ANSSI a recensé 4 372 incidents de sécurité en 2025 sur le territoire français, soit une hausse de 24 % par rapport à 2024. La consultante en sécurité intervient pour prévenir ces attaques. Elle analyse les risques, déploie des politiques de protection et forme les équipes. Ce métier ne se limite pas à la technique. Il combine droit, stratégie et gestion de crise. Contrairement à l’auditeur interne, elle intervient en conseil externe. Elle ne remplace pas le RSSI, mais l’assiste dans ses arbitrages. Le périmètre couvre la sécurité informatique, physique et organisationnelle. France Travail classe ce poste dans la famille Marketing et Communication, bien que les compétences soient majoritairement techniques.
Périmètre du métier et différences vs métiers proches
La consultante en sécurité conseille les entreprises sur la protection de leurs actifs numériques et physiques. Elle réalise des audits de vulnérabilité, rédige des plans de remédiation et accompagne la mise en conformité réglementaire. INSEE estime le nombre de postes à 12 500 en France en 2025. Le métier se distingue de celui d’analyste SOC, qui surveille en temps réel les alertes. Le consultant pentester se concentre sur les tests d’intrusion, tandis que la consultante en sécurité adopte une vision globale. Le chef de projet cybersécurité pilote les chantiers, mais ne réalise pas les audits techniques. La consultante travaille souvent en cabinet de conseil, en SSII ou en freelance. APEC note que 68 % des offres visent des profils généralistes capables de couvrir plusieurs domaines.
Réglementation 2026
Le cadre légal s’est densifié en 2025-2026. NIS 2 (directive européenne) est transposée en droit français depuis août 2025. Elle impose des mesures de sécurité renforcées aux entités essentielles et importantes. ANSSI publie des guides d’application sectoriels. Le RGPD reste en vigueur avec des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La loi LPM 2024-2029 impose un visa de sécurité pour les prestataires de confiance. La convention collective applicable est souvent IDCC 1486 (Bureaux d’études techniques, cabinets d’ingénieurs-conseils, sociétés de conseils, dite Syntec). Pour les indépendants, la CCN des journalistes peut s’appliquer selon le contrat. France Travail précise que 34 % des offres mentionnent une connaissance du RGPD comme prérequis.
Spécialités et sous-métiers
Le domaine se segmente en cinq spécialités reconnues. La consultante en sécurité peut choisir l’une d’elles ou cumuler plusieurs compétences. La spécialité GRC (Gouvernance, Risques, Conformité) est la plus demandée par les grands groupes. La sécurité cloud monte en puissance avec l’adoption de AWS, Azure et GCP. La sécurité offensive regroupe le pentest et l’ingénierie sociale. La sécurité défensive couvre le déploiement de SIEM, EDR et XDR. Enfin, la sécurité OT (Operational Technology) protège les systèmes industriels. DARES indique que les offres pour spécialistes OT ont bondi de 56 % entre 2022 et 2025.
- Consultante GRC : audit de conformité, rédaction de politiques, gestion des risques fournisseurs.
- Consultante sécurité cloud : configuration de CSPM, segmentation réseau, chiffrement des données.
- Consultante offensive : tests d’intrusion, chasses aux vulnérabilités, reporting technique.
- Consultante défensive : déploiement de sondes, réponse à incident, chasse aux menaces.
- Consultante sécurité OT : segmentation des réseaux industriels, durcissement des automates, conformité IEC 62443.
Stack technique et outils 2026
La boîte à outils de la consultante en sécurité s’est enrichie avec l’intelligence artificielle. Les solutions de SOAR (Security Orchestration Automation and Response) automatisent les tâches répétitives. Splunk et Elastic dominent l’analyse de logs. Tenable et Qualys sont les leaders de la gestion des vulnérabilités. Côté cloud, Palo Alto Prisma Cloud et Wiz sont incontournables. CNB (Conseil National du Bloc) recommande l’usage d’outils open source comme Wireshark et Metasploit pour les audits. APEC indique que 71 % des offres exigent la maîtrise d’au moins un SIEM.
