En croissance, le marché français de la cybersécurité reste trop fragmenté

En 2025, le marché français de la cybersécurité aura dépassé symboliquement la barre des sept milliards d’euros de chiffre d’affaires. Cette performance indéniable, portée par une décennie de croissance ininterrompue, cache toutefois des disparités et des fragilités. Lors de la journée INCYBER Invest, qui s’est tenue le 31 mars à l’édition 2026 du Forum INCYBER, analystes, investisseurs, entrepreneurs et institutionnels ont échangé sur les poids et les faiblesses de cet écosystème hexagonal.

Senior analyst cybersécurité chez PAC, Eric Domage a cadré le débat en posant quelques données macro-économiques. Le marché français de la cybersécurité a donc atteint 7,34 milliards d’euros l’an dernier, en hausse de 8,3 %. Le cabinet d’études prévoit un nouveau plafond à horizon 2030, avec 10,7 milliards d’euros de revenus, soit un taux de croissance annuel moyen de 7,9 %. « Nous ne sommes plus sur les 15 % de croissance annuelle du passé, ce qui traduit une forme de maturité », juge le consultant.

Ce ralentissement relatif de la croissance masque des dynamiques plus contrastées selon les segments. Les solutions de SOC/SIEM et d’IAM (gestion des identités et des accès) tirent le marché vers le haut avec des croissances à deux chiffres. A l’inverse, la progression annuelle des solutions endpoint, arrivées à maturité, plafonne à 4,2 %. 

Côté clients, l’effet de taille joue. Eric Domage note une contrition sur le segment des grandes entreprises, « avec des arbitrages budgétaires et des projets différés ou réorientés », dans le contexte actuel de crise économique et géopolitique. En ce qui concerne les PME et ETI, qui n’ont pas souvent de RSSI dédié, il observe une tendance à la « plateformisation » de la cybersécurité. Ces entreprises de taille modeste cherchent des solutions simples, packagées, avec une prime aux acteurs locaux. « C’est un marché de petits volumes, petites marges, petits problèmes… et la souveraineté n’y est pas vraiment un critère décisif. »

En revanche, la souveraineté est devenue un sujet de conversation central dans les grandes organisations sans que cela se traduise concrètement sur les bons de commande. De même, les directives et règlements européens comme NIS 2 et DORA, ou les projets de cryptographie post‑quantique viennent alimenter la demande, sans que cela ne se transforme immédiatement en budget. Du côté de l’industrie, les revenus liés à l’« OT security » souffrent d’une faible récurrence et ne délivrent pas la même promesse économique que l’« IT security ».

Les MSSP poursuivent leur envol

Responsable de l’expertise cybersécurité d’un autre cabinet d’études, Exaegis, Timothée Veiras a, lui, fait un focus sur les Managed Security Service Providers (MSSP). Le marché français de ces fournisseurs de services de cybersécurité managés représentait environ 1,2 milliard d’euros en 2025 et devrait atteindre 2,1 milliards en 2029, soit une croissance de l’ordre de 14 % par an, l’une des plus fortes du secteur. 

Là encore, la dynamique dépend de la taille des entreprises clientes. La croissance est de 9 % pour les grandes organisations, de 14 % pour les ETI, de 18 % pour les PME et de 26 % pour les TPE. « Face à la complexité des menaces et les exigences réglementaires, les grands comptes cherchent avant tout du ROI sur des volumes importants, observe Timothée Veiras. Les ETI, elles, ont des besoins de protection avancées, des capacités d’investissement significatives avec une forte montée en maturité qui diffère selon les secteurs. » 

Les PME profitent de l’essor des offres packagées adaptées à leurs contraintes. Quant aux TPE, si leur taux d’adoption reste faible, le consultant observe un effet de rattrapage malgré des ressources limitées avec le recours des solutions managées abordables et basiques comme un EDR ou un firewal managé. 

Si le SOC managé reste le cœur de l’offre, avec une demande d’externalisation forte de la part des ETI et PME, le marché évolue vers des plateformes plus complètes combinant des solutions de SIEM, SOAR, XDR, CSIRT ou VOC. « Les clients attendent clairement une capacité de réponse à incident, et les prestataires essaient de rapprocher les équipes sur un même plateau pour réduire les temps de réaction. »

L’écosystème des MSSP s’articule autour de quatre grandes familles. On trouve les « pure players » de la cybersécurité (Advens, Almond, I‑Tracing, Devensys, Intrinsec, Kudelski Security, SNS Security, Orange Cyberdefense), les ESN et infogéreurs (Accenture, Apixit, Atos, Axians, Capgemini, Devoteam, Metsys, Neosoft, Sigma, Sopra Steria, IBM), les opérateurs télécoms (Bouygues Telecom Business, Free Pro, SFR Business) et les industriels de la défense (Airbus Protect, Thales).

