Forteresse numérique : carrières en cybersécurité dans la stratégie de défense souveraine française

Synthèse exécutive

La France bâtit une capacité de défense numérique souveraine, et l'ampleur en est désormais documentée plutôt qu'affirmée. L'ANSSI a traité 4 386¹ événements de sécurité en 2024, soit 15 %¹ de plus qu'en 2023. La filière de la confiance numérique (cybersécurité, sécurité numérique et IA de confiance) a réalisé 21,3 milliards d'euros¹ de chiffre d'affaires en France cette année-là et employait 107 330¹ personnes. Et l'étude de marché de l'ANSSI, de la DGEFP et de l'Afpa a analysé 23 183¹ offres d'emploi en cybersécurité publiées en France, soit 49 %¹ de plus que cinq ans plus tôt. Pour les professionnels en quête d'opportunités, cette situation se traduit par des perspectives de carrière extraordinaires : salaires élevés, évolution rapide, et la possibilité de contribuer à la défense des infrastructures nationales critiques.

Panorama des menaces : un enjeu de souveraineté

L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), l'agence nationale française de cybersécurité, a enregistré 4 386 événements de sécurité en 2024, soit 15 % de plus qu'en 2023, dont 3 004 signalements portés à sa connaissance et 1 361 incidents. Les cibles incluent des hôpitaux, des sous-traitants de la défense, des infrastructures énergétiques et des systèmes gouvernementaux. Le contexte géopolitique (guerre en Ukraine, multiplication des attaques étatiques russes et chinoises) a fait passer la cybersécurité du statut de préoccupation technique à celui d'enjeu de souveraineté nationale.

Principaux vecteurs de menace

• Ransomware (rançongiciels) : l'ANSSI place l'écosystème cybercriminel, aux côtés des attaquants réputés liés à la Chine et à la Russie, parmi les trois principales menaces pesant tant sur les systèmes d'information les plus critiques que sur l'écosystème national dans son ensemble
• Attaques de la chaîne d'approvisionnement (supply chain) : Celles-ci visent les éditeurs de logiciels pour compromettre leurs clients en aval
• Infrastructures critiques : Les secteurs de l'énergie, des transports et de la santé sont de plus en plus ciblés
• Espionnage : L'espionnage industriel et étatique affecte les secteurs de la défense et de la haute technologie

L'écosystème français de la cybersécurité

Secteur public et Défense

• ANSSI : bouclier cyber et autorité de régulation en France, et l'organisme qui publie le panorama annuel de la menace sur lequel repose cette page
• COMCYBER (Commandement de la Cyberdéfense) : conduite des opérations militaires dans le cyberespace
• DGA-MI : Pôle d'expertise de la DGA (Direction Générale de l'Armement) pour la Maîtrise de l'Information, basé à Bruz (près de Rennes)

Les champions industriels

• Thales : cité par l'observatoire de filière de l'ACN comme leader mondial de la sécurité numérique, de la gestion des identités et des accès et des services de cybersécurité, seule entreprise française nommée sur les trois segments
• Atos/Eviden : Premier fournisseur européen de services de cybersécurité, leader du cloud souverain
• Orange Cyberdefense : citée avec Thales, Atos Eviden, Sopra Steria et Capgemini parmi les leaders du segment des services de cybersécurité, qui représente à lui seul 29 271 des 107 330 emplois de la confiance numérique recensés en France
• Airbus CyberSecurity : Opérations de SOC (Centre Opérationnel de Sécurité) et protection des infrastructures critiques

Cloud souverain et autonomie numérique

L'initiative « Cloud de Confiance » impose que les données gouvernementales sensibles soient hébergées sur des infrastructures souveraines. Cette exigence a créé une demande massive pour les profils suivants :

• Architectes en sécurité du cloud
• Ingénieurs d'infrastructure certifiés SecNumCloud
• Spécialistes de la conformité en matière de souveraineté des données
• Concepteurs d'architecture "zero-trust" (confiance nulle)

