Il y a quelques mois, un DSI nous racontait deux scènes récurrentes dans ses réunions internes. Ingénieur généraliste de formation, spécialisation IT, le profil qui comprend la mécanique sans démonter chaque rouage. Pas le poste qui commente une ligne de code, mais celui qui suit la conversation technique sans s’y perdre. Et c’est précisément depuis cette position qu’il voit, sans pouvoir toujours l’expliquer en quelques mots, ce qui distingue ses collaborateurs cyber les plus efficaces des autres.
Ces deux scènes étaient simples. La première : un collaborateur très solide techniquement, incapable de faire passer un arbitrage de sécurité auprès du CODIR. 3 minutes de démonstration impeccable, et personne dans la pièce ne sait s’il faut signer ou pas. La seconde : ce même collaborateur, interrogé en réunion d’équipe sur un raté récent. La réponse devient une démonstration argumentée pour expliquer pourquoi ce n’était finalement pas vraiment de sa faute.
Nous, en cabinet de recrutement cybersécurité, on observe exactement ces deux scènes. À une différence près : on les observe en entretien, avant l’embauche. Et c’est précisément ce que personne d’autre n’est en position de voir.
Le marché cyber a un déficit de talents. Il a aussi un déficit de lecture des talents.
Les chiffres sont connus, et un cabinet sérieux ne s’en sert pas pour faire peur. Le cabinet Wavestone évalue à environ 15 000 le nombre de postes vacants en cybersécurité en France, avec un taux de vacance autour de 25 %, contre 2,8 % pour le reste de l’IT (Pivaio, décembre 2025). La stratégie France 2030 portée par la DGE vise un doublement des effectifs cyber, de 37 000 à 75 000 professionnels. Le délai moyen de recrutement d’un profil cyber confirmé par annonce généraliste se situe entre 6 et 8 semaines (voire plus dans ce que nous observons), et quand le processus aboutit. La durée moyenne en poste d’un RSSI tourne autour de 3 ans selon les retours terrains – observation à prendre donc comme un ordre de grandeur empirique, non comme une étude statistique large.
Tout cela est exact, et tout cela passe à côté du vrai sujet. La pénurie de talents en cybersécurité n’est pas seulement un déficit de profils en nombre. C’est aussi un déficit de lecture des profils. Les compétences techniques ne suffisent ni à recruter, ni à confirmer un recrutement. Le baromètre CESIN 2025 (mené avec OpinionWay sur 401 RSSI et experts) place la gouvernance et l’adaptation aux métiers parmi les enjeux les plus cités. Une table ronde animée par le CESIN et le CLUSIF en 2022 actait déjà que les compétences comportementales des RSSI étaient un sujet collectif insuffisamment traité par le secteur. 3 ans plus tard, c’est encore plus vrai.
Côté entreprise, ce qui rate un recrutement cyber n’est presque jamais le niveau technique. C’est la projection sur le poste, la lisibilité par le COMEX, la posture en gestion de crise, le rapport au cadre. Côté candidat, ce qui rate un entretien n’est presque jamais une faute de raisonnement. C’est un moment précis, parfois invisible pour la personne qui le vit, qui change la décision du recruteur.
Ces moments, un cabinet de recrutement cybersécurité les observe en série. Plusieurs dizaines de fois par an. Sur tous les niveaux, du junior au RSSI confirmé. C’est ce qui le rend capable de les nommer.
Note : les chiffres ci-dessus sont issus de sources publiques (Wavestone, DGE France 2030, baromètre CESIN 2024-2025, Icebergs, Silkhom, Pivaio). Les observations qui suivent reposent sur la pratique du cabinet et sur des situations composites, anonymisées. Aucun candidat ou client identifiable n’est décrit.
Ce qu’un cabinet voit et que ne voient ni le candidat ni l’entreprise
L’entreprise, dans son entretien, écoute le candidat. Le candidat, dans son entretien, s’écoute partiellement à travers ce qu’il pense que l’entreprise veut entendre. Le cabinet, lui, observe les deux en miroir. Il a vu le cahier des charges avant l’entretien, il connaît la culture interne, il a déjà fait passer 8 ou 12 autres candidats sur des postes équivalents. Il sait ce que le DRH ne dira pas en restitution parce que c’est de l’ordre du ressenti, et il sait nommer ce qui s’est joué dans la pièce.
Cette position d’observateur n’est ni magique ni infaillible. C’est juste un autre angle. Un angle qui ne s’achète pas sur les plateformes professionnelles, qui ne se forme pas en école, qui ne se compile pas dans un référentiel de compétences. Il se construit en passant des heures dans la pièce d’à côté.