La consolidation s’accélère. « Au‑delà de 50 millions d’euros de chiffre d’affaires, les acteurs cherchent soit à attaquer l’Europe par une croissance organique ou externe », analyse Timothée Veiras. Le français I‑Tracing a ainsi fait de récentes acquisitions au Royaume‑Uni (Bridewell) et en Allemagne (doIT solutions GmbH). 

L’Europe capte 12 % des investissements mondiaux

Autre étude, le Baromètre Tikehau Capital de l’investissement européen en cybersécurité, publié en partenariat avec le Forum INCYBER, analyse chaque année les grandes tendances de l’investissement en capital dans la cybersécurité en Europe, aux États‑Unis et en Israël. Cette septième édition, qui porte sur l’année 2025, montre une forte hausse des levées de fonds.

L’an dernier, les startups spécialisées en cybersécurité ont levé un total de 15,6 milliards d’euros, répartis sur 866 transactions. Soit une progression de 27 % du nombre de levées et de 32 % des montants totaux. Cette dynamique s’inscrit sur la durée. En dix ans, le nombre de transactions a augmenté de 50 % et les capitaux levés ont été multipliés par 4,5. 

Les États-Unis captent 75 % des montants levés, contre 85 % en 2024, avec une concentration marquée sur des tours de table avancés (séries C, D, E). Israël connaît un fort rattrapage avec une hausse de 178 % des montants, largement portée par deux levées de fonds XXL — Cato Networks (359 millions de dollars) et Eon (300 millions de dollars) — représentant à elles seules environ un tiers du total.

Alors que l’ensemble des levées technologiques européennes recule de 5 % en montants, la cybersécurité bondit de + 83 % en valeur et de + 34 % en nombre d’opérations. Ce qui permet à l’Europe de hisser sa part dans les investissements mondiaux de 9 % en 2024 à 12 % en 2025. 

La France se classe troisième de ce marché européen derrière le Royaume Uni et l’Allemagne si l’on considère les montants levés. L’activité hexagonale se maintient à un niveau élevé avec 22 levées et un ticket moyen autour de 10,1 millions d’euros. « Les opérations de fusions-acquisitions, en hausse en France et majoritairement locales, attestent d’une stratégie de construction de champions régionaux », note le baromètre.

Pour 2026, plusieurs facteurs devraient soutenir la dynamique : la montée en puissance des exigences réglementaires (NIS 2, DORA), les enjeux de souveraineté (cloud de confiance), la pression croissante sur la protection des chaînes de valeur industrielles, et l’émergence de ruptures technologiques, comme le quantique, « qui créeront de nouveaux vecteurs de risque et d’investissement. »

La France, numéro un européen en nombre de startups

Autre éclairage précieux, la European Champions Alliance (ECA), organisation à but non lucratif, cartographie, depuis six ans, l’écosystème européen des startups et scale-ups en cybersécurité afin de leur donner de la visibilité et contribuer ainsi à la souveraineté numérique du Vieux Continent. L’édition 2026 de cet European Cybersecurity Mapping recense 1 302 sociétés innovantes contre 828 en 2025, soit une hausse d’environ 60 %, réparties en 16 catégories.

Si le marché unique européen reste encore une fiction, « 25 % de ces sociétés sont désormais présentes dans au moins deux pays, ce qui n’était pas le cas auparavant », se réjouit Dominique Tessier, cofondateur de l’ECA et responsable de la filière cybersécurité. 71 % des jeunes pousses ont moins de 50 employés, ce qui illustre un marché très dynamique, mais composé essentiellement d’acteurs de niche. De fait, il manque de champions. Le top 10 européen atteint 3,1 milliards de dollars de revenus contre 33 milliards pour le top 10 américain. Soit une échelle de 1 à 10.

La France arrive en tête avec 24,6 % des sociétés cartographiées, suivie de l’Allemagne (13,5 %), du Royaume‑Uni (10,8 %), des Pays‑Bas (10,1 %) et de la Suisse (9 %). Les grands domaines technologiques sont la détection des menaces et la réponse sur incident, l’IAM, la protection du cloud et de la data, avec des progressions fortes de la sécurité de l’IA, la cryptographie – passée de la 12^ème à la 5^ème place en un an – et la sécurité de l’OT. À l’inverse, la sécurité des messageries mail est en déclin : elle tend à être absorbée dans des outils couvrant plus largement la gestion des menaces. 

