Pénurie cyber : 100 000 postes, le pari fou de l'ANSSI

On appelle ça une bombe à retardement, mais elle a déjà commencé à exploser sous nos pieds. Pendant que nous nous inquiétons de nos comptes piratés par milliers, une réalité plus structurelle et tout aussi inquiétante est en train de transformer le paysage numérique français. La France manque cruellement de soldats pour cette guerre invisible, et l'écart entre les besoins et la réalité ne cesse de se creuser.

Le 16 juin 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) publiait un appel à manifestation d'intérêt (AMI) qui aurait dû faire la une de tous les médias généralistes, mais qui est passé quasi inaperçu au milieu du bruit médiatique estival. Le sujet ? La sécurisation des écosystèmes de cybersécurité. L'enjeu ? Rien moins que notre capacité collective, en tant que nation et en tant qu'entreprises, à ne pas subir le chaos numérique qui s'annonce. Le constat est froid : nous avons les infrastructures, nous avons les menaces, mais il nous manque les cerveaux.

Le trou dans la raquette : 100 000 postes, zéro candidat

C'est le chiffre qui claque et qui fait mal. En 2026, on estime à environ 100 000 le nombre de postes à pourvoir dans le secteur de la cybersécurité en France. C'est énorme. C'est une ville entière de professionnels qui manquent à l'appel. Pourtant, les chômeurs n'ont jamais été aussi nombreux ? Pas si simple. Le problème n'est pas la quantité de main-d'œuvre, c'est l'adéquation des compétences.

On forme des gens à l'informatique, oui, mais la cybersécurité, ce n'est pas de l'informatique classique. C'est un état d'esprit, une paranoïa constructive, une capacité à penser comme l'ennemi pour mieux le contrer. Or, nos écoles et nos universités peinent à faire basculer l'apprentissage du mode "construction" au mode "défense".

D'après les analyses récentes de Cybersécurité-info.fr, la demande s'emballe de manière exponentielle, dépassant largement les prévisions les plus pessimistes de 2024. Pourquoi cette soudaine flambée ? L'omniprésence du numérique. Chaque objet connecté, chaque industrie 4.0, chaque service public dématérialisé est une porte d'entrée potentielle.

On a vu récemment avec la crise SFR/Accor à quel point une faille peut paralyser des géants en quelques heures. Sans experts qualifiés pour surveiller les murs, ces géants sont des châteaux de cartes. Le marché le sait, les entreprises paniquent, et les salaires s'envolent, mais cela ne suffit toujours pas à combler le vide.

L'AMI de l'ANSSI : une tentative de industrialisation

C'est ici qu'intervient l'initiative du 16 juin. L'ANSSI ne se contente plus de publier des guides de bonnes pratiques. L'agence comprend que le problème est systémique. Son appel à manifestation d'intérêt vise à structurer la filière. Il ne s'agit plus de former des experts isolés, mais de sécuriser des écosystèmes entiers.

En clair : l'État cherche à identifier des consortiums capables de monter en puissance sur la formation, la certification et l'intégration des experts cyber. L'idée est de créer des "pôles d'excellence" capables de cracher des dizaines de spécialistes opérationnels par an, et non plus quelques diplômés théoriques.

C'est une approche industrielle du problème. On ne peut pas résoudre une pénurie de 100 000 postes avec des formations artisanales. Il faut massifier, standardiser certains cursus, tout en gardant un niveau d'exigence élevé. C'est le piège : si l'on baisse le niveau pour aller plus vite, on paiera cash plus tard par des failles de sécurité humaines.

L'ANSSI mise tout sur la souveraineté. Si nous ne formons pas nos propres experts, nous devrons importer cette compétence. Et en matière de cybersécurité, importer une expertise, c'est souvent donner les clés de son royaume à des prestataires étrangers sur lesquels on a peu de prise. L'enjeu est donc double : économique et stratégique.

Pourquoi personne ne veut de ces boulots ?

C'est la question qui tue. Salaire élevé, sécurité de l'emploi (les hackers ne prendront jamais de vacances), sens du service... Pourquoi les jeunes diplômés boudent-ils la filière ?

Premièrement, l'image de marque. Pendant des années, la cybersécurité a été vendue comme le royaume des geeks blouses grises tapant du code dans des caves sombres. C'est fini. Aujourd'hui, c'est un métier de confrontation, d'analyse, de gestion de crise. Mais le message a du mal à passer.

Deuxièmement, la pression. Être responsable de la sécurité d'une banque ou d'un hôpital, c'est porter un lourd fardeau. Quand ça casse, c'est ton nom qui finit dans les journaux. Beaucoup préfèrent la dev plus classique, où une erreur de code ne coûte "que" du temps de debug, pas des millions d'euros et des réputations.

Troisièmement, et c'est le plus paradoxal, le cloisonnement. Pour devenir un expert cyber reconnu, il faut souvent passer par des certifications coûteuses et chronophages (CISSP, CEH, OSCP, etc.). Le ticket d'entrée est élevé. L'AMI de l'ANSSI tente d'ailleurs de répondre à cela en encourageant des parcours plus fluides.

La menace invisible : quand l'humain devient la faille

Si l'on regarde les fuites de données massives de 2026, la cause n'est pas toujours une faille technique complexe type "Zero Day". Souvent, c'est une erreur humaine, une configuration bâclée par un administrateur système surchargé ou mal formé.

Le manque de personnel crée un cercle vicieux :

• Moins de personnel = plus de charge par personne.
• Plus de charge = fatigue, burnout, erreurs.
• Erreurs = incidents de sécurité.
• Incidents = stress et besoin de plus de personnel pour gérer la crise.