Voici 6 moments. Pas une typologie exhaustive. Six bascules récurrentes, observées sur des centaines d’entretiens, qui font qu’une embauche se conclut ou ne se conclut pas. Pour chacune : ce qu’on voit, le signal envoyé au recruteur, et ce qu’un candidat préparé fait à la place.
Moment 1 : la question piège du RSSI qui n’en est pas une
Le RSSI, en milieu d’entretien, glisse : « racontez-moi un incident où vous vous êtes trompé ». Question simple en apparence. Le candidat répond en démonstration technique, raconte un cas où la responsabilité n’était pas vraiment claire, explique ce qu’il aurait fallu faire, et conclut en expliquant pourquoi finalement ce n’était pas vraiment de sa faute.
Ce qu’on voit côté cabinet : un candidat qui répond à la question qu’il aurait préféré entendre. Le RSSI ne cherchait pas l’exploit raté. Il cherchait la mécanique mentale, la capacité à nommer une erreur sans la déléguer, le vocabulaire de la gestion de crise, la posture humble sans excès, la lecture lucide de sa propre responsabilité dans une chaîne d’événements.
Le signal envoyé : “je ne sais pas reconnaître une erreur quand on me la demande”. Pour un poste cyber à responsabilité, c’est rédhibitoire. La sécurité opérationnelle repose sur la capacité collective à remonter rapidement ce qui ne va pas. Un collaborateur qui défend son périmètre avant de défendre son organisation devient un risque silencieux.
Ce qu’un candidat préparé fait à la place : il prend 3 secondes, identifie un raté authentique, le nomme proprement (ce qu’il a mal lu, ce qu’il a sous-estimé, ce qu’il aurait dû demander plus tôt), explique sa lecture rétrospective, et termine sur ce qu’il a changé dans sa pratique. Pas de fausse modestie, pas de démonstration de force, juste une mécanique mentale qui rassure.
Le RSSI ne pose pas cette question pour piéger. Il la pose parce qu’elle distingue, en moins de 2 minutes, 2 candidats qui ont la même fiche technique sur le papier.
Moment 2 : l’instant où le candidat technique perd la direction
Le candidat répond à une question du DG sur sa vision de la sécurité dans l’entreprise. Il enchaîne SIEM, SOAR, MITRE ATT&CK, intégration cloud, conformité NIS 2, posture Zero Trust. 3 minutes denses, irréprochables techniquement. Le DG hoche la tête. Le DAF, présent par courtoisie, regarde discrètement son téléphone.
Ce qu’on voit côté cabinet : la perte. Elle ne s’entend pas dans la salle. Elle s’entend en retour client, 2 jours plus tard, sous la forme polie suivante : « très solide techniquement, mais on n’a pas vraiment vu comment il s’inscrirait au CODIR ». Traduction : le candidat n’a pas adapté son registre. Il a parlé à un RSSI en oubliant qu’il y avait 2 non-techniques dans la pièce qui détenaient une part du vote.
Le signal envoyé : “je ne sais pas traduire”. Pour un poste cyber qui implique de l’arbitrage budgétaire, de la défense de roadmap ou simplement la capacité à expliquer un risque à un comité de direction, c’est éliminatoire. Le marché cyber recrute beaucoup de très bons techniciens. Il sature plus difficilement les profils capables de tenir un COMEX.
Ce qu’un candidat préparé fait à la place : il commence par poser une question sur le contexte (combien de collaborateurs dans l’équipe, quel niveau de maturité, quels enjeux métiers prioritaires), puis il calibre. 3 phrases techniques pour le RSSI dans la pièce, 2 phrases d’impact business pour la direction générale, 1 phrase budgétaire pour le DAF. Pas de simplification caricaturale, juste un dosage. C’est exactement ce que notre DSI mentionné en ouverture observait dans ses réunions : la différence entre un collaborateur très bon en sécurité et un collaborateur opérationnellement utile.
Moment 3 : « parlez-moi de votre dernier incident »
Question fréquente, posée par le RSSI ou par le DSI selon le poste. Le candidat raconte l’incident technique : vecteur, périmètre touché, remédiation, durée de retour à la normale, enseignements techniques tirés. Réponse de bonne facture.
Ce qu’on voit côté cabinet : le récit décrit l’incident, pas le rôle joué dans l’incident. Le candidat n’explique pas qui il a appelé en premier, comment il a formulé l’alerte au COMEX, ce qu’il a tenu hors du périmètre légal pendant les premières 48 heures, ce qu’il a refusé de partager même sous pression de la direction, comment il a piloté la cellule de crise sans paniquer l’organisation.