Les parcours professionnels

Sécurité offensive (Red Team)

Les testeurs d'intrusion (pentesters) et les pirates éthiques simulent des attaques pour identifier les vulnérabilités :

• Tests de sécurité des applications web
• Tests d'intrusion réseau
• Évaluations d'ingénierie sociale
• Exercices de type red team / purple team

Débutant : 40-48 k€ | Senior : 70-100 k€ | Expert : 100-150 k€

Sécurité défensive (Blue Team)

Les analystes SOC et les spécialistes de la réponse à incident constituent la première ligne de défense :

• Analyste SOC (Security Operations Center) niveaux L1 à L3
• Réponse à incident et investigation numérique (DFIR)
• Analyse du renseignement sur les menaces (threat intelligence)
• Rétro-ingénierie de logiciels malveillants (malware)

Débutant : 35-42 k€ | Senior : 55-80 k€ | Expert : 85-130 k€

Gouvernance, Risque et Conformité (GRC)

Avec les directives NIS2 et DORA, ainsi que les réglementations spécifiquement françaises, les postes en GRC sont en plein essor :

• CISO/RSSI (Responsable de la Sécurité des Systèmes d'Information)
• Spécialistes de l'évaluation des risques
• Auditeurs en conformité (ISO 27001, SecNumCloud)
• Délégués à la protection des données (DPO, conformité RGPD)

Débutant : 38-45 k€ | CISO/RSSI : 90-180 k€

Cryptographie et sécurité quantique

La solide tradition mathématique française confère au pays un avantage concurrentiel dans la recherche en cryptographie :

• Chercheurs en cryptographie post-quantique
• Ingénieurs spécialisés en modules de sécurité matériels (HSM)
• Concepteurs de protocoles cryptographiques
• Spécialistes de la distribution quantique de clés (QKD)

Rennes, capitale de la cybersécurité

Rennes s'est imposée comme la capitale incontestée de la cybersécurité en France, accueillant notamment :

• Le siège du COMCYBER et la DGA-MI
• Le Pôle d'Excellence Cyber
• L'un des cinq campus (avec Paris-Saclay, Brest, Grenoble et Lyon) qui accueillent les près de 1 000 chercheurs académiques affectés à temps plein à la cybersécurité en France
• Les programmes de cybersécurité de CentraleSupélec et de l'INSA Rennes

Cette concentration de compétences cybernétiques militaires, universitaires et privées crée un écosystème de carrière unique. Rennes n'est cependant pas la seule adresse : le même observatoire de filière situe la recherche académique cyber à temps plein sur cinq campus, dont Grenoble et Lyon, le point de départ d'une lecture pour un candidat d'Auvergne-Rhône-Alpes.

Les certifications qui comptent

• OSCP/OSCE : La référence absolue pour les testeurs d'intrusion.
• CISSP : Essentielle pour les postes de direction et de management.
• CEH : Une certification d'entrée de gamme largement reconnue.
• Certifications ANSSI : PASSI, PRIS, PDIS pour les prestataires de services qualifiés.
• SecNumCloud : De plus en plus exigée pour les postes axés sur le cloud.

Grille de salaires de référence

Les pentesters indépendants (freelance) peuvent facturer entre 600 et 1 200 € par jour. Les postes dans le secteur de la défense incluent souvent des primes liées à l'habilitation secret-défense.

Plan d'action

1. Montez un laboratoire personnel (home lab) : Entraînez-vous sur HackTheBox, TryHackMe, ou la plateforme française Root-Me.
2. Obtenez des certifications de manière stratégique : OSCP pour les rôles techniques, CISSP pour une évolution vers le management.
3. Lisez les offres avant de choisir la ville : l'étude de l'ANSSI, de la DGEFP et de l'Afpa analyse 23 183 offres d'emploi françaises en cybersécurité et les ventile par région et par profil, un meilleur guide qu'une réputation.
4. Participez aux événements clés : Le FIC (Forum InCyber) à Lille, LeHACK à Paris.
5. Envisagez les parcours dans la Défense : Le COMCYBER offre des formations uniques avec des passerelles vers le secteur civil.

