Pendant dix ans, le discours sur les métiers de la cybersécurité s'est résumé à un chiffre : le nombre de postes non pourvus. Les données publiées fin 2025 et en 2026 racontent une histoire différente et plus embarrassante pour les organisations : le problème n'est plus seulement de trouver quelqu'un, il est de trouver quelqu'un qui maîtrise ce dont on a besoin maintenant — et de pouvoir le payer.
La bascule : des effectifs aux compétences
L'ISC2 a publié le 4 décembre 2025 son étude annuelle sur la main-d'œuvre en cybersécurité, réalisée auprès de 16 029 professionnels interrogés en mai et juin 2025. Son constat central inverse la hiérarchie habituelle : le déficit de compétences pèse désormais davantage sur l'efficacité de la sécurité que le niveau d'effectifs.
Les chiffres sont nets. 95 % des répondants signalent au moins un besoin de compétences non couvert. 59 % déclarent des besoins critiques ou significatifs, contre 44 % un an plus tôt. 88 % ont subi au moins une conséquence significative liée à ce déficit. Les deux domaines les plus demandés sont l'intelligence artificielle (41 % des répondants) et la sécurité du cloud (36 %).
La contrainte budgétaire n'a pas disparu pour autant : 36 % des organisations rapportent des coupes budgétaires, 24 % des suppressions de postes, 33 % déclarent ne pas disposer des ressources nécessaires pour doter correctement leurs équipes et 29 % ne pas pouvoir se permettre d'embaucher les compétences dont elles ont besoin. Enfin, 72 % estiment que réduire les effectifs de sécurité augmente significativement le risque de compromission — un arbitrage donc assumé plutôt qu'ignoré.
Un dernier chiffre mérite d'être retenu par les directions : 48 % des professionnels déclarent un épuisement lié à l'effort permanent de mise à jour de leurs connaissances. La rotation des équipes de sécurité n'est pas seulement une question de rémunération.
La photographie française
L'ANSSI publie, avec la délégation générale à l'emploi et à la formation professionnelle et l'Afpa, un Observatoire des métiers de la cybersécurité. Sa quatrième édition analyse plus de 23 000 offres d'emploi publiées en France entre juin 2023 et juin 2024, en hausse de 49 % par rapport à 2019.
La structure de la demande est instructive. Les architectes cybersécurité représentent 21 % des offres, devant les consultants (15 %) et les ingénieurs (15 %). Environ 40 % des offres exigent un niveau bac+5, et la grande majorité des postes sont proposés en contrat à durée indéterminée.
L'enquête auprès des professionnels complète le tableau : 85 % sont des hommes, la moitié travaille dans des organisations de plus de 1 000 salariés, deux tiers dans le secteur privé, et la moitié est arrivée à la cybersécurité depuis un autre métier de l'informatique ou depuis un domaine sans rapport. Ce dernier point est encourageant pour les employeurs : la reconversion fonctionne, et elle constitue une voie d'accès réelle.
Deux déséquilibres structurels ressortent pourtant. D'une part, une demande concentrée sur des profils expérimentés et très qualifiés, alors que la formation produit surtout des débutants. D'autre part, une main-d'œuvre concentrée dans les grandes organisations — ce qui laisse mécaniquement les PME et les ETI en concurrence défavorable pour les mêmes profils.
Le chiffre des 15 000 postes, et ce qu'il vaut
Le chiffre de 15 000 postes circule dans la quasi-totalité des articles consacrés au sujet. Il mérite une mise en garde, parce qu'il est employé dans au moins deux acceptions différentes : tantôt comme un nombre de postes actuellement non pourvus, tantôt comme un besoin de création de postes à l'horizon 2030. Ces deux affirmations n'ont ni la même signification ni les mêmes conséquences.
Nous n'avons pas identifié de publication officielle établissant précisément l'une ou l'autre. Une formule reprise dans la presse spécialisée résume d'ailleurs bien la prudence qui s'impose : on évoque 15 000 postes à créer d'ici 2030 pour les besoins cyber de la France, mais la question porte moins sur le nombre que sur les compétences. Cette lecture est cohérente avec les résultats de l'ISC2. Nous préférons donc raisonner à partir des données mesurées — volume et structure des offres, déficits de compétences déclarés — plutôt qu'à partir d'un agrégat dont la définition varie selon les sources.