Le signal envoyé : “j’ai géré une crise, mais je ne suis pas sûr d’avoir piloté une crise”. Pour un poste à responsabilité, la différence est centrale. Une crise cyber, ce n’est pas un incident technique avec un rapport post-mortem. C’est une séquence de décisions sous pression, dont la moitié sont juridiques, communicationnelles ou politiques. Le RSSI ou le DSI qui pose la question le sait. Il cherche le récit du pilote, pas celui du technicien.
Ce qu’un candidat préparé fait à la place : il structure sa réponse en 3 temps clairs. Ce qu’il a vu (description technique compacte), ce qu’il a décidé (la séquence d’arbitrages, les appels passés, les périmètres tenus), ce qu’il en a tiré (apprentissage organisationnel autant qu’apprentissage technique). C’est un récit en 3 couches, et il dit en 5 minutes qui le candidat est vraiment.
Pour aller plus loin sur ce que la gestion de crise révèle de la maturité cyber d’un profil, nous l’avions documenté dans Les équilibristes invisibles de la cybersécurité.
Moment 4 : la réponse à « pourquoi quittez-vous votre poste actuel »
Question classique, posée tôt dans l’entretien. Le candidat répond honnêtement : équipe désorganisée, RSSI absent, direction qui ne prend pas la cybersécurité au sérieux, budget insuffisant. La critique est argumentée, parfois précise, parfois acide.
Ce qu’on voit côté cabinet : pas une faute de raisonnement, une faute de positionnement. Dans tout autre métier, la critique frontale de l’employeur actuel passe pour de la franchise. En cybersécurité, où la discrétion fait partie de la définition même du métier, elle déclenche un signal différent : ce candidat parlera de nous comme il parle d’eux. Et ce que nous lui confierons (architectures, vulnérabilités, incidents non publiés) circulera plus librement que nous ne le souhaitons.
Le signal envoyé : “je ne distingue pas ce qui se dit de ce qui se garde”. C’est, pour un poste cyber, un signal de risque. Pas un défaut de personnalité, juste une lecture du métier.
Ce qu’un candidat préparé fait à la place : il transforme la critique en projection. Pas « ils n’écoutent pas mes recommandations », mais « j’ai vu jusqu’où je pouvais structurer la fonction sécurité dans cette organisation, et je cherche un cadre qui me permette d’aller un cran plus loin ». La frustration reste lisible si on sait l’entendre. Elle ne se retourne plus contre le candidat.
C’est aussi l’un des sujets que l’écosystème cyber commence à mieux outiller, notamment via des dispositifs de préparation aux compétences comportementales, dont l’Académie Cyber construit une approche dédiée.
Moment 5 : les questions de fin d’entretien
Le candidat arrive à la dernière séquence : « avez-vous des questions ? ». Il pose, soit aucune question, soit les 3 questions standardisées qu’il a vues dans tous les manuels de préparation : quelle est la culture de l’équipe, quels sont les prochains défis, quand peut-il espérer un retour.
Ce qu’on voit côté cabinet : la curiosité est un proxy de motivation. Pas un indicateur unique, mais un proxy fiable. Un candidat qui pose 3 questions précises sur la gouvernance, le rattachement hiérarchique du RSSI, la composition du comité sécurité, l’historique des incidents communicables, signale qu’il s’est projeté dans le poste. Un candidat qui pose les questions de manuel signale qu’il a préparé l’entretien, sans s’être préparé au poste.
Le signal envoyé : “j’ai voulu cocher la case questions”. Pour un recrutement cyber, c’est rarement éliminatoire seul, mais ça pèse sur l’arbitrage final entre 2 candidats équivalents. Et en marché tendu, l’arbitrage final est toujours étroit.
Ce qu’un candidat préparé fait à la place : il prépare 2 à 3 questions sur la base de ce qu’il a entendu pendant l’entretien (par exemple, « vous avez mentionné en début d’entretien que la fonction sécurité venait d’être rattachée à la DG, qu’est-ce qui a motivé ce choix ? »). Cela montre qu’il a écouté, qu’il a relié, qu’il a déjà commencé à penser comme s’il occupait le poste. Cela vaut tous les CV.
Moment 6 : le rapport au cadre
Question rarement posée frontalement, presque toujours posée indirectement. Elle peut prendre la forme : « avez-vous déjà utilisé tel outil offensif à titre personnel ? », « comment avez-vous appris cette technique d’intrusion ? », « racontez-moi un cas où vous avez identifié une faille hors mandat ». Le candidat répond, parfois honnêtement, parfois avec une fierté technique qui dépasse le périmètre de la question.
