Rehackt Recrutement

Accueil/Blog/

Le métier cyber change tous les six mois, paraît-il. La plupart de vos plans de formation, tous les six ans.

Eva
Partager
in X

À lire aussi

Suivez Rehackt LinkedIn Instagram

Tapez « durée de vie d’une compétence technique » dans un moteur de recherche. Vous obtiendrez un chiffre, toujours le même : deux ans et demi. Il orne les argumentaires des plateformes de formation, les tribunes de cabinets de conseil, les notes de cadrage des directions des ressources humaines. On l’attribue tantôt à IBM, tantôt à Deloitte, parfois à personne. Nous avons cherché la publication d’origine. Il n’y en a pas. Ni échantillon, ni méthode, ni définition de ce que serait la « demi-vie » d’une compétence.

Voilà un début instructif pour un article sur la formation : le secteur qui vend l’urgence de se former s’appuie sur une statistique que nul n’a jamais mesurée.

Le problème, lui, est bien réel. Il est simplement moins spectaculaire et beaucoup plus embêtant que le slogan. Les métiers de la cybersécurité ne se périment pas tous les six mois. Ils se déforment en continu, sous la pression conjointe des menaces, des outils et de la réglementation, pendant que les dispositifs censés y préparer, eux, bougent au rythme d’un cycle universitaire. C’est cet écart de tempo qui coûte cher, pas une date de péremption imaginaire.

Le 10 septembre dernier, à Station F, la douzième édition des Universités d’été de la cybersécurité et du cloud de confiance affichait au programme une table ronde réunissant le commandement de la cyberdéfense du ministère de l’Intérieur, la Caisse des Dépôts, le CESIN, le Campus Cyber et le Cigref, sur les transformations que l’intelligence artificielle introduit dans les stratégies de sécurité et dans les métiers. Autrement dit : au moment même où l’on peine à recruter, on débat de la redéfinition des postes à pourvoir. Séverine Meunier, d’Airbus Defence & Space, y résumait le déplacement d’une phrase : « on est en train de passer d’un monde où on devait gérer principalement les identités humaines à un monde où on va gérer des milliers, voire des millions d’identités non humaines ».

Bonne chance pour trouver cette compétence dans un référentiel de formation initiale rédigé il y a 3 ans.

Ce qui bouge vraiment, et à quelle vitesse

Puisque le chiffre vedette ne vaut rien, regardons ce qui se mesure.

Les référentiels de compétences eux-mêmes. Aux États-Unis, le NIST a publié trois versions de son cadre de compétences en cybersécurité en quatorze mois : mars 2025, décembre 2025, avril 2026. En juin 2025, il soumettait à consultation publique la création d’un domaine de compétence entier consacré à la sécurité de l’intelligence artificielle. Ce n’est pas une déclaration d’intention, ce sont des versions datées. Une réserve : ce cadre est américain, et il n’a pas d’équivalent français mis à jour au même rythme.

La réglementation, qui produit désormais du référentiel métier. En juin 2025, l’ENISA a publié une correspondance formelle entre les obligations juridiques de la directive NIS 2 et les profils de rôles du cadre européen des compétences en cybersécurité. La norme ne se contente plus d’imposer des mesures : elle décrit, en creux, les postes qu’il faut tenir pour s’y conformer. Pour une direction générale, cela signifie qu’un texte européen peut modifier la fiche de poste d’un collaborateur sans que personne n’ait rien demandé.

La hiérarchie des compétences demandées. Selon l’étude mondiale d’ISC2 publiée en décembre 2025, l’intelligence artificielle est devenue la compétence la plus recherchée en cybersécurité, citée par 41 % des professionnels, devant la sécurité de l’informatique en nuage (36 %) et l’évaluation des risques (29 %). Et 73 % anticipent des compétences plus spécialisées, non une disparition des rôles. À manier avec des pincettes : enquête déclarative, répondants volontaires, France à 2 % de l’échantillon, et ISC2 vit de la certification professionnelle.

