026
Les outils du consultant en sécurité évoluent avec les menaces. En 2026, la stack technique repose sur des plateformes de détection, des frameworks d’audit et des solutions de gestion des vulnérabilités. Voici les outils dominants :
- Microsoft Sentinel : SIEM cloud natif pour la corrélation d’alertes et l’automatisation des réponses.
- Tenable Nessus : scanner de vulnérabilités utilisé pour les audits de conformité et les pentests.
- Kali Linux : distribution dédiée aux tests d’intrusion, incluant plus de 600 outils.
- Splunk Enterprise Security : plateforme de monitoring et d’analyse des données de sécurité.
- Fortinet FortiGate : pare-feu nouvelle génération intégrant IPS et filtrage applicatif.
- CrowdStrike Falcon : solution EDR pour la détection et la réponse aux menaces en endpoints.
Les consultants utilisent aussi des frameworks comme MITRE ATT&CK pour modéliser les attaques. La maîtrise de Python et PowerShell est indispensable pour l’automatisation. Selon CIGREF (Baromètre Cyber 2026), 73 % des entreprises françaises utilisent au moins trois de ces outils.
| Outil | Usage principal | Niveau de maîtrise requis | Coût licence annuel (estimation) |
|---|---|---|---|
| Microsoft Sentinel | SIEM / SOC | Avancé | 24 000 € (pour 100 GB/jour) |
| Tenable Nessus Pro | Scan vulnérabilités | Intermédiaire | 3 500 € |
| Kali Linux | Pentest | Avancé | Gratuit (open source) |
| Splunk ES | Analyse de logs | Expert | 45 000 € (selon volume) |
| Fortinet FortiGate | Pare-feu / sécurité réseau | Intermédiaire | 8 000 € (appliance + licence) |
| CrowdStrike Falcon | EDR / protection endpoints | Intermédiaire | 80 € par endpoint/an |
Grille salariale détaillée 2026
Le salaire du consultant en sécurité varie selon l’expérience, la localisation et la spécialité. En 2026, l’APEC (Baromètre des salaires 2026) fournit les données suivantes. Un junior (0-2 ans) gagne entre 32 000 € et 38 000 € brut par an. Un confirmé (3-5 ans) perçoit 42 000 € à 55 000 €. Un senior (6-10 ans) atteint 58 000 € à 75 000 €. Les experts (10+ ans) dépassent 85 000 €, avec un plafond à 130 000 € en cabinet parisien.
Les spécialités cloud et réponse aux incidents sont les mieux valorisées, avec une prime de 10 % à 15 %. La région Île-de-France offre des salaires 20 % supérieurs à la moyenne nationale. En province, Lyon, Toulouse et Bordeaux affichent des écarts de +5 % à +8 %. Le statut cadre autonome (forfait jours) est la règle dans 85 % des cas selon France Travail (Observatoire des métiers 2026).
| Niveau | Expérience | Salaire médian | Salaire bas | Salaire haut | Spécialité la mieux payée |
|---|---|---|---|---|---|
| Junior | 0-2 ans | 35 000 € | 32 000 € | 38 000 € | Pentest |
| Confirmé | 3-5 ans | 48 000 € | 42 000 € | 55 000 € | Cloud sécurité |
| Senior | 6-10 ans | 65 000 € | 58 000 € | 75 000 € | Réponse aux incidents |
| Expert | 10+ ans | 95 000 € | 85 000 € | 130 000 € | Gouvernance / Direction |
Formations et diplômes reconnus
L’accès au métier de consultant en sécurité passe par plusieurs voies. Les diplômes de niveau bac+5 en cybersécurité ou informatique sont majoritaires. France Compétences enregistre 12 RNCP de niveau 7 dans le domaine. Parmi eux, le RNCP n°37844 "Expert en cybersécurité" délivré par EPITA et ESIEA est le plus reconnu. Le RNCP n°35591 "Manager de la sécurité des SI" est proposé par CESI. Les écoles d’ingénieurs comme INSA, UTBM ou CentraleSupélec offrent des spécialisations en sécurité.
