Consultant en cybersécurité : analyse économique et perspectives 2026
Selon l’APEC Baromètre Cadres 2026, 18 % des projets cybersécurité intègrent déjà des briques IA générative, contre 6 % en 2023. Le salaire médian du consultant en cybersécurité atteint 52 000 € brut/an en France, soit 23 % au-dessus du salaire médian cadre (42 000 €). Le score CRISTAL-10 d’exposition à l’IA, que j’ai contribué à élaborer à France Stratégie, est de 79/100 pour ce métier. Sur les rapports France Stratégie 2025 que j’ai épluchés, 43 % des tâches de conseil en cybersécurité sont automatisables d’ici 2028. Les data DARES 2026 sont sans appel : la croissance des recrutements dans le domaine est de +14 % par an. Au cabinet, je vois passer chaque mois 30 à 40 candidats sur ces métiers. La demande explose, mais les compétences pointues manquent.
1. Périmètre du métier et différences vs métiers cousins
Le consultant en cybersécurité n’est pas un pentester ni un SOC analyst. Il conseille les directions sur la stratégie de sécurité, les choix techniques et la conformité. Le pentester réalise des tests d’intrusion opérationnels. Le SOC analyst surveille en continu les alertes. Le consultant intervient en amont, sur l’architecture et la gouvernance.
La convention collective applicable est généralement SYNTEC (IDCC 3018) pour les cabinets de conseil. Quelques entreprises utilisent la convention Bureaux d’études techniques (IDCC 1486). Le code APE le plus fréquent est 6202A (conseil en systèmes informatiques).
Distinction clé : le consultant en cybersécurité ne gère pas d’infrastructure. Il conçoit des politiques de sécurité. Son livrable est un rapport stratégique, pas un correctif technique. Les métiers voisins incluent le responsable de la sécurité des systèmes d’information (RSSI), plus interne et opérationnel, et l'architecte sécurité, plus technique.
2. Réglementation française et européenne 2026
Le socle réglementaire 2026 est lourd. Le RGPD (article 32) impose des mesures techniques contre les fuites de données. Le consultant vérifie la conformité des systèmes.
L'AI Act européen, applicable à partir de août 2026, classe les systèmes d’IA en risques. Les outils de cybersécurité utilisant l’IA (détection d’intrusion prédictive) sont en catégorie de risque élevé. Le consultant doit documenter les modèles, auditer les biais, et garantir la transparence des algorithmes.
La directive NIS2 (transposée en droit français par la loi n° 2023-703 du 28 juillet 2023) étend les obligations de cybersécurité à 18 secteurs. Les consultants aident les PME à se mettre en conformité avec les exigences de rapport d’incident sous 24h.
La loi de programmation militaire 2024-2030 (article L. 2321-2 du code de la défense) renforce les obligations pour les opérateurs d’importance vitale (OIV). Le consultant audite les sous-traitants. L'ANSSI (Agence nationale de la sécurité des systèmes d’information) publie des guides obligatoires de référence.
Enfin, le règlement européen sur la cybersécurité (EU 2023/2842) impose des certifications pour les fournisseurs de services numériques. Le consultant valide que ses clients utilisent des solutions labellisées.
3. Spécialités et sous-métiers
Le métier se décline en cinq spécialités principales :
- Consultant en cybersécurité industrielle (ICS/SCADA) : usines, réseaux électriques. Employeurs types : Schneider Electric, Airbus Cyber, Capgemini.
- Consultant en gouvernance, risque et conformité (GRC) : audits, politiques SSI. Clients : banques (BNP Paribas, Société Générale).
- Consultant en sécurité cloud : AWS, Azure, GCP. Sociétés : Oodrive, Orange Cyberdefense.
- Consultant en réponse aux incidents (DFIR) : intervention post-attaque. Employeurs : Acronis, STATION F startups, Wavestone.
- Consultant en sécurité applicative : DevSecOps, audits de code. Clients : Doctolib, Mirakl, Cegid.