Un mot de nuance, parce que l’honnêteté vaut mieux que l’emphase. Le Forum économique mondial estimait début 2025 que 39 % des compétences cœur des salariés changeraient d’ici 2030. Chiffre impressionnant, sauf qu’il était de 44 % deux ans plus tôt. L’instabilité ne s’accélère donc pas : elle se stabilise, à un niveau élevé. Le sujet n’est pas la vitesse, c’est l’écart persistant entre deux horloges.

La France, championne d’Europe à contretemps

Ici, les données sont françaises, publiques, et assez inconfortables.

Le 14 septembre 2026, soit hier, Eurostat publiait ses chiffres de participation des adultes à la formation. Dans l’Union européenne, la proportion de 25-64 ans ayant suivi une formation au cours des 4 dernières semaines est passée de 10,1 % en 2015 à 13,7 % en 2025. La France est le seul pays de l’Union dont ce taux a reculé sur la décennie, de 3,1 points. Pendant que la Suède atteint 38,2 % et le Danemark 31 %, nous descendons. Précision méthodologique due au lecteur : la fenêtre de 4 semaines est une photographie étroite, et une partie de l’écart peut tenir à des ruptures de série dans l’enquête Emploi. Le sens de la pente, lui, ne se discute pas.

Dans la cybersécurité française, l’Observatoire des métiers de l’ANSSI, publié en juin 2025, donne la version sectorielle. Près de trois professionnels sur dix déclarent n’avoir suivi aucune formation au cours de l’année écoulée. Un sur trois seulement a dépassé 5 jours. Plus de trois sur quatre s’en remettent d’abord à la veille, aux réseaux professionnels et à l’autoformation ; la moitié recourt à une formation externe. Et pour la moitié des répondants, la cybersécurité n’est même pas leur domaine d’expertise d’origine, ce qui rappelle que la reconversion est ici la norme et non l’exception, comme nous l’écrivions dans reconversion en cybersécurité, pourquoi autant de postes vacants ne garantissent pas le vôtre.

Le détail le plus cruel de cette étude tient en une ligne : ceux qui ont le moins de formation initiale sont aussi ceux qui accèdent le moins à la formation continue. L’écart ne se comble pas, il se creuse. Réserve d’usage : enquête déclarative auprès de volontaires du secteur, donc probablement flatteuse, et son volet offres d’emploi s’arrête à juin 2024.

Le cadre général n’arrange rien. Selon l’enquête conduite par le Céreq, la Dares et France compétences, 41 % des salariés français ont suivi une formation financée par leur employeur en 2023, pour une moyenne de trente heures. 30 heures. Moins d’une semaine de travail, pour une année entière. Quant au compte personnel de formation, il a financé 1,2 million de dossiers en 2025, en recul de 11 %, dont 19 % consacrés au permis de conduire. Nous ne portons aucun jugement sur le permis B. Nous constatons simplement qu’il pèse plus lourd, dans le dispositif censé porter la montée en compétences des Français, que tout ce qui concerne le numérique réuni.

Dernier contraste, parfaitement documenté : l’OPIIEC recensait en mai 2025 plus de 900 formations en cybersécurité en France, quand l’ANSSI en labellise 57. Le marché n’est pas vide. Il est illisible.

Préparer un candidat, ce n’est pas lui ajouter un outil de plus

Passons au point qui intéresse les directions générales, parce qu’il touche directement au coût du recrutement.

L’Apec a interrogé 1 150 entreprises au début de l’année 2026. Résultat : 96 % d’entre elles jugent les compétences comportementales au moins aussi importantes que les compétences techniques. Et 41 % seulement les évaluent de façon formalisée, par des tests ou des mises en situation. La mise en situation proprement dite est utilisée par 29 % des entreprises. Unanimité sur le diagnostic, minorité sur la méthode.

