Il y a quelque temps, un même intitulé est arrivé sept fois dans notre boîte de réception en une seule semaine : « analyste SOC, profil junior, disponible immédiatement ». 7 candidatures, 7 parcours respectables, et pourtant 7 curriculum vitæ presque interchangeables, taillés dans le même moule par la même formation accélérée. En face, un client cherchait quelqu’un d’opérationnel sous 3 semaines. Aucun des 7 ne l’était encore. Voilà, résumée en une anecdote (anonymisée, comme il se doit), toute l’ambiguïté de la reconversion en cybersécurité : un marché qui réclame des bras à grands cris, mais qui ne sait pas toujours quoi faire des mains qu’on lui tend.
La promesse est partout. Sur les réseaux, dans les publicités, au détour d’une conversation : « la cybersécurité recrute, lancez-vous, formez-vous en quelques mois, le secteur vous attend ». La promesse n’est pas fausse. Elle est simplement incomplète. Et l’incomplétude, en matière de réorientation professionnelle, peut coûter une année et plusieurs milliers d’euros.
En tant que cabinet de recrutement cybersécurité, nous occupons une position d’observation singulière : nous voyons les offres arriver côté entreprises, et les candidatures partir côté talents. Ce double regard nous permet de dire ce que les brochures évitent soigneusement de mentionner. Non pas pour décourager (la reconversion vers la sécurité informatique est l’un des plus beaux projets que l’on puisse mener évidemment), mais pour l’aborder de manière éclairée.
La reconversion cyber, un phénomène réel et largement encouragé
Commençons par ce qui est solidement établi. La tension sur les compétences en cybersécurité n’est pas un argument marketing : c’est une réalité documentée, en France comme en Europe.
En France, environ 15 000 postes restaient non pourvus en 2025, un chiffre repris par les pouvoirs publics et l’Observatoire des métiers de l’ANSSI. Sur la même période, le nombre d’offres d’emploi dans le domaine a progressé de 49 % entre 2019 et 2024, avec près de 23 000 annonces publiées entre juin 2023 et juin 2024. L’OPIIEC, l’observatoire de référence des branches du numérique, projette quant à lui 25 000 postes à pourvoir d’ici 2028. Autrement dit, la demande existe, elle est forte, et elle s’inscrit dans la durée.
À l’échelle européenne, le constat se confirme. Le rapport NIS Investments 2025 de l’ENISA évalue le déficit à 299 000 professionnels manquants dans l’Union, sur la base d’une enquête menée auprès de 1 080 répondants dans les 27 États membres. L’ISC2, de son côté, avance un chiffre sensiblement plus élevé pour la région européenne. Les méthodologies divergent (nous y reviendrons), mais la direction est unanime : il manque du monde, beaucoup de monde.
Dans ce contexte, la reconversion n’est pas une lubie individuelle, c’est un levier collectif. Les autorités la soutiennent, les organismes la financent, les entreprises commencent à l’envisager : selon les travaux relayés par l’ISC2, une large majorité d’organisations européennes se disent désormais prêtes à recruter des profils débutants pour les former en interne. Sur le papier, les astres s’alignent.
Comment cela fonctionne : les voies d’entrée, et ce qu’on vous en promet
Concrètement, comment bascule-t-on vers la cybersécurité quand on vient de l’enseignement, de la logistique, du droit ou de l’administration des réseaux ? Trois grandes familles de parcours coexistent.
Les formations intensives, d’abord, ces stages condensés de quelques mois (souvent entre 400 et 480 heures) qui promettent d’acquérir un socle technique en un temps record. Leur atout : la rapidité. Leur limite : la profondeur, qui dépend entièrement du sérieux de l’organisme et du niveau de départ de l’apprenant.
Les cursus diplômants, ensuite, du titre professionnel reconnu par l’État jusqu’au mastère spécialisé. Plus longs, plus exigeants, mais ils délivrent une crédibilité que les recruteurs savent lire. L’OPIIEC recense d’ailleurs plus de 900 formations en cybersécurité sur le territoire, ce qui en dit long sur la vitalité du marché de la formation, et aussi sur la difficulté à s’y repérer.
