Les mois de mars et avril 2025 ont vu la signature des contrats stratégiques des filières “Industries de sécurité” (2e contrat) et “Logiciels et solutions numériques de confiance”, qui permettent un dialogue concret, performant et régulier entre l’État, les entreprises et les représentants des salariés de ces filières. Les Comités stratégiques de filière (CSF) sont des exemples d’initiatives parmi d’autres qui témoignent de la formation d’un écosystème foisonnant autour de l’industrie de la sécurité des systèmes d’information (SSI). Ainsi, ces ensembles d’acteurs et d’organisations interagissent et se structurent autour d’enjeux et d’objectifs communs, malgré leur diversité.

Anatomie de la cybersécurité française

Chaque écosystème industriel repose sur des particularités spécifiques. Le premier pilier structurant de celui de la SSI est l’impératif de sécurité auquel les entreprises de ce secteur ont toutes vocation à répondre : la persistance de la cybermenace et les risques numériques considérables auxquels sont soumises les organisations (voir “Chiffres clés”) justifient en effet l’existence d’un écosystème industriel structuré capable de les accompagner. Si la croissance économique représente un objectif primordial pour les entreprises de ce secteur, celles-ci prennent également part à la résilience de la Nation et à sa sécurisation en venant renforcer les compétences françaises en matière de cybersécurité. 

La seconde caractéristique qui structure cet écosystème réside dans l’immense diversité des systèmes d’information (SI) à sécuriser. Chaque organisation, quelle que soit sa taille, dispose d’un ou de plusieurs SI aux caractéristiques spécifiques. Les entreprises de solutions de cybersécurité sont appelées à s’adapter à ces SI, suivant par exemple leur degré d’interconnexion, de filtrage et d’isolement par rapport à d’autres réseaux. En outre, les SI et les services à sécuriser peuvent être en tout ou partie hébergés par un tiers (informatique en nuage – cloud). Enfin, chaque SI dépend du secteur dans lequel il est déployé. La sécurisation du système d’information contrôlant le fonctionnement d’une centrale hydroélectrique différera ainsi fortement de celle d’un système de gestion d’opérations bancaires.

La quantification et la catégorisation de l’écosystème français de la SSI est complexe. Pour citer un ordre de grandeur, les données les plus récentes issues du CSF 2025 de la filière “Industries de sécurité” estiment le chiffre d’affaires total de la sous-filière cybersécurité à 9,1 milliards d’euros en France en 2021, porté par 1626 entreprises. Il n’existe pas une méthode unique pour segmenter cet écosystème. Cependant, une subdivision classique consiste à commencer par distinguer les services et les produits de cybersécurité. 

Services et produits de cybersécurité

Les services, d’une part, incluent les prestations où un processus, un projet ou une partie du système d’information lui-même sont confiés contractuellement à une entreprise tierce. Ainsi, une organisation peut faire appel à des services dédiés pour se sécuriser : réalisation d’audits de sécurité, conseil et accompagnement en amont ou à la suite de cet audit, déploiement de systèmes de détection d’incidents ou aide en réaction à une cyberattaque. Il est également possible de recourir à des prestataires d’infogérance pour leur confier la gestion du SI d’une organisation. Les prestataires de cloud permettent à un client d’accéder à des services de manière partagée et dynamique, à des infrastructures (Infrastructure as a service, IaaS), des plateformes (Platform as a service, PaaS) ou des logiciels (Software as a service, SaaS). D’autre part, l’écosystème industriel de la SSI compte sur une forte diversité de produits, à savoir des dispositifs matériels ou logiciels de sécurisation, ces derniers étant commercialisés le plus souvent sous forme de licences d’utilisation. Il existe des typologies multiples de produits, que ce soit pour sécuriser le réseau d’un SI (pare-feux, VPN–virtual private network, sondes réseau, etc.), pour sécuriser les terminaux qui composent un SI (anti-virus, EDR–endpoint detection and response, etc.), ou encore pour sécuriser les données de ces systèmes (sauvegardes sécurisées, systèmes de chiffrement, etc.). Cette division entre produits et services est cependant limitée, étant donné que de nombreuses offres tendent à combiner ces deux dimensions, ou se situent à mi-chemin, telles les offres de fournisseurs d’identité numérique.