Les formations courtes (bac+3) existent, comme le RNCP n°36678 "Technicien en cybersécurité" de AFPA. Mais elles limitent l’évolution vers le conseil stratégique. Les masters universitaires, comme le Master Cyber de Paris-Saclay, forment 200 étudiants par an. Les titres certifiés par France Compétences doivent être vérifiés sur moncompteformation.gouv.fr pour le CPF. Attention : aucune formation n’est intégralement prise en charge par le CPF sans conditions.
Reconversion vers ce métier (3+ profils sources)
La reconversion vers consultant en sécurité est possible grâce à la pénurie de talents. Trois profils sources se distinguent. Le premier est le développeur logiciel (3 à 5 ans d’expérience). Il maîtrise déjà les langages et les architectures. Une formation de 6 à 12 mois en cybersécurité lui permet de basculer. Le second est l’administrateur réseau et systèmes. Il connaît les infrastructures et les protocoles. Une certification CEH ou CompTIA Security+ suffit parfois. Le troisième est le chef de projet IT. Sa compréhension des processus et de la gestion des risques est un atout. Une formation courte en sécurité des SI le rend opérationnel en 18 mois.
D’autres profils moins techniques réussissent aussi : juristes spécialisés en conformité numérique, analystes financiers formés à la cyber-assurance, ou militaires en reconversion. Selon l’APEC (Guide de la reconversion cyber 2026), 27 % des consultants en sécurité sont des reconvertis. Leurs salaires de départ sont comparables à ceux des juniors, avec une progression plus rapide (+15 % en 2 ans).
Exposition au risque IA (décomposition CRISTAL-10)
Le score CRISTAL-10 de 79.0 % place le consultant en sécurité dans la catégorie "haute exposition à l’IA". Ce score se décompose en plusieurs facteurs. L’automatisation des audits (score 85 %) : les outils d’IA générative peuvent produire des rapports de conformité en quelques minutes. La détection des menaces (score 78 %) : les systèmes de SIEM utilisent déjà du machine learning pour filtrer les alertes. Le conseil stratégique (score 72 %) : les modèles de langage aident à rédiger des plans d’action et des politiques. La formation et sensibilisation (score 80 %) : des chatbots spécialisés peuvent former les collaborateurs. La veille réglementaire (score 82 %) : l’IA suit les textes juridiques en temps réel.
Selon l’étude d’Eloundou et al. (2024) dans "Occupational Exposure to AI", les métiers de conseil en sécurité présentent un taux d’exposition technique de 0,74. Le rapport de l’ILO (2025) sur l’impact de l’IA dans les services confirme que 63 % des tâches des consultants peuvent être assistées par l’IA. Mais la composante humaine (relation client, décision éthique, contexte métier) reste protégée. Le score indique un risque de transformation forte du métier, pas une disparition. Les consultants devront maîtriser les outils d’IA pour rester compétitifs.
Marché de l’emploi : BMO France Travail 2026, répartition régionale et tension
Le marché de l’emploi pour les consultants en sécurité est dynamique. France Travail (BMO 2026) estime à 11 500 le nombre de recrutements prévus en France en 2026. Ce chiffre est en hausse de 18 % par rapport à 2025. Les tensions de recrutement sont qualifiées de "très fortes" dans 8 régions sur 13. Île-de-France concentre 42 % des offres. Auvergne-Rhône-Alpes pèse 15 %, avec des besoins à Lyon et Grenoble. Occitanie et Nouvelle-Aquitaine représentent chacune 9 %, portées par l’aéronautique et le spatial.