Ce que la pénurie change pour une PME ou une ETI
La conséquence concrète, pour une organisation de 50 à 500 salariés, n'est pas qu'elle ne trouvera personne. C'est qu'un recrutement unique de « responsable de la sécurité » produit rarement ce qu'on en attend, pour trois raisons.
D'abord, le périmètre attendu est irréaliste : on demande à une seule personne de couvrir la gouvernance, la conformité réglementaire, l'architecture, la réponse à incident, la sensibilisation et la relation fournisseurs. Ce sont, dans l'observatoire de l'ANSSI, des métiers distincts.
Ensuite, la continuité n'est pas assurée : un départ, un arrêt ou un congé interrompt totalement la fonction, y compris pendant un incident.
Enfin, la montée en compétence est à la charge de l'entreprise, alors même que les domaines les plus demandés — IA, cloud — évoluent plus vite que la capacité de formation d'une structure de cette taille.
Quatre options d'organisation
| Option | Ce qu'elle couvre bien | Limite principale |
|---|---|---|
| Recrutement d'un profil unique | Connaissance fine du contexte métier, présence quotidienne | Périmètre trop large, aucune continuité en cas d'absence |
| Montée en compétence d'un profil IT interne | Coût maîtrisé, fidélisation, connaissance du système d'information | Délai long, conflit d'intérêts entre exploitation et contrôle |
| RSSI externalisé à temps partagé | Gouvernance, conformité, pilotage, continuité d'équipe | Présence limitée, nécessite un relais interne identifié |
| Services infogérés spécialisés | Détection, supervision, tâches récurrentes | Ne remplace pas la décision ni l'arbitrage de risque |
Ces options ne s'excluent pas. La combinaison la plus fréquente dans les structures de taille intermédiaire associe un relais interne — souvent un responsable informatique à qui l'on dégage explicitement du temps — à un accompagnement externalisé sur la gouvernance et la conformité, complété par des prestations ponctuelles d'audit ou de test.
Un point de vigilance sur les coûts : les tarifs des prestations de RSSI externalisé sont rarement publiés par les acteurs du marché, ce qui rend la comparaison difficile. Phishia publie le sien, 15 000 € par an, ce qui permet au moins d'objectiver l'ordre de grandeur face au coût complet d'un recrutement à temps plein.
Chez Phishia, l'externalisation n'a de sens que si elle s'accompagne d'un transfert de compétence vers l'interne : le rôle du RSSI externalisé est aussi de rendre l'organisation progressivement autonome sur les sujets qu'elle peut porter seule.
Questions fréquentes
Vaut-il mieux recruter un junior ou externaliser ?
Les deux répondent à des besoins différents. Un junior interne apporte de la disponibilité et de la connaissance du contexte, mais pas la gouvernance ni l'arbitrage de risque attendus d'un RSSI. L'association d'un junior interne et d'un accompagnement externe est souvent plus efficace qu'un recrutement senior difficile à attirer et à retenir.
La reconversion est-elle une voie crédible ?
Oui. Selon l'enquête de l'ANSSI, la moitié des professionnels interrogés sont arrivés à la cybersécurité depuis un autre métier de l'informatique ou depuis un domaine sans rapport. C'est un vivier réel, à condition de prévoir un parcours de formation et un accompagnement.
Comment retenir un profil cyber une fois recruté ?
Les données de l'ISC2 pointent l'épuisement lié à la mise à jour permanente des connaissances, cité par 48 % des répondants. Un budget de formation identifié et du temps réellement dégagé pour l'utiliser pèsent souvent autant que la rémunération.
Sources
- ANSSI, DGEFP et Afpa, « Observatoire des métiers de la cybersécurité — enquête 2025 »
- ANSSI, « Publication de la 4e édition de l'Observatoire des métiers 2025 »
- ISC2, « 2025 Cybersecurity Workforce Study », 4 décembre 2025
- ISC2, « Workforce Study Deep Dive: Aligning Skills, People and Hiring in Cybersecurity », avril 2026
- L'Usine Digitale, entretien sur les besoins en emplois cyber à l'horizon 2030
Liens consultés le 23 septembre 2026.