L’alternance et le stage long, enfin. Moins spectaculaires, ils restent pourtant le tremplin le plus efficace vers un premier poste, parce qu’ils cochent la case que toutes les autres voies peinent à remplir : l’expérience concrète, en conditions réelles, sur des outils que l’entreprise utilise vraiment.
La porte d’entrée la plus citée reste le poste d’analyste au sein d’un centre des opérations de sécurité (le fameux SOC, pour security operations center), chargé de surveiller, détecter et qualifier les incidents. Métier accessible, structuré, formateur. Et c’est précisément là que les promesses commencent à diverger de la réalité.
Les pièges classiques
Puisque nous voyons passer les candidatures, en tant que cabinet de recrutement cybersécurité, autant partager ce que nous y observons trop souvent.
Le mirage de l’opérationnel immédiat.
« Devenez analyste en 3 mois » est un slogan, pas un plan de carrière. Une formation courte vous donne un vocabulaire, des réflexes de base et une première grammaire technique. Elle ne fait pas de vous quelqu’un d’autonome face à un incident réel à 2 heures du matin. La nuance est de taille : entre savoir ce qu’est une corrélation d’événements de sécurité et savoir la conduire sous pression, il y a un fossé que seule la pratique comble.
Les certifications survendues.
Une certification rassure, elle ne suffit pas. Empiler les sigles sans projet concret derrière produit un curriculum vitæ qui coche des cases mais ne raconte rien. Les recruteurs avertis cherchent la trace d’une mise en pratique : un laboratoire personnel, une participation à des défis de type “Capture The Flag” (autrement appelé CTF), une contribution, un projet mené de bout en bout. Le sigle sans preuve a la valeur d’un diplôme encadré qu’on aurait acheté en brocante.
Les formations mal calibrées.
Toutes ne se valent pas, et le prix n’est pas un gage de qualité. Le repère le plus fiable reste l’inscription au répertoire national des certifications professionnelles, qui garantit un minimum d’exigence et de reconnaissance. À défaut, vous financez un certificat dont personne ne connaît la valeur, vous le premier.
L’oubli du socle.
On ne fait pas de sécurité sur du vide. Sans compréhension solide des réseaux, des systèmes et de la gestion des accès, les outils de sécurité restent des boutons que l’on actionne sans en saisir la logique. Beaucoup de reconversions échouent moins par manque de motivation que par absence de fondations.
Le paradoxe français : la pénurie d’un côté, des juniors qui patientent de l’autre
Voici le cœur du sujet, celui qui désoriente la plupart des candidats. Comment expliquer que le secteur crie à la pénurie pendant que des diplômés et des personnes en reconversion peinent à décrocher leur premier poste ?
La réponse tient en un mot : l’inadéquation. Les 23 000 offres recensées ne sont pas toutes des postes accessibles à un débutant. Une bonne partie vise des profils confirmés, parfois très pointus : selon l’ANSSI, près de la moitié des annonces réclament un niveau bac+5. Les architectes représentent à eux seuls environ un cinquième des offres, devant les consultants et les ingénieurs. La pénurie est donc d’abord une pénurie d’expérience, pas une pénurie de candidats motivés.
S’y ajoutent des fiches de poste dont l’incohérence relève parfois d’une œuvre d’art contemporain : un « junior » sommé d’aligner 3 à 5 ans d’expérience, la maîtrise exigée d’une quinzaine d’outils (dont certains que plus personne n’utilise), des astreintes permanentes pour un salaire figé depuis des années. Nous le constatons régulièrement chez Rehackt : ces postes restent ouverts 6, 9, 12 mois. Non par absence de candidats, mais parce que le mouton à cinq pattes décrit dans l’annonce n’existe pas, ou refuse de travailler à ce tarif.
Cette mécanique enclenche un cercle vicieux que nous voyons à l’œuvre. Plus un poste reste vacant, plus l’entreprise durcit ses critères, persuadée qu’elle ne vise pas assez haut. La solution serait pourtant l’inverse : recruter un profil prometteur et l’accompagner. Pendant ce temps, le candidat fraîchement reconverti, à qui l’on a promis un marché grand ouvert, se heurte à une porte verrouillée par des exigences irréalistes. Ajoutons que les opportunités restent fortement concentrées en Île-de-France, et le tableau de la frustration est complet.
