La cybersécurité est l’un des rares secteurs où la pénurie de talents est structurelle et durable. Les travaux de l’observatoire des métiers de la cybersécurité de l’ANSSI situent la population de professionnels en activité en France entre 45 000 et 60 000 personnes, avec près d’un poste sur quatre qui reste non pourvu. La projection revient à environ 15 000 postes ouverts sans candidat. Pour les professionnels en reconversion, c’est une opportunité réelle, à condition de s’y préparer avec méthode.
Une cinquantaine de métiers derrière un seul mot
Quand on parle de cybersécurité, beaucoup imaginent un pentester encapuchonné devant trois écrans. La réalité du secteur est bien plus large. Le panorama publié par l’ANSSI avec Syntec Numérique décrit 26 profils répartis en cinq grandes familles, du responsable de la sécurité au juriste spécialisé, en passant par l’architecte, l’auditeur, l’analyste SOC ou le formateur. Le référentiel américain NICE, porté par le NIST, en détaille 41 de son côté. En y ajoutant les métiers connexes recensés par le Campus Cyber, on dépasse sans difficulté la cinquantaine de portes d’entrée.
Cette diversité est une excellente nouvelle pour qui se reconvertit. Une bonne partie de ces métiers valorise la rigueur méthodologique, le sens de l’organisation et la capacité à faire dialoguer des équipes techniques avec une direction générale, bien davantage que la maîtrise technique pure. Le premier travail d’une reconversion consiste donc à identifier lesquels de ces métiers rejoignent ce que vous savez déjà faire.
Pourquoi se reconvertir en cybersécurité ?
Au-delà de la pénurie de profils, la cybersécurité offre des perspectives attractives : des rémunérations au-dessus de la moyenne du secteur numérique, des missions variées et stimulantes intellectuellement, un marché qui résiste aux crises économiques, et un impact concret sur la protection des organisations et des citoyens.
Un analyste SOC débutant peut prétendre à 32-38 k€ brut annuel. Un RSSI expérimenté dépasse facilement les 80-100 k€. Entre les deux, la progression est rapide pour les profils qui investissent dans leur montée en compétences.
Les profils qui réussissent leur reconversion
La cybersécurité est accessible à des profils variés. Certains parcours favorisent naturellement la transition :
- Administrateurs systèmes et réseaux : la transition est technique et naturelle vers les métiers de sécurité opérationnelle (SOC, pentest, architecture)
- Développeurs : la sécurité applicative (DevSecOps, code review, bug bounty) valorise directement votre expertise
- Auditeurs et consultants : la gouvernance, les audits ISO, la gestion des risques sont accessibles avec une formation ciblée
- Juristes et compliance officers : la conformité RGPD, NIS2, DORA crée une demande forte de profils hybrides droit/cyber
- Managers et chefs de projet : les rôles de RSSI, consultant senior ou responsable conformité valorisent les compétences managériales
Le point commun de ces trajectoires, c’est que rien ne part de zéro. Une responsable RH a déjà manipulé des données personnelles sensibles, appliqué des durées de conservation, traité des demandes d’accès et expliqué des règles contraignantes à des collaborateurs qui n’en voulaient pas. Autrement dit, elle a déjà fait du RGPD, de la gestion des habilitations et de la sensibilisation, sans les appeler ainsi. Un comptable connaît la séparation des tâches et la piste d’audit. Un chef de projet industriel sait ce qu’est une analyse d’impact et un plan de continuité. Le travail de reconversion consiste largement à relire votre parcours avec le vocabulaire du secteur, puis à combler les écarts restants. C’est aussi ce qui vous distinguera d’un jeune diplômé face à un recruteur, parce que vous apportez une compréhension du métier que la cybersécurité doit protéger.
Le parcours de formation recommandé
Phase 1 : Les fondamentaux (3-6 mois)
Commencez par les bases réseau et systèmes si vous n’avez pas de socle technique. Le MOOC de l’ANSSI pose le vocabulaire et les réflexes essentiels, celui de la CNIL vous familiarise avec le RGPD et la protection des données personnelles, deux sujets que vous croiserez quel que soit le métier visé. Notre page Liens utiles rassemble ces ressources et d’autres formations gratuites, du MOOC gestion de crise cyber aux référentiels officiels.
Complétez par la pratique sur des plateformes comme TryHackMe ou Hack The Box, et par une certification généraliste du type CompTIA Security+ si vous avez besoin d’un premier jalon reconnu sur votre CV.
Phase 2 : La spécialisation (6-12 mois)
Avant de vous engager dans une formation longue, prenez le temps de vous renseigner sur les métiers eux-mêmes. Lisez les fiches des référentiels, écoutez ce que racontent les professionnels en poste, et provoquez si possible une immersion de quelques jours auprès de l’un d’eux. Beaucoup de reconversions déçoivent parce que le métier imaginé ne ressemble pas au métier réel.
Identifiez ensuite votre filière : technique (pentest, SOC, forensics), gouvernance (audit, conformité, RSSI), ou hybride (DevSecOps, cloud security). Le choix de l’organisme de formation compte alors autant que celui de la filière. Appuyez-vous sur les labels, en particulier SecNumedu et SecNumedu-FC délivrés par l’ANSSI, qui attestent que le contenu, les intervenants et les modalités pédagogiques ont été évalués. HoliRisk est titulaire du label SecNumedu-FC pour sa formation EBIOS RM et son Parcours Décideurs. Regardez également les certifications auxquelles la formation prépare réellement, et visez celles qui sont alignées sur votre filière, en les préparant si possible en parallèle d’une première mise en pratique.
