80% des directions informatiques françaises déclarent un besoin immédiat en consultants cybersécurité en 2026, selon le baromètre APEC Tech 2026. Le métier de Consultant en Sécurité des Systèmes d’Information (CSI) explose sous la pression réglementaire et la multiplication des cyberattaques. Ce professionnel évalue, conçoit et pilote la stratégie de protection des données et des infrastructures numériques. Contrairement à un RSSI interne, le CSI travaille en mission chez des clients variés, souvent en cabinet de conseil ou en freelance. Il ne gère pas l’exploitation quotidienne, contrairement à un administrateur sécurité. Son périmètre couvre l’audit technique, la conformité réglementaire, la gouvernance et la sensibilisation. La demande explose avec la directive NIS 2 et la loi de programmation militaire 2024-2030.
Périmètre du métier et différences vs métiers proches
Le CSI réalise des missions d’audit, de conseil et d’accompagnement technique. Il analyse les vulnérabilités, rédige des plans d’action, déploie des solutions de sécurité et forme les équipes. Il intervient en préventif mais aussi en curatif après un incident.
- Auditeur sécurité : se concentre sur le test d’intrusion et la détection de failles, sans dimension stratégique.
- RSSI : poste en interne, responsable de la politique sécurité d’une seule entité, pas de multiplicité de clients.
- Administrateur sécurité : gère les pare-feux, les antivirus, les accès au quotidien, sans conseil ni audit.
- Architecte sécurité : conçoit l’architecture technique, souvent en amont du CSI qui valide la conformité.
- Chief Information Security Officer (CISO) : fonction plus large incluant le management d’équipe et le budget, souvent réservée aux grands groupes.
Le CSI combine donc l’expertise technique de l’auditeur et la vision stratégique du RSSI, mais dans un cadre de prestation externe. Il doit maîtriser les référentiels normatifs et les exigences des autorités de contrôle comme l’ANSSI.
Réglementation 2026
Le cadre légal s’est considérablement renforcé depuis 2024. Le CSI doit connaître et appliquer plusieurs textes majeurs.
- Directive NIS 2 (UE 2022/2555) : transposée en droit français par la loi n°2024-266 du 26 mars 2024, effective au 18 octobre 2024. Elle impose des obligations de sécurité, de notification d’incidents et de certification pour les entités essentielles et importantes.
- Loi de programmation militaire 2024-2030 (n°2023-703 du 1er août 2023) : renforce les contrôles sur les opérateurs d’importance vitale (OIV) et élargit le périmètre de l’ANSSI.
- Règlement général sur la protection des données (RGPD, UE 2016/679) : toujours en vigueur, avec des amendes records en 2025 (plus de 1,2 milliard d’euros cumulés en Europe selon la CNIL).
- Convention collective SYNTEC (IDCC 1486) : applicable aux cabinets de conseil, elle encadre les salaires, les primes et la classification des postes de consultants.
- Loi n°2025-174 du 12 février 2025 : renforce l’obligation de certification des prestataires de cybersécurité (passage obligatoire par France Cybersecurity ou SecNumCloud pour les marchés publics).
Un CSI intervenant sur des marchés publics ou des OIV doit justifier d’une certification ANSSI ou équivalente sous peine d’exclusion des appels d’offres depuis le 1er janvier 2026.
Spécialités et sous-métiers
Le métier de CSI se décline en plusieurs spécialités pointues, chacune avec des compétences distinctes.
- CSI gouvernance et conformité : pilote la mise en conformité RGPD, NIS 2, ISO 27001. Rédige des politiques de sécurité, des chartes et des registres de traitement.
- CSI technique et audit : réalise des tests d’intrusion, des analyses de code, des audits d’architecture. Maîtrise les outils de pentesting comme Burp Suite ou Metasploit.
- CSI cloud et virtualisation : spécialiste des environnements AWS, Azure, Google Cloud. Audit des configurations, gestion des identités, sécurisation des conteneurs Docker ou Kubernetes.
- CSI industriel (OT/ICS) : protège les systèmes industriels et les infrastructures critiques. Connaît les protocoles Modbus, IEC 61850 et la norme IEC 62443.
- CSI cyber résilience et crise : conçoit des plans de continuité d’activité (PCA), des plans de reprise (PRA), et anime des exercices de crise cyber.
Chaque spécialité répond à un besoin spécifique du marché, avec des niveaux de rémunération et de tension variés.