Pour mesurer plus largement ce décalage entre le besoin affiché et les arbitrages réels des entreprises, nous l’avons documenté ailleurs (Cybersécurité en France : le grand décalage de 2025).
Ce qui fonctionne réellement
Le tableau n’est pas sombre, il est exigeant. Nuance capitale. Les reconversions qui aboutissent partagent quelques traits que nous identifions sans peine en lisant un dossier, en tant que cabinet de recrutement cybersécurité .
D’abord, un pont assumé avec l’ancien métier.
Le juriste qui se reconvertit comprend la conformité mieux que personne. L’ancien gestionnaire de crise sait gérer un incident sous tension. La personne issue de la relation client peut exceller dans la sensibilisation des utilisateurs. La cybersécurité n’aime pas les pages blanches : elle adore les parcours qui apportent autre chose que de la technique fraîchement apprise.
Ensuite, le savoir-être.
La curiosité, l’esprit critique, la capacité à garder la tête froide quand tout clignote en rouge. Ces qualités ne s’achètent pas en formation, et ce sont précisément elles qui distinguent un junior prometteur d’un junior parmi tant d’autres.
Enfin, la preuve par la pratique.
Un parcours en alternance, un stage long, un laboratoire monté chez soi, une veille active dont on sait parler : tout ce qui transforme une déclaration d’intention en démonstration concrète. C’est la ligne qui, sur un curriculum vitæ, fait basculer une candidature de « peut-être » à « rencontrons cette personne ».
Le prisme du recrutement : ce que change un accompagnement
Soyons clairs sur notre rôle. Un cabinet de recrutement cybersécurité ne vend pas de formation et ne distribue pas de diplômes. Nous faisons se rencontrer une offre et une demande qui, livrées à elles-mêmes, se ratent obstinément.
Côté entreprises, notre travail consiste souvent à désamorcer le cercle vicieux décrit plus haut. Aider un dirigeant ou une direction des ressources humaines à comprendre qu’un profil junior bien accompagné, recruté aujourd’hui, vaut mieux qu’un expert introuvable espéré pendant un an. Traduire un besoin de sécurité en une fiche de poste réaliste. Évaluer la maturité de l’organisation pour calibrer le recrutement à son niveau réel, et non à son niveau fantasmé. Pour une structure encore peu outillée, recruter un mouton à cinq pattes est un contresens ; recruter le bon profil de départ et le faire monter en compétence est un investissement.
Côté candidats, notre rôle est de présenter à nos clients des profils dont nous savons exactement où ils en sont, ce qu’ils valent et ce qui les rend pertinents pour un contexte précis. Encore faut-il que ces profils soient préparés. Et c’est là que le bât blesse trop souvent : des personnes talentueuses, motivées, mais arrivant sur le marché sans avoir mesuré la marche réelle à franchir.
C’est cette phase de préparation que nous avons décidé de muscler, parce qu’elle nous fait gagner du temps à tous. Plus un candidat arrive préparé, plus la rencontre avec l’entreprise est rapide et juste.
L’avis de Rehackt
Disons-le franchement : le marché de la formation en cybersécurité a parfois pris quelques libertés avec le réel. À force de vendre la destination, on a oublié de décrire le voyage. Résultat, des reconversions enthousiastes qui se fracassent sur un mur que personne n’avait mentionné dans la brochure.
Notre conviction est simple. La reconversion vers la sécurité informatique est une excellente idée pour qui l’aborde avec lucidité, méthode et patience. C’est une mauvaise idée pour qui croit acheter un poste avec un certificat. La différence ne tient pas au talent, elle tient à la préparation et à l’honnêteté du diagnostic de départ. On ne devient pas analyste comme on commande un repas à livrer : il faut évidemment cuisiner un peu soi-même.
La bonne nouvelle, c’est que la marche, aussi haute soit-elle, se monte. À condition de savoir où l’on pose le pied.