Penser international dès le début

Une table ronde réunissant investisseurs et entrepreneurs a tenté de répondre à deux questions clés : Comment faire émerger des champions mondiaux ? Est-ce la consolidation du marché de la cybersécurité est-elle en train de s’accélérer ? Cofondateur et CEO de CyGO Entrepreneur, Laurent Hausermann crée et dirige des sociétés depuis une vingtaine d’années. Il fustige la vision trop franco‑française des entrepreneurs. « Le bon état d’esprit n’est pas de se dire « je réussis en France, puis je vais à l’international », mais plutôt « je m’internationalise très vite pour avoir une chance de réussir » ».

Au regard de la relative étroitesse du marché français, Laurent Hausermann conseille d’aller à l’international dès la première année de création. Il rappelle qu’Israël n’est pas plus grand que la région Auvergne‑Rhône‑Alpes et capte pourtant 13 % des investissements en cybersécurité selon le dernier baromètre Tikehau Capital. Pour autant, il ne s’agit pas de multiplier les sociétés et voir lesquelles survivront. « Les entrepreneurs doivent inventer leur propre voie, en s’appuyant sur un écosystème de RSSI, capables d’identifier les besoins et de devenir leurs premiers clients. »

La Suisse n’a pas le choix : elle est obligée de s’exporter. Pôle d’excellence dans la confiance numérique et la cybersécurité de la région lémanique, Trust Valley regroupe, au cœur de l’Europe, des populations issues de plus de quarante pays, communiquant en quatre langues. Beaucoup de projets sont des spin‑off de grandes écoles. « Notre enjeu est de capitaliser sur cette diversité et cette excellence scientifique pour créer des champions qui n’ont pas d’autre option que de penser global », avance Lennig Pedron, son CEO. 

Managing partner au fonds d’investissement Xange, Nicolas Rose a vu, lui, le paysage du capital‑risque fortement évoluer. « Il n’existait pratiquement pas il y a vingt ans, depuis le marché a rattrapé son retard. Nous entrons désormais très tôt, pour accompagner les entreprises sur 5 à 15 ans, en finançant à la fois la R&D et le « go‑to‑market ». » « Le financement des startups s’est clairement amélioré » et il se dit confiant pour l’avenir même si l’Europe ne dispose pas des mêmes atouts que les États‑Unis avec son marché unifié, le poids des fonds de pension et le Small Business Act.

Le capital-risqueur voit d’un bon œil le mouvement de consolidation en cours. « Des startups rachètent d’autres startups, pour acquérir des technologies et renforcer leur présence géographique. » La consolidation répond aussi à la tendance à la plateformisation. « Les entreprises souhaitent se doter de plateformes alors que beaucoup startups françaises adressent des besoins très spécialisés ».

L’excellence technologique avant l’enjeu de souveraineté

Si la souveraineté est un sujet de débat actuellement, l’expert rappelle que les acheteurs recherchent avant tout l’excellence technologique et la pertinence du produit. Pour éclairer le marché, Nicolas Rose estime qui serait souhaitable de disposer de benchmarks européens. La plupart des cabinets d’études sont américains, ce qui crée un biais dans les analyses de marché.

Expert SaaS de la gestion du risque cyber, Board of Cyber répond à toutes les tendances précédemment évoquées. Directement disponible en cinq langues, pour élargir son audience, sa plateforme s’inscrit dans la logique de plateforme, couplant auto-évaluation en continu et TPRM (Third-Party Risk Management) automatisé « pour offrir une vision à 360° du risque cyber ». 

La startup française a, par ailleurs, participé à la consolidation du marché en rachetant, en juillet 2023, sa compatriote TrustHQ qui édite une solution de pilotage de la gouvernance de la cybersécurité. En ce qui concerne, enfin, l’enjeu de souveraineté, Board of Cyber n’en fait pas un argument principal. « Nous vendons avant tout une excellence technologique, c’est là que réside notre valeur », estime Alexandre Hamilton‑Clark, chargé des relations institutionnelles et internationales.

Coordinateur de la stratégie nationale pour la cybersécurité au Secrétariat général pour l’investissement (SGPI), Benjamin Morin abonde dans son sens, la souveraineté ne peut constituer une proposition de valeur en soi. « Nos offres doivent être innovantes et compétitives. » Pour résorber nos dépendances numériques les plus critiques, il convient de proposer des alternatives crédibles et performantes aux grands acteurs extra-européens, notamment dans le domaine du renseignement sur la menace (Cyber Threat Intelligence, CTI). 

« Nous avons les talents et les ressources. En revanche, la France a une culture d’aversion au risque et la question est de savoir si nous en prenons assez dans le domaine de la cybersécurité. » Faisant la question et la réponse, Benjamin Morin exhorte les entrepreneurs et les investisseurs à prendre collectivement davantage de risques. Les grands donneurs d’ordre ont également un rôle clé à jouer. « À l’échelle européenne, il s’agit, par le financement public, de reconnaitre la cybersécurité comme un domaine stratégique à part entière », conclut Benjamin Morin.