Stack technique et outils 2026
La boîte à outils du CSI s’est enrichie avec l’essor de l’IA et du cloud. Voici les outils incontournables en 2026.
| Outil | Fonction principale | Éditeur | Utilisation en 2026 |
|---|---|---|---|
| Tenable Nessus | Scan de vulnérabilités | Tenable | Audit de conformité, rapports automatisés |
| Wireshark | Analyse réseau | Open source | Forensic, détection d’intrusion |
| Splunk | SIEM et analyse de logs | Splunk Inc. | Corrélation d’événements, SOC |
| Kali Linux | Pentesting et sécurité offensive | Offensive Security | Tests d’intrusion, formation |
| Microsoft Defender for Cloud | Sécurisation cloud | Microsoft | Audit Azure, protection des workloads |
Le CSI utilise aussi des solutions de gestion des identités (Okta, Entra ID), des outils de conformité automatisée (Vanta, Drata) et des plateformes de Threat Intelligence (Recorded Future). La maîtrise de l’IA générative pour l’analyse de logs et la rédaction de rapports devient un atout différenciant en 2026.
Grille salariale détaillée 2026
Les salaires varient selon l’expérience, la spécialité et le type de structure (cabinet, freelance, entreprise). Le salaire médian national est de 40 000 € brut par an selon l’APEC.
| Niveau | Expérience | Salaire minimum | Salaire médian | Salaire maximum |
|---|---|---|---|---|
| Junior | 0-2 ans | 32 000 | 36 000 | 42 000 |
| Confirmé | 3-6 ans | 40 000 | 48 000 | 58 000 |
| Senior | 7+ ans | 52 000 | 65 000 | 85 000 |
| Expert / Lead | 10+ ans | 70 000 | 90 000 | 120 000+ |
Les écarts sont forts selon la spécialité : un CSI cloud senior peut atteindre 95 000 € chez un grand cabinet parisien, contre 60 000 € pour un CSI conformité en région. Le salaire médian en freelance atteint 550 € par jour pour un confirmé, soit l’équivalent de 72 000 € brut annuel sur 220 jours facturés (source : Malt Baromètre Freelance 2026).
Formations et diplômes reconnus
L’accès au métier passe par des formations spécialisées, reconnues par l’État et les entreprises.
- Diplômes d’ingénieur : INSA, Centrale, Mines ParisTech, ENSEIRB-MATMECA – spécialité cybersécurité, bac+5, niveau 7 RNCP.
- Masters universitaires : Université Paris-Saclay (Master Cybersécurité), Université de Rennes 1 (Cryptographie), Université de Bordeaux (Sécurité des systèmes).
- Écoles spécialisées : EPITA, ESIEA, EFREI – mastères spécialisés en cyber, reconnus par l’ANSSI.
- Formations courtes certifiantes : CEH (Certified Ethical Hacker), CISSP, CISM, reconnues par le marché et éligibles au CPF sous conditions (à vérifier sur moncompteformation.gouv.fr).
- Apprentissage et alternance : 45% des CSI juniors sont issus de l’alternance en 2026 selon la DARES.
France Compétences a inscrit 12 certifications cybersécurité au RNCP en 2025, dont le titre “Expert en cybersécurité” (niveau 7, bac+5).
Reconversion vers ce métier
La pénurie de talents ouvre la voie à des profils en reconversion. Trois parcours types se dégagent en 2026.
- Développeur·se : maîtrise du code, des frameworks, des bases de données. Complète par une certification CEH ou OSCP (6-12 mois de formation). Environ 15% des CSI viennent du développement selon l’APEC.
- Administrateur·trice réseau/système : connaissance des infrastructures, des protocoles, des serveurs. Passe par un bachelor cybersécurité ou une formation Simplon (8 mois). 25% des reconvertis viennent de ce profil.
- Juriste ou Risk Manager : spécialiste des normes et de la conformité. Se forme à l’ISO 27001 et au RGPD via des formations comme AFNOR ou CNIL. Représente 10% des CSI en conformité.
Les dispositifs France Travail (Projet de Transition Professionnelle), Transitions Pro et le CPF financent ces reconversions sous conditions. 62% des reconvertis trouvent un emploi dans les 6 mois suivant la certification (source : France Travail BMO 2026).
Exposition au risque IA
Le score CRISTAL-10 de 80 % place le CSI parmi les métiers fortement exposés à l’IA, mais pas menacés de disparition. L’étude Eloundou et al. (2024) estime que 60% des tâches d’un CSI peuvent être assistées ou automatisées par l’IA, mais seulement 15% des tâches sont intégralement automatisables.
- Automatisation forte : génération de rapports de conformité, analyse de logs, détection de patterns malveillants (SIEM IA, comme Darktrace).
- Assistance IA : recommandations de correctifs, priorisation des vulnérabilités, synthèse de menaces (Threat Intelligence IA).
- Compétences non automatisables : négociation avec les clients, priorisation des risques métier, audit d’architecture complexe, gestion de crise, conseil stratégique.