L’enquête Besoins en main-d’œuvre de France Travail, publiée en avril 2026 sur près de 416 000 réponses d’établissements, enfonce le clou. Parmi les employeurs déclarant des difficultés de recrutement, 84 % invoquent l’inadéquation des profils des candidats, devant le nombre insuffisant de candidatures (82 %). Dans le numérique et les télécommunications, 49,5 % des projets de recrutement sont jugés difficiles. L’Apec observe le même basculement chez les cadres, où le décalage entre candidatures reçues et profils recherchés est devenu la première difficulté citée, à 75 %.

Traduction : la pénurie n’est plus le sujet principal. L’ajustement l’est.

Et cet ajustement porte rarement sur la technique. En Europe, selon ISACA, 84 % des organisations valorisent les certifications professionnelles dans leurs recrutements cyber, mais 73 % valorisent la formation pratique, contre 55 % pour le diplôme universitaire. Les recruteurs demandent explicitement du réel. Ce que nous constatons sur nos mandats, en tant que cabinet de recrutement cybersécurité, rejoint ce classement : un candidat est rarement écarté parce qu’il ignore un protocole. Il est écarté parce qu’il ne sait pas expliquer un risque à un directeur financier, arbitrer entre deux urgences devant un comité, ou tenir un désaccord technique sans transformer la réunion en tranchée. Ce sont des compétences. Elles s’apprennent. Aucun référentiel technique ne les enseigne, et aucune école ne peut les enseigner hors sol, comme le montrait notre sélection des écoles qui préparent le mieux aux métiers de la cybersécurité, où le critère décisif n’était pas la notoriété mais le volume de pratique opérationnelle.

Le temps que vous passez déjà, et que vous ne comptez pas

Vient alors l’objection rituelle, en réunion budgétaire : « on n’a pas le temps de former ».

C’est faux, et c’est même le contraire. Ce temps, vous le passez déjà. Simplement, vous le passez plus tard, plus cher, et sans le compter.

Comptons-le, donc, avec les seuls éléments vérifiables. Un recrutement de cadre dure en moyenne 12 semaines, selon l’Apec, une durée stable depuis 2 ans. En Europe, 45 % des organisations mettent 3 à 6 mois à pourvoir un poste de cybersécurité de niveau débutant, d’après ISACA. Côté intégration, l’étude OpinionWay réalisée pour Scalliance auprès de 1 001 salariés indique que 48 % seulement ont bénéficié d’un processus d’intégration structuré, que plus d’un cadre sur quatre a eu besoin de plus de 3 mois pour se sentir pleinement opérationnel, et que 32 % des salariés ont déjà quitté une entreprise pour cause de difficultés d’intégration. Réserve : le commanditaire vend des prestations d’intégration, et la méthodologie, publiée, reste déclarative.

À ce coût visible s’ajoute celui que personne ne facture. Chez Rehackt, cabinet de recrutement cybersécurité, préparer un candidat avant un entretien client (retravailler son récit de parcours, l’entraîner à répondre à une objection budgétaire, lui expliquer la culture réelle de l’entreprise en face) représente 2 à 4 heures par candidat, pour 4 à 6 candidats présentés selon le mandat. Ce n’est pas une étude, c’est notre observation de terrain, et nous la présentons comme telle. Rapporté à un mandat, cela produit un volume d’heures qui ne figure sur aucune ligne comptable, ni chez nous ni chez notre client. C’est d’ailleurs pour cela que nous nous sommes dotés de notre Académie Cyber, bon complément à la préparation mais aussi à l’intégration au sein de chez nos clients.

Le plus agaçant est que cette préparation fonctionne. Un candidat compétent que l’on aide à traduire son travail dans la langue de l’entreprise passe l’entretien. Le même, laissé seul avec son expertise, ne le passe pas. La différence ne tient pas à la valeur professionnelle des deux personnes. Elle tient à une préparation que le système de formation initiale ne fournit à personne, et que tout le monde finit par payer en aval, en délai, en intérim, en poste vacant et parfois en départ prématuré.

Ce constat, répété mandat après mandat, est exactement ce qui nous a décidés à ne plus le subir.

La mise en situation gagne, à trois conditions

Reste à savoir ce qui marche. La littérature scientifique est plus utile ici que les promesses commerciales, à condition de la lire jusqu’au bout.