| Outil | Fonction | Éditeur | Marché FR (2025) |
|---|---|---|---|
| Splunk | SIEM / analyse de logs | Splunk Inc. | 32 % des entreprises |
| Tenable | Gestion des vulnérabilités | Tenable Holdings | 28 % |
| Prisma Cloud | Sécurité cloud native | Palo Alto Networks | 19 % |
| Wiz | Scan de configurations cloud | Wiz Inc. | 15 % |
| Metasploit | Framework de pentest | Rapid7 | 41 % des cabinets de conseil |
- Splunk : recherche en langage SPL, dashboard temps réel, alertes automatisées.
- Tenable : base CVE enrichie, priorisation par score CVSS, rapports conformité.
- Prisma Cloud : posture management, détection des failles de configuration IaaS/PaaS/SaaS.
- Wiz : analyse de graphe, détection des chemins de compromission, intégration CI/CD.
- Metasploit : modules d’exploitation, simulateur d’attaque, reporting automatique.
Grille salariale détaillée 2026
Les salaires varient selon l’expérience, la spécialité et le type d’employeur. APEC Baromètre Tech 2026 fournit les médians suivants. Le salaire médian France 2026 est de 45 000 euros brut par an pour le poste générique. Les spécialistes cloud et OT bénéficient d’une prime de rareté. Les cabinets de conseil parisiens paient 15 à 20 % de plus que les entreprises régionales. Le salaire inclut souvent une part variable de 5 à 15 %. INSEE confirme un écart de rémunération de 8 % entre hommes et femmes à poste égal.
| Profil | 05 ans | 510 ans | 10+ ans |
|---|---|---|---|
| Consultante GRC | 38 000 € | 48 000 € | 60 000 € |
| Consultante sécurité cloud | 42 000 € | 55 000 € | 70 000 € |
| Consultante offensive | 40 000 € | 52 000 € | 65 000 € |
| Consultante défensive | 39 000 € | 50 000 € | 63 000 € |
| Consultante sécurité OT | 44 000 € | 58 000 € | 75 000 € |
- Junior (05 ans) : médian 40 000 €, variable selon région et taille d’entreprise.
- Confirmé (510 ans) : médian 52 000 €, prime de certification possible.
- Senior (10+ ans) : médian 65 000 €, peut dépasser 90 000 € en cabinet anglo-saxon.
Formations et diplômes reconnus
L’accès au métier passe par des cursus bac+5 en sécurité des systèmes d’information. France Compétences référence plusieurs formations RNCP de niveau 7. EPITA et INSEEC proposent des mastères spécialisés. Université Paris-Saclay délivre un master en cybersécurité. ENSIBS (Université Bretagne Sud) forme des experts en sécurité industrielle. Le RNCP 35831 “Expert en cybersécurité” est accessible en alternance. ANSSI labellise les formations “Sécurité en environnements nuageux” depuis 2024. Aucun diplôme ne garantit à lui seul un emploi. La validation des acquis est possible via la VAE pour les professionnels en reconversion.
Reconversion vers ce métier
La pénurie de talents ouvre des portes à des profils variés. France Travail recense 3 200 projets de reconversion vers la cybersécurité en 2025. Trois parcours types se dégagent. Le juriste spécialisé en droit du numérique peut évoluer vers la conformité RGPD. L’administrateur système expérimenté se forme à l’audit de sécurité. Le chef de projet IT peut basculer vers la gestion de risques. APEC indique que 44 % des consultants en sécurité viennent d’une réorientation. Les formations courtes de type POE (Préparation Opérationnelle à l’Emploi) durent 3 à 6 mois. OpenClassrooms et Simplon proposent des parcours certifiants éligibles au CPF. Le CPF ne couvre pas intégralement le coût de ces formations, à vérifier sur moncompteformation.gouv.fr.