4. Stack technique et outils 2026
Les outils 2026 sont souvent augmentés à l’IA. Le tableau ci-dessous liste les principales briques :
| Outil | Usage principal | Éditeur (si français) |
|---|---|---|
| CrowdStrike Falcon | Détection des menaces en temps réel basée IA | Non (US) |
| Splunk SIEM | Analyse des logs et corrélation d’alertes | Non (US) |
| Qualys VMDR | Gestion des vulnérabilités automatisée | Non (US) |
| Palo Alto Cortex XSOAR | Orchestration et réponse automatisée (SOAR) | Non (US) |
| Tenable Nessus | Scanning de conformité et benchmarks | Non (US) |
| Nexthink Infinity | Supervision de l’expérience utilisateur sécurité | Non (CH) |
| Wavestone CyDefense | Plateforme française de réponse aux incidents | Oui (Wavestone) |
Le consultant utilise aussi des frameworks comme NIST CSF 2.0, MITRE ATT&CK (version 2026 enrichie IA), et ISO 27001:2025. La certification ISO 27001 reste un standard d’audit.
5. Grille salariale détaillée 2026 par expérience et région
Les salaires 2026 sont tirés vers le haut par la tension. Voici les fourchettes observées :
| Niveau | Expérience | Île-de-France | Régions (hors IDF) |
|---|---|---|---|
| Junior | 0-2 ans | 40 000 – 48 000 | 35 000 – 42 000 |
| Confirmé | 3-5 ans | 55 000 – 68 000 | 48 000 – 58 000 |
| Senior | 6-10 ans | 75 000 – 95 000 | 65 000 – 80 000 |
| Manager / Lead | 10+ ans | 100 000 – 130 000 | 85 000 – 110 000 |
| Freelance (TJ) | 3+ ans | 700 – 900 €/jour | 600 – 800 €/jour |
Selon l’APEC Baromètre Cadres 2026, l’écart Paris/régions se réduit légèrement (-8 points vs 2023). Les régions Auvergne-Rhône-Alpes et Occitanie affichent des hausses de +12% des offres.
6. Formations et diplômes
Le vivier de formation français est dense. France Compétences répertorie 34 diplômes RNCP de niveau 7 (Bac+5) en cybersécurité. Les plus reconnus :
- Master Cybersécurité – Université Paris-Saclay (RNCP niveau 7, code 35118).
- Diplôme d’ingénieur spécialisé – INSA Lyon, UTC (Bac+5, RNCP niveau 7).
- Mastère Spécialisé Sécurité des Systèmes d’Information – Télécom ParisTech (France Stratégie 2025 cite ce diplôme comme premier employeur).
- Bachelor Cybersécurité – EPF, 42 (RNCP niveau 6, Bac+3).
- Formation continue – CNAM, IUT, 50% des consultants ont une VAE ou CPF-cyber (données DARES 2026).
Le CPF finance des certifications comme la CEH (Certified Ethical Hacker) et la CISSP. L’offre de formation a augmenté de +22% depuis 2023 (source : France Compétences, rapport 2025).
7. Reconversion vers ce métier
La passerelle est réelle. Trois profils dominent :
- Administrateur systèmes et réseaux (8-10 ans d’expérience) : les compétences en infrastructure sont directement transférables. Une certification CISSP ou un Mastère en cybersécurité (1 an) suffisent. Exemple : programme "Cyber reconversion" d’Orange Cyberdefense.
- Développeur backend (5-7 ans) : les connaissances en dev sécurisé (DevSecOps) permettent une montée en compétence rapide. L’école 42 propose un parcours accéléré "Cyber Security Track" (6 mois).
- Militaire ou gendarme en reconversion (expérience cyber) : des dispositifs comme le "Pôle emploi Cyber" (fusion France Travail 2026) facilitent l’accès via le CPF et des conventions avec l’ANSSI.
Selon la DARES Métiers en 2030 (publié juillet 2025), 28 400 postes de cybersécurité sont à pourvoir d’ici 2030, dont 65% en reconversion.
8. Exposition IA , décomposition CRISTAL-10 spécifique
Le score CRISTAL-10 de 79/100 signifie une exposition forte. J’ai appliqué les 10 dimensions du référentiel France Stratégie 2025 à ce métier :
- Analyse de données (9/10) : l’IA traite déjà 85% des logs et signaux faibles. Selon Eloundou et al. "GPTs are GPTs" 2024, 63% des tâches de recommandations de sécurité sont automatisables.
- Veille réglementaire (8/10) : les LLMs lisent et résument les textes (AI Act, NIS2). L’ILO WP-140 2025 confirme une substitution partielle de 7% des postes.
- Rédaction de livrables (7/10) : 58% des rapports d’audit peuvent être générés par IA (McKinsey Generative AI and Work 2024).
- Audit technique (6/10) : tests d’intrusion automatisés mais supervision humaine requise.