La méta-analyse de référence sur l’apprentissage actif, publiée en 2014 dans les comptes rendus de l’Académie des sciences américaine, porte sur 225 études. Son résultat le plus parlant n’est pas la progression des notes, pourtant significative, mais le taux d’échec : 33,8 % en enseignement magistral traditionnel, contre 21,8 % en apprentissage actif. Limites assumées : contexte universitaire scientifique, données nord-américaines, travaux de 2014. Transposer à la formation d’un professionnel de la cybersécurité relève de l’extrapolation raisonnable, pas de la démonstration.

La seconde étude est plus proche de notre sujet, et nettement plus utile. Publiée en 2011, elle analyse 65 échantillons et 6 476 apprenants adultes en formation professionnelle par simulation. Les gains existent : 14 % de connaissance procédurale supplémentaire, 9 % de rétention, 20 % de sentiment d’efficacité personnelle. Mais ce sont les trois conditions posées par l’étude qui mériteraient d’être affichées au mur de tout service formation.

Le contenu doit être présenté activement.
Une simulation où l’apprenant regarde défiler de l’information obtient un effet négatif. Pas nul, négatif.

L’accès doit être libre et répété.
L’effet double lorsque l’apprenant peut revenir autant de fois qu’il le souhaite, au lieu d’une session unique cochée dans un plan annuel.

La simulation doit compléter, jamais remplacer.
Utilisée en substitution des autres méthodes, elle obtient là encore un effet négatif.

Et le caractère ludique, en lui-même, n’a aucun effet mesuré. Autrement dit : un parcours interactif mal conçu est moins efficace que rien du tout, et l’habillage ne sauve rien. C’est une excellente nouvelle pour qui prend le sujet au sérieux, et une très mauvaise pour le marché du gadget pédagogique. Réserve d’honnêteté : l’autrice de cette méta-analyse relève elle-même un biais de publication, et ces travaux sont antérieurs aux plateformes actuelles.

C’est précisément sur ces trois conditions qu’est construite notre Académie Cyber : des parcours interactifs et actifs, accessibles autant de fois que nécessaire, pensés en complément de l’expertise technique et non à sa place. Ils travaillent ce que les référentiels laissent de côté : expliquer un risque à quelqu’un qui n’est pas technicien, arbitrer sous contrainte, défendre un budget, tenir une réunion de crise. Ce que nous aurions aimé avoir avant notre première réunion de comité de direction, et que personne ne nous a proposé.

Le prisme du recrutement, selon votre maturité

Vu d’un cabinet de recrutement cybersécurité, la conclusion opérationnelle dépend d’où vous en êtes.

Vous recrutez et les profils ne correspondent jamais.
Vérifiez l’énoncé avant d’accuser le marché. Dans la majorité des cas que nous voyons, l’écart n’est pas technique : il porte sur le niveau d’autonomie attendu, sur la capacité à dialoguer avec les métiers, ou sur une maturité d’organisation que la fiche de poste ne dit pas.

Vous avez recruté et l’intégration patine.
Le sujet n’est plus la recherche, c’est la séquence des premiers mois : qui accompagne, sur quoi, combien de temps, avec quel objectif écrit. C’est là que se joue la rétention, bien plus qu’au moment de la signature.

Vos équipes sont en place et le référentiel bouge sous vos pieds.
Sécurité des systèmes d’intelligence artificielle, identités non humaines, obligations issues de NIS 2 : la question n’est pas de recruter ces compétences sur un marché qui ne les a pas encore produites en nombre, mais de décider lesquelles vous développez en interne, lesquelles vous allez chercher, et lesquelles vous externalisez.

Rehackt recrute en cybersécurité, en informatique et en sûreté, sur toute la France, avec une affinité entre Paris et la Bretagne. Et nous préparons les candidats que nous présentons, parce qu’un profil compétent mais mal préparé fait perdre du temps à tout le monde, à commencer par lui.