En France, l’écosystème d’offreurs de cybersécurité comprend une multiplicité d’acteurs aux tailles variables. Si l’on se base sur les chiffres des seules solutions certifiées et qualifiées par l’ANSSI, qui n’en offrent qu’une vue partielle, 145 fournisseurs “de confiance” sont identifiés. L’écosystème des prestataires de cybersécurité rassemble un nombre particulièrement important d’acteurs. L’ANSSI a qualifié jusqu’ici 100 services de cybersécurité¹. Les grands groupes ne représentent que 15 à 20 % de cet ensemble de prestataires qualifiés, qui peut compter sur un nombre important d’ETI et de PME. De son côté, le groupement d’intérêt public Action contre la cybermalveillance (GIP ACYMA) a référencé près de 1250 prestataires de cybersécurité et en a labellisé 200. Le secteur des éditeurs de produits de cybersécurité fait également preuve d’une bonne dynamique en France. D’après le Baromètre 2025 de l’investissement européen en cybersécurité du groupe de gestion d’actifs Tikehau Capital, la France est le premier pays d’Europe en matière de levée de fonds de jeunes entreprises en cybersécurité (342 millions d’euros). L’écosystème français compte par exemple des éditeurs notables de produits de détection et réponse aux incidents, de solutions de chiffrement, ou de Cyber Threat Intelligence². Il s’organise également, sous forme de groupements. Ainsi, l’association professionnelle Hexatrust compte plus de 130 membres, et l’Alliance pour la confiance numérique (ACN) en compte près de 120. Malgré son dynamisme, l’écosystème industriel de la SSI en France reste néanmoins fragmenté, face à certains marchés internationaux d’une taille bien plus importante (plus de 60 milliards d’euros aux États-Unis).

L’ANSSI, pilote de confiance

Les caractéristiques propres à l’écosystème industriel de la cybersécurité justifient que l’État agisse sur celui-ci. Si l’on tente de la résumer, cette action publique s’appuie sur trois motivations principales : la sécurisation de l’écosystème à travers l’identification d’offres de confiance ; l’alignement de l’offre à des orientations technologiques et des priorités stratégiques de moyen et long terme ; la consolidation des compétences et le soutien au développement industriel.

Premièrement, au vu de la complexité technique qu’implique la sécurisation des entreprises et des organisations, et de la forte diversité des offres disponibles sur le marché, l’État s’appuie sur la confiance que lui accorde l’écosystème pour identifier et recommander des solutions de cybersécurité spécifiques. Depuis plus de quinze ans, grâce à son expertise technique et sa maîtrise de l’état de l’art, l’ANSSI délivre des Visas de sécurité. Ceux-ci permettent d’identifier ces offres de confiance. Concernant les produits de sécurité, l’ANSSI peut les certifier, à savoir garantir leur robustesse face à un certain niveau de menace, ou bien les qualifier, ce qui revient de surcroît à les recommander formellement dans des cas d’usage précis. L’ANSSI qualifie également des prestataires de service, tels par exemple les prestataires d’audit de sécurité des systèmes d’information (PASSI). Pour garantir la sécurité des prestations de services cloud, sur un plan technique, mais aussi juridique, en réponse à leur exposition au droit extra-européen, l’ANSSI a également créé la qualification SecNumCloud. Ces groupes d’entreprises qualifiées constituent peu à peu de véritables communautés à l’échelon national. L’ANSSI participe à les animer, en les incitant à travailler sur des problématiques communes.

Le recours à ces offres de confiance est d’autant plus diffus qu’il est parfois imposé par la réglementation. Depuis la loi de programmation militaire (LPM) de 2013, les opérateurs d’importance vitale (OIV) doivent mettre en place des mesures de sécurisation spécifiques. Ces mesures imposent notamment le recours à certaines offres qualifiées par l’ANSSI sur leurs SI vitaux, notamment en matière de détection d’incident, ou d’audit de sécurité. La directive Network and Information Security 2 (NIS 2), en cours de transposition en France, s’apprête à faire passer le nombre d’entités régulées à plusieurs dizaines de milliers, contre quelques centaines dans le cadre de la LPM et de la directive NIS 1 (voir l’article de Xavier Leonetti). Bien que la loi de transposition n’ait pas vocation à imposer le recours à des solutions qualifiées par l’ANSSI, les entités concernées auront tout intérêt à se tourner vers ces offres de confiance pour se faire accompagner dans leur mise en conformité aux règles techniques de la directive. L’ANSSI recommandera le recours à ces industriels. 