Ce qu’on voit côté cabinet : la réponse situe immédiatement le candidat dans son rapport au périmètre légal. Pour un poste à responsabilité, particulièrement un RSSI, un DPO cyber, un architecte sécurité d’un SI critique, cette ligne n’est pas négociable. Un cabinet de recrutement cybersécurité sérieux pose cette question parce que son client en porte la responsabilité finale, et parce qu’un mauvais choix sur ce point précis peut exposer toute l’organisation.
Le signal envoyé selon la réponse : soit “je tiens le périmètre, et je sais m’arrêter là où le mandat s’arrête”, soit “je trouve ça techniquement intéressant et je n’ai pas internalisé la ligne”. Dans le second cas, ce n’est pas une question de moralité, c’est une question de fonction. Certains postes en cybersécurité offensive demandent précisément cette curiosité-là. Beaucoup d’autres ne peuvent pas la tolérer.
Ce qu’un candidat préparé fait à la place : il explique sa pratique sans embellir, il distingue clairement ce qui relève de l’apprentissage personnel encadré (laboratoire isolé, exercices CTF) de ce qui relève d’une intervention sous mandat, et il assume sa lecture du cadre légal. C’est exactement le type de réponse qu’attend un client structuré, et c’est exactement ce que l’ingénierie sociale nous a appris à observer aussi côté employeur : un candidat qui flotte sur le cadre est un candidat manipulable.
Ce que ces 6 moments racontent
Ces 6 bascules ont un point commun. Aucune ne porte sur le niveau technique. Toutes portent sur la posture, la lecture du métier, le rapport au cadre, la capacité à se traduire pour son interlocuteur. C’est précisément ce que ni les CV ni les certifications ne disent, et c’est précisément ce qui décide d’une embauche cyber à compétences techniques équivalentes.
Ce constat n’est pas une critique des candidats. Personne n’arrive à un entretien en ayant été préparé à ces moments-là. Les écoles forment au technique, à la veille, aux référentiels. Elles ne forment pas à la mise en situation, à la simulation d’arbitrage CODIR, à la restitution d’incident, au rapport au cadre. Nous avions noté ailleurs que bien classé ne veut pas dire bien préparé : ces 6 moments en sont la traduction concrète en salle d’entretien.
Ce constat n’est pas non plus une critique des entreprises. Recruter en cyber est devenu structurellement difficile. Un DRH ne peut pas, seul, anticiper qu’un candidat brillant techniquement perdra son COMEX. Un DAF ne peut pas, seul, distinguer le récit du technicien du récit du pilote de crise. C’est précisément à ce point que la valeur d’un cabinet de recrutement cybersécurité spécialisé se mesure : avoir vu ces 6 moments plusieurs centaines de fois, savoir les nommer, savoir les anticiper, savoir préparer le client comme le candidat à ce qu’il s’y joue.
Ce que nous en faisons chez Rehackt
Ce que Rehackt observe dans la pièce d’à côté, nous le restituons des 2 côtés. Côté entreprise, nous traduisons en cadrage opérationnel ce que le besoin a sous-formulé. Nous calibrons les attentes en compétences comportementales autant qu’en compétences techniques. Nous présentons des profils avec une lecture argumentée de ce qu’ils tiendront, et de ce qu’ils auront besoin d’apprendre une fois en poste. Côté candidat, nous préparons aux 6 moments décrits ci-dessus, parmi d’autres. Pas comme un accompagnant qui réciterait un manuel, mais comme un cabinet qui sait ce que ses clients regardent vraiment.
L’écosystème cyber commence à structurer cette préparation en propre, notamment via l’Académie Cyber, qui adresse spécifiquement les compétences comportementales et la mise en situation. Le cabinet et l’académie ne se confondent pas : le premier place, la seconde prépare. Ensemble, ils dessinent un appariement plus précis entre offre et demande sur un marché qui en a besoin.
Pour conclure
Le marché cyber a un déficit chiffré, lisible, débattu : 15 000 postes vacants en France, un taux de vacance autour de 25 %, des délais qui s’allongent. Il a aussi un déficit moins visible, et probablement plus déterminant : un déficit de lecture mutuelle entre les candidats et les recruteurs. Les 6 moments décrits dans cet article ne sont pas une grille de jugement. Ce sont les endroits où, en pratique, la décision se prend. Les ignorer fait rater des embauches utiles des deux côtés.
Pour les entreprises qui veulent confier un recrutement cyber à un partenaire qui voit ces moments avant elles : parlons-en directement.
Un recrutement cyber à confier ? On en parle directement avec vous.