Note de transparence sur les chiffres
Nous tenons à distinguer ce qui relève du fait avéré, de l’hypothèse plausible et de l’incertain.
Faits avérés et sourcés : les 15 000 postes non pourvus en France (gouvernement, Observatoire des métiers de l’ANSSI, 2025) ; la hausse de 49 % des offres entre 2019 et 2024 et les 23 000 annonces sur un an (ANSSI) ; les 25 000 postes projetés d’ici 2028 et les plus de 900 formations recensées (OPIIEC) ; la part d’offres exigeant un bac+5, proche de la moitié (ANSSI) ; le déficit européen de 299 000 professionnels (ENISA, NIS Investments 2025).
Hypothèses plausibles, issues de notre observation de terrain : la durée d’ouverture prolongée des postes mal calibrés, l’incohérence récurrente des fiches de poste, la relative saturation de l’entrée de gamme « analyste débutant ». Ce sont des constats de praticien, pas des statistiques nationales.
Éléments incertains : le chiffrage exact du déficit varie fortement selon les sources et les méthodes (l’ENISA et l’ISC2 ne comptent pas la même chose) ; par ailleurs, le périmètre des « métiers cyber » est parfois si large qu’il intègre des fonctions informatiques généralistes, ce qui gonfle mécaniquement le décompte des offres. À manier, donc, avec la prudence d’usage.
Et vous, où en êtes-vous concrètement ?
Avant de vous lancer (ou de financer une formation au prix d’une voiture d’occasion), une seule question mérite une réponse sincère : à quelle distance êtes-vous réellement de votre premier poste ?
Pour le savoir, nous avons conçu un questionnaire d’auto-positionnement en accès libre : 15 questions, 5 minutes, et une lecture personnalisée du chemin qu’il vous reste à parcourir. Pas de jugement, pas de vente forcée, juste un point de départ lucide. Pour celles et ceux qui voudront aller plus loin, une passerelle existe vers Académie Cyber, pensée précisément pour combler l’écart entre la formation et l’entreprise.
Pour approfondir le sujet de la qualité des parcours, lisez aussi Formation en cybersécurité : bien classé ne veut pas dire bien préparé et, pour le récit de notre démarche, Le jour où j’ai lancé.
Vu d’ici, ça a l’air compliqué. Appelez Rehackt.
Annexe — Questionnaire d’auto-positionnement (5 minutes, 15 questions)
Répondez spontanément. À la fin, une grille de lecture vous situe sur trois niveaux : « socle à construire », « projet à structurer », « prêt à candidater ».
Socle technique
- Savez-vous expliquer simplement ce qu’est une adresse IP, un port et un pare-feu ?
- Avez-vous déjà administré un système (poste, serveur ou réseau), même à titre personnel ?
- La ligne de commande vous est-elle familière, ou totalement étrangère ?
- Comprenez-vous le principe d’un journal d’événements et de sa lecture ?
Connaissance du métier
- Pouvez-vous citer trois métiers distincts de la cybersécurité et ce qui les différencie ?
- Savez-vous ce que fait, au quotidien, un analyste en centre des opérations de sécurité ?
- Avez-vous une préférence claire entre la défense, l’audit offensif et la gouvernance ?
Pratique et preuves
- Avez-vous déjà monté un environnement de test ou un laboratoire chez vous ?
- Avez-vous participé à un défi technique (type capture de drapeau) ou à un projet concret ?
- Suivez-vous une veille régulière sur les menaces et les vulnérabilités ?
Parcours et transférabilité
- Quelles compétences de votre métier actuel restent précieuses en cybersécurité ?
- Êtes-vous à l’aise pour expliquer un problème technique à un public non spécialiste ?
- Comment réagissez-vous face à une situation de stress prolongé ?
Projet et conditions
- Votre projet de formation est-il adossé à une certification reconnue par l’État ?
- Avez-vous envisagé l’alternance ou un stage long comme tremplin vers le premier poste ?
Plus vos réponses sont précises et étayées par des preuves concrètes, plus vous êtes proche de la candidature. Si la majorité reste vague, ce n’est pas un échec : c’est simplement une feuille de route.
Un recrutement cyber à confier ? On en parle directement avec vous.