L’État, moteur d’innovation

Deuxièmement, l’État doit pouvoir s’assurer que les enjeux techniques de sécurité sont pris en compte par l’écosystème, même lorsque ceux-ci impliquent des investissements importants et une rentabilité incertaine. Une telle action est d’autant plus justifiée que ces enjeux sont caractérisés par une forte complexité technique, qui dépasse les capacités existantes dans l’écosystème, aussi bien financières que technico-scientifiques. L’intervention publique est par exemple l’un des leviers qui permettent de sensibiliser les acteurs de l’écosystème à la prise en compte du risque post-quantique sur leurs SI et leurs systèmes de chiffrement. L’ANSSI a publié, courant 2024 et 2025, trois études sur l’état de la prise en compte de la cryptographie post-quantique en France, qui invite les organisations à se préparer à la menace quantique et souligne le besoin de mener une action combinée entre les pouvoirs publics et l’écosystème privé pour développer des produits et des services d’accompagnement à la transition post-quantique. L’État soutient également l’écosystème industriel dans son développement de solutions d’intelligence artificielle (IA) de confiance, qui prennent en compte les principes de la sécurité informatique. Différentes administrations (DINUM, ANSSI, DGE, etc.) se sont activement impliquées dans le Sommet pour l’action sur l’IA de février 2025, à travers la publication de documentation technique, mais aussi le lancement d’appels à projets spécifiques. Pour promouvoir le développement d’offres alignées à ces enjeux techniques de long terme, l’intervention financière publique est également mobilisée. En novembre 2024, Bpifrance a lancé la 4e édition de l’appel à projets “Développement des technologies innovantes et critiques” (DTIC 4), ayant notamment vocation à financer, à hauteur de 25 M€ au total, des solutions d’aide à la transition post-quantique, d’IA de confiance ou de gestion des données et de sécurité du cloud.

Enfin, les services de l’État participent à développer l’écosystème industriel en cybersécurité et à renforcer ses compétences. L’ANSSI a participé à la création dès 2019 du Campus cyber national basé à La Défense (région parisienne). Cette initiative rassemble en un même lieu physique des entreprises, des administrations, des acteurs de la recherche et de l’enseignement et des associations. Les échanges au sein du Campus mélangent ainsi divers réseaux industriels et professionnels, et facilitent la diffusion des connaissances. Une coordination active existe également entre l’échelon national et diverses initiatives européennes. Ainsi, le règlement UE 2021/887 a instauré un Centre de compétences cyber européen (ECCC) qui s’appuie sur des Centres de coordination nationaux (les “NCC”) présents dans chaque État membre. Ces derniers ont pour mission de promouvoir des appels à projet européen, de lancer des appels à projets nationaux et d’animer l’écosystème cyber à l’échelon national. L’ANSSI héberge le NCC-FR, et ses initiatives sont lancées en pleine coordination entre les différents services de l’État qui visent à soutenir le développement économique du secteur, en particulier le Secrétariat général pour l’investissement (SGPI), en charge du programme France 2030, et Bpifrance.

Conclusion

Bien que l’initiative privée ait tout intérêt à se développer au sein de l’écosystème industriel de la SSI, la complexité des solutions et les enjeux techniques et réglementaires auxquels sont soumises les organisations justifient une intervention de l’État. Cet accompagnement est d’autant plus pertinent que la sphère publique dispose d’une forte expertise en cybersécurité, notamment via l’ANSSI, mais aussi d’outils pour inciter le développement industriel. L’État doit insuffler de la confiance, au sein d’un écosystème soumis à des menaces constantes et à des risques significatifs face aux évolutions technologiques et géopolitiques. L’implication de l’État a vocation à se poursuivre, en explorant toutes les pistes possibles.