Phase 3 : L’insertion professionnelle
Construisez votre portfolio (projets CTF, contributions open source, écriture d’articles), candidatez sur des postes juniors ou des alternances, et envisagez une première mission en freelance pour vous constituer des références.
À ce stade, le réseau pèse souvent plus lourd que le CV. Une bonne partie des premiers postes en cybersécurité se décroche par recommandation, parfois avant même que l’offre soit publiée. Adhérer à une association professionnelle du secteur, fréquenter les meetups et les groupes régionaux, échanger avec la communauté et participer aux grands rendez-vous comme le Forum InCyber vous met en contact direct avec des RSSI, des consultants et des recruteurs. Vous y captez aussi le vocabulaire, les préoccupations du moment et les codes du milieu, ce qui améliore immédiatement la qualité de vos échanges en entretien.
Les certifications : un accélérateur qui ne remplace rien
Une certification rassure un recruteur sur votre sérieux, votre vocabulaire et votre compréhension d’un corpus. Elle crédibilise un profil et elle passe les filtres automatiques des cabinets de recrutement. Ce qu’elle ne démontre pas, c’est votre capacité à tenir un poste au quotidien.
Sur le marché français, un candidat fraîchement certifié sans aucune mise en pratique passe rarement devant un profil moins diplômé qui a déjà conduit un audit, animé un atelier d’analyse de risques ou vécu la gestion d’un incident. Les organismes de certification l’assument d’ailleurs ouvertement : le CISSP comme le CISM exigent cinq années d’expérience professionnelle avant de délivrer le titre complet, et le candidat qui réussit l’examen sans ce vécu obtient un statut intermédiaire en attendant de le justifier.
Le bon réflexe consiste donc à choisir la certification en fonction du poste visé, et à la positionner au moment où elle vient valider une pratique déjà entamée. Selon la filière, les titres les plus lisibles sur le marché français restent l’OSCP et le CompTIA CySA+ côté technique, l’ISO 27001 Lead Auditor ou Lead Implementer, le CISM et le CISSP côté gouvernance, le CCSP et les certifications éditeurs côté cloud, et la certification DPO côté conformité.
L’expérience : le vrai point de bascule
C’est le point le plus critique d’une reconversion, et celui sur lequel il faut se montrer le plus créatif. L’expérience ne s’achète pas et aucun diplôme ne la remplace. Elle se construit, souvent par des chemins de traverse que les candidats explorent trop peu.
Le bénévolat associatif en est le plus accessible. Beaucoup de structures manipulent des données sensibles avec des moyens très limités et accueillent volontiers un coup de main sur leur gestion des accès, leurs sauvegardes ou leur conformité RGPD. Vous y gagnez un terrain réel, des interlocuteurs à convaincre et des contraintes budgétaires à arbitrer, c’est-à-dire exactement ce qui fait le quotidien du métier.
Le stage d’observation est la deuxième piste, et elle est étonnamment peu sollicitée. Passer quelques jours auprès d’un RSSI, dans un SOC ou au sein d’une équipe d’audit apporte une compréhension du rythme et des arbitrages qu’aucune formation ne transmet. La demande coûte un message poli et bien ciblé, et elle ouvre presque toujours un réseau.
La réserve constitue une troisième voie, plus structurée et souvent méconnue. Le ministère des Armées, la gendarmerie et la police nationale accueillent des réservistes sur des missions liées au numérique, et la réserve citoyenne de cyberdéfense mobilise des volontaires sur des actions de sensibilisation et d’appui. Les missions de service public offrent une logique comparable, qu’il s’agisse d’accompagner des collectivités dans leur mise en conformité ou de participer aux campagnes de sensibilisation portées par les acteurs publics de la filière.
Aucune de ces expériences ne vaut un poste à temps plein. Mais trois lignes de vécu concret sur un CV transforment la nature d’un entretien : vous cessez de parler de ce que vous avez appris pour parler de ce que vous avez fait.
Se reconvertir vers la gouvernance avec l’Académie du RSSI
Parmi la cinquantaine de métiers du secteur, ceux de la gouvernance, de la gestion des risques et de la conformité comptent parmi les plus accessibles en reconversion. Ils valorisent des compétences que vous possédez probablement déjà : structurer une démarche, documenter, arbitrer, et faire dialoguer des équipes techniques avec une direction générale.
L’Académie du RSSI par HoliRisk propose deux parcours particulièrement adaptés à cette trajectoire. Le Parcours Gouvernance SSI couvre la construction et le pilotage d’une démarche de sécurité, du cadre normatif jusqu’à la présentation en comité de direction, à travers des cas pratiques et des mises en situation. La formation EBIOS RM vous rend opérationnel sur la méthode d’analyse de risques de référence en France, celle que vous croiserez dans la majorité des missions de conseil, d’audit et de mise en conformité NIS2.
Les deux se travaillent sur des cas réels, ce qui vous donne dès la fin du parcours de la matière concrète à raconter en entretien. Échangeons sur votre projet de reconversion pour identifier le parcours adapté à votre profil de départ et à vos objectifs.