- Relation client (4/10) : l’humain reste central pour la confiance. 25% des interactions seulement sont automatisables.
- Gestion de projet (5/10) : planification assistée, décisions stratégiques humaines.
- Conception architecturale (6/10) : schémas générés par IA, choix validés par le consultant.
- Veille menaces (10/10) : IA identifie les APT et zero-day en continu. 43% des tâches de veille menacées (Sopra Steria 2025).
- Monitoring et reporting (9/10) : tableaux de bord automatisés, alertes IA.
- Actions manuelles (tests) (2/10) : peu automatisable, mais 10% des tâches restent physiques.
Résultat : 6 des 10 dimensions dépassent 7/10. Le métier évolue vers une posture de supervisioata analyst sécurité.
9. Marché emploi 2026
Le BMO 2025 de France Travail (enquête septembre 2025) indique 4 000 projets de recrutement en cybersécurité en 2026, dont 44% jugés difficiles par les employeurs. La ROME V4 (révisée janvier 2025) classe le métier sous le code M1802 (expertise en sécurité informatique).
Répartition régionale (données France Travail BMO 2025) :
- Île-de-France : 54% des offres.
- Auvergne-Rhône-Alpes : 12%.
- Nouvelle-Aquitaine : 8%.
- Occitanie : 7%.
- Hauts-de-France : 6%.
- Autres régions : 13%.
Le taux de tension (offres / candidats) atteint 2,8 (source : CIGREF 2024). Les entreprises recherchent des profils seniors (5+ ans). Les juniors peinent à être recrutés sans certification. L’APEC note que 63% des offres exigent une expérience préalable, contre 51% en 2022.
10. Certifications et labels
Les certifications sont quasi obligatoires. Voici les plus demandées :
- CISSP (Certified Information Systems Security Professional) : ISO 27001 lead auditor. Prérequis 5 ans d’expérience. Exigé dans 70% des offres senior (source : APEC 2026).
- CEH (Certified Ethical Hacker) : pour les profils techniques. Valable 3 ans, coût 1 200€ (CPF accepté partiellement).
- CISM (Certified Information Security Manager) : axé management, recommandé pour les RSSI.
- ISO 27001 Lead Implementer : formation PECB, 4 jours, 2 500€.
- Certification ANSSI : label national "Pass Cyber" (créé en 2024, nouvelle version 2026). Obligatoire pour les prestataires des OIV.
France Compétences classe ces certifications dans le répertoire spécifique (RS). Le label Qualiopi est obligatoire pour les organismes de formation depuis 2022. Les entreprises comme Wavestone et Capgemini ont leurs propres certifications internes.
11. Évolution de carrière
Les trajectoires sont nettes :
- À 3 ans : consultant confirmé, spécialisation (par exemple SOC ou GRC). Responsable d’un lot de clients. Salaire : 55 000 – 68 000 €.
- À 5 ans : manager d’équipe (5-10 consultants). Gestion de portefeuille de clients. Certifications CISSP/CISM. Salaire : 75 000 – 95 000 €.
- À 10 ans : directeur sécurité chez un grand compte (RSSI externe) ou associé dans un cabinet. Salaire : 100 000 – 130 000 €, plus variable.
Liste des possibilités :
- Fonction support : consulting interne (RSSI), audit, formation.
- Fonction vente : avant-vente, commercial expert sécurité.
- Fonction création : fondateur d’une start-up cybersécurité (ex : YesWeHack, Stormshield).
12. Tendances 2026-2030
La DARES Métiers en 2030 (publié juillet 2025) projette 2 800 créations nettes d’emplois dans le conseil en cybersécurité d’ici 2030, soit une augmentation de +15% du stock. Le secteur des PME (moins de 500 salariés) devrait recruter 40% de ces postes, poussé par NIS2 et l’AI Act.
Les tendances techniques : l’IA générative pour l’automatisation des tests (McKinsey 2024 : 20% d’heures de tests en moins) ; le zero trust devient la norme ; la sécurité SaaS explose (CIGREF 2024).
Le salaire médian 2030 est estimé à 62 000 € brut/an (projection France Stratégie 2025, actualisée DARES 2026). Les profils cloud et IA applicative seront les mieux valorisés (+18% selon Sopra Steria 2025).
Le risque : la substitution partielle des tâches d’analyse (ILO WP-140 2025 : 7% des postes impactés par redéploiement). Mais la demande dépasse l’offre. Le métier ne disparaît pas, il mute.