Chiffres retirés

Le 7 septembre 2026, cette page a été auditée au regard de sa propre liste de références. Neuf chiffres ont été retirés : plus de 15 000 postes non pourvus, une hausse annuelle de 37 % des attaques, un milliard d'euros d'investissement cyber au titre de France 2030, 831 intrusions avérées en 2023, 60 % d'attaques par rançongiciel contre les PME pour un coût moyen supérieur à 250 000 €, un effectif ANSSI de plus de 600 personnes, 5 000 cybercombattants du COMCYBER d'ici 2025, une division cyber Thales de 2 milliards d'euros et 5 500 spécialistes, 3 000 experts Orange Cyberdefense, ainsi que les affirmations selon lesquelles 70 % des emplois cyber français se concentrent sur deux régions et Rennes paie 10 à 15 % de moins que Paris. Aucun document primaire publié par un organisme nommé n'a pu être trouvé pour les étayer, à quelque édition que ce soit, ou, lorsque l'éditeur était nommé, son document n'a pas pu être ouvert à sa propre adresse. Ils sont donc retirés plutôt que maintenus sur une référence invérifiable. Chaque chiffre qui subsiste ci-dessous est crédité à un document qu'un lecteur peut ouvrir à une date établie.

Sources

• ANSSI, « Panorama de la cybermenace 2024 » (CERTFR-2025-CTI-003), 1^er mars 2025 : 4 386 événements de sécurité en 2024, +15 % sur 2023, dont 3 004 signalements et 1 361 incidents.
• ACN (Alliance pour la Confiance Numérique), « Observatoire de la filière de la Confiance Numérique 2025 », mai 2025 : 21,3 Mds€ de chiffre d'affaires en France en 2024, +6,2 %, 107 330 emplois dont 29 271 dans les services de cybersécurité, 33,5 Mds€ générés dans le monde et près de 1 000 chercheurs académiques à temps plein sur cinq campus.
• ANSSI, DGEFP et Afpa, « Étude 2025 : les professionnels de la cybersécurité » (Observatoire des métiers, 4^e édition), 9 juin 2025 : 23 183 offres d'emploi analysées, +49 % en cinq ans, et une enquête auprès de 1 720 professionnels.
• European Union (2022), Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2).

Le moteur réglementaire derrière les recrutements

La demande cyber en France n'est pas d'abord tirée par la peur de l'attaque ; elle est tirée par des obligations assorties d'échéances. Trois régimes transforment la sécurité d'un budget discrétionnaire en une ligne de conformité qu'il faut doter en personnel. NIS2 étend des devoirs contraignants de sécurité et de notification d'incident à un ensemble d'entités essentielles et importantes bien plus large que le texte précédent, faisant entrer pour la première fois des fournisseurs industriels de taille intermédiaire et des opérateurs publics dans le périmètre. DORA impose aux entités financières des tests de résilience opérationnelle et une gouvernance du risque tiers. Le règlement sur la cyberrésilience pousse les exigences en amont, dans les produits comportant des éléments numériques, ce qui fait de la sécurité une obligation d'ingénierie pour les fabricants plutôt qu'une fonction informatique.

La conséquence sur l'emploi est précise. Les obligations créent des postes qui ne peuvent pas être différés : quelqu'un doit porter la chaîne de notification d'incident, le dossier d'assurance fournisseurs, le programme de tests de résilience, le dossier de sécurité produit. Ces rôles sont simultanément de gouvernance et d'ingénierie, et c'est pourquoi la demande se concentre sur les profils capables de lire une réglementation et de la traduire en un contrôle que les ingénieurs mettront réellement en œuvre.