- Évolution du métier : le CSI devient un “superviseur IA” qui valide, contextualise et adapte les alertes générées par les algorithmes. L’IA remplace les tâches répétitives mais exacerbe le besoin en jugement humain.
L’ILO (2025) classe la cybersécurité comme secteur à “risque de transformation fort” mais pas de destruction nette d’emplois. La demande en CSI devrait croître de 30% d’ici 2030 selon la DARES Métiers 2030.
Marché de l’emploi
Le marché du CSI est très tendu en 2026. L’enquête BMO France Travail 2026 indique 85% de projets de recrutement jugés difficiles pour ce profil, contre 72% pour la moyenne des métiers du numérique.
- Île-de-France : 42% des offres, salaire médian 52 000 €, tension extrême sur les profils cloud et OT.
- Auvergne-Rhône-Alpes : 15% des offres, forte demande à Lyon et Grenoble, salaire médian 44 000 €.
- Occitanie : 10% des offres, pôle à Toulouse (aéronautique/défense), salaire médian 42 000 €.
- Nouvelle-Aquitaine : 8% des offres, Bordeaux et La Rochelle en croissance, salaire médian 40 000 €.
- Hauts-de-France : 7% des offres, Lille pôle cyber, salaire médian 38 000 €.
Le nombre d’offres d’emploi pour les CSI a augmenté de 34% entre 2024 et 2026 selon l’APEC. Les cabinets de conseil (Capgemini, Wavestone, Accenture, Atos) sont les premiers recruteurs, suivis par les éditeurs de logiciels (Dassault Systèmes, OVHcloud).
Certifications et labels
Les certifications sont un passage obligé pour crédibiliser son expertise. Voici les plus demandées en 2026.
- CISSP (Certified Information Systems Security Professional) : certification reine, reconnue mondialement, exigée par 70% des offres de CSI senior (source : APEC).
- CISM (Certified Information Security Manager) : orientée management et gouvernance, pour les profils confirmés.
- CEH (Certified Ethical Hacker) : pour les spécialistes en test d’intrusion, très demandée en cabinet d’audit.
- OSCP (Offensive Security Certified Professional) : certification technique très réputée, validation pratique des compétences en pentest.
- ISO 27001 Lead Auditor / Lead Implementer : exigée pour les missions de mise en conformité et d’audit de systèmes de management de la sécurité.
- Certification ANSSI (PASSI, SecNumCloud, SecNumCyber) : obligatoire depuis 2025 pour les prestataires de services de confiance intervenant sur les OIV.
Le coût de ces certifications varie de 500 € (CEH autoformation) à 4 500 € (CISSP avec stage). Leur renouvellement est requis tous les 3 à 5 ans.
Évolution de carrière
Le métier de CSI offre des perspectives dynamiques à court, moyen et long terme.
À 3 ans : le junior devient autonome sur les missions d’audit technique. Il peut se spécialiser (conformité, cloud, OT) ou passer en interne comme RSSI adjoint. 60% des juniors évoluent vers un poste senior ou une spécialisation dans les 3 ans.
- Évolution vers chef de projet sécurité (management d’équipe, 50 000-70 000 €).
- Spécialisation technique : expert en cryptographie, forensic, Threat Intelligence.
- Passage en freelance (taux journalier 450-550 €).
À 5 ans : le confirmé manage une équipe de 3 à 5 consultants. Il conçoit des architectures de sécurité globales et accompagne les directions dans leur stratégie cyber.
- Poste de responsable du pôle cybersécurité en cabinet (80 000-100 000 €).
- RSSI d’une ETI ou PME (60 000-85 000 €).
- Consultant expert en reprise d’activité après sinistre.
À 10 ans : le senior devient directeur de la sécurité (CISO) d’un grand groupe ou associé d’un cabinet de conseil. Il peut aussi fonder sa propre structure de conseil.
- Directeur cybersécurité d’une entreprise du CAC 40 (150 000-250 000 €).
- Associé dans un cabinet de conseil en stratégie cyber.
- Expert judiciaire près les tribunaux, auditeur agréé ANSSI.
Perspectives du métier
L’IA générative est intégrée dans les SIEM et les outils de Threat Intelligence, faisant évoluer le CSI vers un rôle d’orchestrateur qui pilote des agents autonomes de détection et de réponse. La réglementation impose des tests de résistance et des exercices de crise obligatoires, spécialisant une partie des CSI dans la gestion de crise et la reprise d’activité. La montée des solutions françaises et européennes comme OVHcloud, WithSecure ou Wallix renforce la demande de CSI maîtrisant ces environnements souverains. Une pénurie de talents persistante crée des opportunités fortes pour les profils juniors et les reconvertis souhaitant intégrer la cybersécurité.