L’avis de Rehackt

La formation initiale n’a jamais eu vocation à suffire, et elle n’a jamais suffi.
Ce qui a changé, c’est qu’on s’en aperçoit. Le diplôme donne un socle et une capacité à apprendre. Il n’a jamais donné la capacité à tenir un poste dans une organisation réelle, avec ses arbitrages, ses contraintes budgétaires et ses réunions à rallonge.

« On n’a pas le temps de former » est une phrase comptablement fausse.
Vous passez déjà ce temps, en délai de recrutement, en intégration ratée, en poste vacant et en préparation informelle. La seule question ouverte est de savoir si vous le passez en amont, où il produit une compétence, ou en aval, où il produit une facture.

Un parcours interactif mal conçu est pire que pas de parcours du tout.
Les données le disent, avec un effet négatif mesuré. Le sérieux pédagogique n’est pas un supplément d’âme, c’est la condition de l’efficacité. Nous préférons le dire, même si cela complique notre propre travail.

Et non, le métier ne change pas tous les 6 mois.
Il se déforme en continu, ce qui est plus exigeant, car on ne peut pas y répondre par une grande réforme tous les 5 ans. Seulement par une habitude.

Ce qui est établi, ce qui relève de notre lecture

Faits vérifiés et sourcés.
Les données Eurostat de septembre 2026. L’Observatoire des métiers de l’ANSSI de juin 2025. L’enquête Céreq-Dares-France compétences exploitée par l’Insee. Les chiffres du compte personnel de formation publiés par la Caisse des Dépôts. Les études Apec 2026 et l’enquête Besoins en main-d’œuvre. Les versions successives du cadre de compétences du NIST et la correspondance NIS 2 publiée par l’ENISA. Les deux méta-analyses pédagogiques.

Données à lire avec prudence.
Les enquêtes ISC2 et ISACA, déclaratives, auto-sélectionnées, produites par des organismes de certification, la première étant largement nord-américaine. L’étude sur l’intégration, commanditée par un cabinet qui vend de l’intégration. La table ronde des Universités d’été était annoncée au programme ; nous n’avons pas trouvé de compte rendu confirmant sa tenue ni son contenu.

Écarté faute de source.
La fameuse demi-vie de deux ans et demi. Les pourcentages d’automatisation du premier niveau de supervision de sécurité, tous produits par des éditeurs qui vendent cette automatisation.

Notre lecture, assumée comme telle.
L’écart de tempo entre la déformation des métiers et le rythme des dispositifs de formation. L’idée que le temps de préparation non compté constitue un coût réel. La grille des trois situations de maturité. Et notre observation de terrain, qui n’est pas une étude.

Zones d’incertitude.
Aucune donnée publique ne mesure, à ce jour, le nombre de personnes formées en cybersécurité via le compte personnel de formation, ni la durée moyenne d’occupation d’un poste cyber. L’état de la transposition française de NIS 2 évolue et mérite une vérification à la date où vous lisez ces lignes.

Pour aller plus loin

Si vous dirigez l’entreprise, en tenez les comptes ou en portez les ressources humaines, la question utile n’est pas « quelle formation acheter cette année ». C’est : combien d’heures avons-nous réellement passées, l’an dernier, à rattraper en aval ce que personne n’avait préparé en amont, et où voulons-nous les passer l’an prochain.

Rehackt part de votre maturité réelle, pas de votre organigramme cible. Nous cadrons le besoin, nous préparons les candidats à votre contexte, et nous vous dirons aussi, le cas échéant, quand un recrutement n’est pas la bonne réponse. Une heure de cadrage suffit généralement à savoir de quel côté de l’équation votre temps est parti.

Et si vous exercez déjà le métier, ou si vous le rejoignez : les compétences décrites plus haut ne figurent dans aucun référentiel technique, et personne ne vous les enseignera par accident. C’est exactement ce que travaille notre Académie Cyber, avec des parcours interactifs conçus pour être refaits, discutés et mis en défaut. Nos offres en cours, elles, sont publiées en continu.

Sources

Un recrutement cyber à confier ? On en parle directement avec vous.

Confier un recrutement →