Six familles de métiers, et ce sur quoi chacune est réellement évaluée

• Architecture de sécurité. Concevoir pour que la défaillance reste contenue. Évaluée sur le raisonnement de segmentation, la conception des identités et la capacité à dire ce qu'une architecture sacrifie.
• Détection et réponse (SOC/CERT). Évaluée sur la discipline de tri dans le bruit : hypothèse, confinement, préservation des preuves, chronologie écrite.
• Sécurité offensive et red teaming. Évaluée moins sur l'exploitation que sur le rapport : une découverte actionnable par un mainteneur, hiérarchisée par impact métier et non par élégance technique.
• Sécurité produit et embarquée. La famille qui croît le plus vite dans la base industrielle et de défense, parce que les obligations sont entrées dans le produit. Exige la maîtrise du démarrage sécurisé, de la gestion des clés et de la provenance de la chaîne d'approvisionnement.
• Cryptographie et ingénierie souveraine. Inclut la migration post-quantique désormais planifiée dans les systèmes publics et de défense : inventorier les usages de la cryptographie et séquencer leur remplacement.
• GRC et résilience. La couche de traduction réglementaire. Sous-estimée par les candidats et la famille la plus difficile à pourvoir avec des personnes crédibles auprès des ingénieurs.

Habilitation, souveraineté et la contrainte que les candidats sous-estiment

Dans le segment défense et infrastructures critiques, l'employabilité est conditionnée par des éléments qu'un CV ne peut pas améliorer. Les postes touchant des programmes classifiés exigent une habilitation de sécurité nationale : elle prend des mois, est accordée au poste plutôt qu'à la personne, et suppose généralement des conditions d'éligibilité incluant la nationalité. Le cloud souverain et les offres qualifiées ajoutent une seconde contrainte : l'architecture doit rester démontrablement hors de portée juridique extra-européenne, ce qui façonne les choix d'outillage d'une manière qui surprend les ingénieurs venus de la technologie grand public.

Deux implications pratiques en découlent. D'abord, le calendrier d'une recherche d'emploi dans la défense est structurellement plus long, et les candidats devraient traiter la fenêtre d'habilitation comme partie du processus et non comme un retard. Ensuite, la compétence transférable est la rigueur documentaire (traçabilité, gestion de configuration, justification écrite d'une conception) car dans ce segment une bonne décision non documentée compte comme une décision non maîtrisée.

Comment entrer, sans diplôme de sécurité

1. Construire d'abord les fondamentaux opérationnels. Réseaux, identité, et la manière dont les systèmes défaillent réellement. Ceux qui sautent cette étape pour commencer par l'outillage plafonnent vite, car toute conversation avec un senior revient au système sous-jacent.
2. Produire un compte rendu d'incident. Reproduire en laboratoire un incident public documenté, puis écrire la chronologie, la décision de confinement et le contrôle anti-récurrence. C'est l'artefact qui ressemble le plus au métier.
3. Apprendre à lire une réglementation. Prendre une obligation NIS2 ou DORA et rédiger le contrôle qui la satisfait, avec les preuves qu'un superviseur demanderait. Très peu de candidats savent le faire à l'arrivée, et c'est directement facturable.
4. Choisir la voie contrainte délibérément. Les environnements régulés et souverains rémunèrent la patience et la documentation plutôt que la nouveauté. Cet arbitrage (changement plus lent, confiance plus élevée, ancienneté plus longue) convient à certains ingénieurs et en frustre d'autres ; mieux vaut le trancher avant l'ouverture du dossier d'habilitation qu'après.

La lecture stratégique pour un candidat est que ce marché récompense une combinaison rare plutôt que la seule spécialisation profonde : assez d'ingénierie pour être crédible auprès des bâtisseurs, assez de culture réglementaire pour être crédible auprès des auditeurs, et la discipline d'écriture qui laisse une trace résistant à une inspection des années plus tard.