Exposition au risque IA
Le score CRISTAL-10 de 79,0 % indique une exposition élevée à l’automatisation par intelligence artificielle. Eloundou et al. (2024) classent 68 % des tâches de sécurité comme potentiellement automatisables. ILO 2025 estime que 22 % des emplois du secteur pourraient voir leur contenu modifié d’ici 2030. Les tâches répétitives comme l’analyse de logs ou la remédiation automatique sont les plus menacées. En revanche, le conseil stratégique, la gestion de crise et l’audit restent difficilement automatisables. DARES Métiers 2030 prévoit une hausse des postes de 18 % malgré l’IA. La consultante doit se former aux outils d’IA défensive et à la gouvernance des algorithmes.
- Automatisation forte : analyse de logs, détection de patterns, reporting standard.
- Automatisation partielle : pentest (phase de scan), mise à jour de correctifs, classification d’alertes.
- Faible automatisation : conseil en stratégie, gestion de crise humaine, audit de conformité.
- Nouveaux métiers liés à l’IA : auditeur d’algorithmes, prompt engineer sécurité, éthicien IA.
Marché de l’emploi
BMO France Travail 2026 estime 4 800 projets de recrutement pour le métier de consultante en sécurité. La région Île-de-France concentre 44 % des offres. Auvergne-Rhône-Alpes suit avec 16 %, puis Occitanie avec 9 %. Les tensions de recrutement sont très fortes : 73 % des employeurs déclarent des difficultés à pourvoir les postes. APEC note une progression de 22 % des offres entre 2024 et 2025. LinkedIn classe le métier dans le top 5 des emplois “en forte croissance” en France. Les secteurs les plus demandeurs sont la banque (21 %), l’assurance (15 %) et le conseil (14 %). ANSSI estime qu’il manque 15 000 experts en sécurité en France.
Certifications et labels
Les certifications renforcent la crédibilité et le salaire. ANSSI recommande le CISSP pour les profils seniors. CISM (Certified Information Security Manager) est prisé pour les postes de management. CEH (Certified Ethical Hacker) reste la référence pour les pentesteurs. CompTIA Security+ est souvent exigée pour les juniors. ISO 27001 Lead Auditor est indispensable pour les missions de conformité. CNB propose un label “Avocat en cybersécurité” depuis 2024. APEC indique que 56 % des offres mentionnent au moins une certification. Certaines certifications sont incluses dans les formations RNCP de niveau 7.
Évolution de carrière
La consultante en sécurité peut progresser vers des postes de management ou d’expertise. D’ici 3 ans, elle peut devenir consultante senior ou chef de projet sécurité. À 5 ans, elle peut accéder à RSSI (Responsable de la Sécurité des Systèmes d’Information) dans une PME. À 10 ans, elle peut diriger un cabinet de conseil ou devenir DSI sécurité dans un grand groupe. France Travail confirme que 78 % des consultants connaissent une promotion dans les 5 ans. L’évolution salariale moyenne est de 8 % par an.
- 3 ans : consultante senior, cheffe de projet, spécialiste cloud ou GRC.
- 5 ans : RSSI de PME, manageuse d’équipe (510 personnes), consultante directrice.
- 10 ans : directrice cybersécurité, associée de cabinet, DSI sécurité groupe.
- Compétences clés pour évoluer : management, gestion budgétaire, communication direction générale.
- Certifications recommandées pour chaque palier : Security+ (junior), CISSP/CISM (confirmé), CGEIT (senior).
- Réseaux professionnels : CLUSIF, CESIN, OWASP France.
Perspectives du métier
L’IA générative crée des menaces inédites, comme les deepfakes vocaux utilisés dans les fraudes, et les régulateurs européens imposent des tests de résistance cyber aux infrastructures critiques. La loi européenne sur l’IA classe les systèmes de sécurité comme à haut risque, renforçant le besoin d’expertise en conformité. Les compétences en sécurité cloud et OT sont les plus recherchées, avec une double exigence technique et juridique de plus en plus systématique dans les appels d’offres. Les domaines en plein essor incluent la détection de contenu synthétique, la protection des modèles d’IA, les obligations NIS 2 et DORA, ainsi que le Cyber Resilience Act pour les objets connectés.