Sans l'apport massif de sang frais promis par les initiatives actuelles, nos systèmes d'information sont tenus par des équipes au bord de la rupture. C'est une bombe à retardement humaine.

Les rapports de la CNIL et les sites spécialisés comme FrenchBreaches regorgent d'exemples de violations liées à des "mauvaises configurations". Derrière ces termes techniques, se cache souvent un admin solo qui gérait seul trois plateformes différentes.

La course contre la montre de l'intelligence artificielle

Il est impossible de parler de recrutement cyber en 2026 sans évoquer l'Intelligence Artificielle. Certains pensaient que l'IA allait remplacer les analystes SOC (Security Operation Center). La réalité est plus nuancée. L'IA, comme on l'a vu avec l'analyse de Microsoft MAI-Cyber, est un multiplicateur de force, pas un substitut.

Elle permet de traiter des millions d'alertes, de repérer des motifs invisibles à l'œil nu. Mais elle a besoin d'humains pour l'entraîner, pour valider ses conclusions et pour prendre les décisions critiques, notamment lorsqu'une attaque engage la responsabilité pénale ou la vie des gens.

Le défi de l'ANSSI et des recruteurs est double : il faut trouver des gens capables de comprendre la sécurité, mais aussi capables de dialoguer avec ces nouvelles IA génératives. Le profil recherché a évolué. Ce n'est plus juste le "hacker" solitaire, c'est un hybride, un architecte de systèmes intelligents.

Comparatif : La situation en 2024 vs 2026

Pour visualiser l'accélération de la crise, regardons où nous en étions il y a seulement deux ans. L'évolution est vertigineuse et justifie l'urgence des mesures actuelles.

On le voit dans ce tableau, le facteur temps est devenu l'ennemi principal. Un poste qui reste vacant six mois, c'est six mois pendant lesquels une infrastructure critique est surveillée par une équipe réduite, ou pire, par du personnel intérimaire non formé aux spécificités de l'entreprise.

La réponse privée : l'ascension des MSSP

Face à cette pénurie qui touche aussi bien les géants du CAC40 que les PME, le marché s'organise. Les MSSP (Managed Security Service Providers) sont en pleine boom. Plutôt que de chercher désespérément un expert en interne impossible à trouver, les entreprises sous-traitent leur sécurité.

C'est une solution pragmatique, mais qui pose des questions de confiance. Donner les clés de son réseau à un tiers demande une maturité contractuelle et technique que beaucoup n'ont pas. De plus, les MSSP souffrent eux aussi de la pénurie. Ils pompent les talents des entreprises classiques en proposant des salaires plus attractifs et une variété de missions plus importante.

C'est une fuite en avant. On déplace le problème. L'État, via l'ANSSI, tente de ramener cette compétence sur le sol national et de la structurer pour éviter une dépendance trop forte vis-à-vis de quelques géants mondiaux de la sécurité qui "hoffmanisent" (du nom de Dave Huffman, le héros invisible de la tech) le marché.

Le plan de bataille : ce qu'il faut faire

Alors, quelle est la marche à suivre ? Pour un jeune qui cherche sa voie, ou un professionnel en reconversion, les opportunités sont dorées sur fond noir. Le secteur est le seul où le chômage est inexorablement négatif.

Si tu veux entrer dans cette danse, oublie les diplômes poussiéreux. Ce qui compte, c'est la pratique.

1. Les labs et les CTF (Capture The Flag) : C'est le terrain de jeu. IT-Connect et d'autres médias publient régulièrement des défis et des actualités sur des failles à exploiter pour s'entraîner.
2. Les certifications : Oui, elles sont chères, mais elles sont le sésame pour passer les filtres RH. Commence par des bases (Sec+, CEH) avant de viser l'excellence (OSCP).
3. La spécialisation : Ne cherche pas à être un expert en tout. Deviens l'expert de la sécurité industrielle (SCADA), ou de la sécurité Cloud, ou de l'audit. La niche paie mieux et est moins saturée.

Pour les entreprises, le message de l'ANSSI est clair : arrêtez de chercher des licornes. Formez vos propres équipes. Investissez dans la montée en compétence de vos administrateurs système et réseau. C'est souvent moins cher et plus efficace que de chasser le profil "Senior" qui n'existe pas.

L'avenir : une souveraineté en construction

L'appel à manifestation d'intérêt de l'ANSSI n'est qu'une étape. C'est un signal fort lancé à la filière pour qu'elle se structure. Si la France veut réussir son pari numérique, elle ne peut pas se permettre de laisser ses portes ouvertes.

Nous sommes à un point de bascule. Soit nous réussissons à massifier la formation et à attirer les talents vers la cyber, soit nous devrons accepter que les incidents de sécurité deviennent le "risque opérationnel" standard de toute entreprise, avec un coût économique que l'on peut déjà estimer en milliards d'euros.

La balle est dans le camp des écoles, de l'État, mais aussi dans le nôtre, citoyens numériques. Car la sécurité, ça commence aussi par une prise de conscience collective : nos données valent de l'or, et leur protection ne doit pas être confiée au premier venu ou laissée au hasard d'une équipe sous-dimensionnée. La guerre est déclarée, le camp du bien recrute. Qui est prêt à répondre à l'appel ?

Sources

• Appel à manifestation d'intérêt - Sécurité des écosystèmes de cybersécurité — ANSSI, 16 juin 2026
• Actualités Cybersécurité | IT-Connect — IT-Connect, consulté le 1er août 2026
• Fuite de données en France 2026 | FrenchBreaches — FrenchBreaches, 2026
• Actualités et veille sur la cybersécurité - Cybersecurite-info.fr — Cybersecurite-info.fr, 2026