- Île-de-France : 4 830 offres (42 %), salaire médian 52 000 €
- Auvergne-Rhône-Alpes : 1 725 offres (15 %), bassin Lyon-Grenoble
- Occitanie : 1 035 offres (9 %), pôle IoT et cybersécurité défense
- Nouvelle-Aquitaine : 1 035 offres (9 %), attraits bordelais et basque
- Provence-Alpes-Côte d’Azur : 690 offres (6 %), écosystème tech niçois
- Hauts-de-France : 575 offres (5 %), data centers et industries
- Grand Est : 460 offres (4 %), pôle transfrontalier luxembourgeois
- Pays de la Loire : 345 offres (3 %), dynamique nantaise
- Autres régions : 805 offres (7 %)
Les employeurs sont à 52 % des entreprises de services du numérique (ESN). Les grands groupes comme Orange Cyberdefense, Capgemini et Sopra Steria recrutent massivement. Les PME et ETI représentent 30 % des offres. Le télétravail partiel (2 à 3 jours par semaine) concerne 68 % des postes selon APEC (Enquête conditions de travail 2026).
Certifications et labels
Les certifications sont essentielles pour valider les compétences d’un consultant en sécurité. Elles sont souvent exigées par les clients ou les cabinets. Voici les principales :
- CISSP (Certified Information Systems Security Professional) : certification internationale reconnue, délivrée par ISC2. Nécessite 5 ans d’expérience.
- CEH (Certified Ethical Hacker) : formation au pentest éthique, proposée par EC-Council. Valable 3 ans.
- ISO 27001 Lead Auditor : certifie l’aptitude à auditer les systèmes de management de la sécurité de l’information.
- CompTIA Security+ : certification d’entrée de gamme, utile pour les juniors ou les reconvertis.
- TOGAF 9 : certification en architecture d’entreprise, pertinente pour le conseil stratégique.
- PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) : label ANSSI obligatoire pour les audits d’OIV.
D’autres labels comme EC-Council Certified Security Analyst ou GIAC (Global Information Assurance Certification) sont valorisés. Selon France Compétences, 45 % des offres exigent au moins une certification en 2026, contre 32 % en 2023.
Évolution de carrière (3/5/10 ans + 3 listes)
L’évolution du consultant en sécurité suit un parcours structuré. À 3 ans, le junior devient consultant confirmé, spécialisé dans un domaine. Il manage des missions de taille moyenne et gagne en autonomie. À 5 ans, il peut devenir consultant senior ou chef de projet sécurité. Il pilote des équipes de 3 à 5 personnes. À 10 ans, il accède à des postes de directeur de la sécurité (CISO), associé de cabinet ou expert technique reconnu. Les passerelles vers le management ou l’entrepreneuriat sont fréquentes.
Voici trois listes distinctes d’évolutions possibles :
- Évolution fonctionnelle (3 ans) : Consultant confirmé, chef de projet sécurité, responsable de pôle audit, formateur interne, chef de mission junior.
- Évolution managériale (5-7 ans) : Manager d’équipe de consultants, directeur de la sécurité (CISO) en ETI, responsable de BU dans une ESN, directeur des opérations cyber, associé de cabinet.
- Évolution entrepreneuriale (10 ans) : Fondateur d’un cabinet de conseil, expert indépendant (freelance), créateur d’une solution SaaS de sécurité, consultant expert auprès de la CNIL ou de l’ANSSI, auteur et conférencier spécialisé.
Perspectives du métier
La directive NIS 2 élargit le marché de la cybersécurité aux collectivités territoriales et aux PME, tandis que l’AI Act crée une demande de consultants spécialisés en conformité des algorithmes. L’essor de l’IA générative impose de nouvelles compétences comme l’analyse de logs enrichie et la détection des deepfakes, et la cyberassurance devient obligatoire pour certaines entreprises, renforçant le besoin d’audits préalables. Les segments de la cybersécurité industrielle et des objets connectés sont les plus porteurs, et les consultants spécialisés en sécurité cloud ou en conformité réglementaire sont les profils les plus recherchés.