Le chiffre qui n’y était pas
Pendant des années, un chiffre définissait le marché de l’emploi en cybersécurité : le déficit de main-d’œuvre. L’étude 2024 d’ISC2 chiffrait les postes non pourvus à environ 4,8 millions dans le monde, un nombre cité sans cesse pour décrire un domaine comptant plus de sièges vacants que de personnes qualifiées. Ce qui frappe le plus dans l’édition 2025, c’est donc ce qu’elle a laissé de côté. Comme l’explique le propre résumé d’ISC2 de l’étude 2025, l’organisation « n’a pas inclus d’estimation du déficit de main-d’œuvre en cybersécurité cette année » — la première fois qu’elle omet ce chiffre.
La raison est un véritable changement dans ce que les praticiens disent les contraindre. L’étude, construite sur les réponses de 16 029 professionnels et décideurs de la cybersécurité, a constaté que les répondants privilégient désormais le besoin de compétences critiques sur le besoin de plus de personnes. Autrement dit, embaucher plus de bras n’est plus le problème que le secteur s’identifie ; embaucher les bonnes capacités l’est. C’est un recadrage subtil mais conséquent — il déplace la conversation d’un déficit d’effectif qu’un vivier plus large pourrait combler vers un déficit de compétences que seules une formation ciblée et une spécialisation peuvent combler.
L’ampleur de la préoccupation liée aux compétences justifie le changement. Dans l’étude 2025, 59 % des répondants ont signalé des besoins de compétences critiques ou significatifs, une forte hausse par rapport à 44 % en 2024, et 95 % ont signalé au moins un besoin de compétences — en hausse de cinq points de pourcentage en glissement annuel. Lorsque presque chaque praticien dans une enquête de 16 029 répondants dit que son équipe manque d’au moins une compétence critique, la contrainte déterminante est clairement passée de la quantité à la qualité.
L’IA en tête de la liste de ce qui manque
Les spécificités du déficit de compétences disent aux bâtisseurs de carrière exactement où viser. Dans l’étude 2025, l’IA est apparue comme le besoin de compétences le plus cité à 41 %, suivie de la sécurité cloud à 36 %. Cet ordre est en soi une histoire : pendant des années la sécurité cloud dominait ces enquêtes, et le saut de l’IA à la première place reflète la rapidité avec laquelle le paysage des menaces — et la boîte à outils défensive — s’est réorganisé autour de l’apprentissage automatique, à la fois comme capacité d’attaquant et de défenseur.
La demande de compétences liées à la sécurité de l’IA n’est pas abstraite. Les équipes de sécurité ont de plus en plus besoin de personnes capables de défendre les systèmes d’IA, d’évaluer les outils de détection pilotés par IA, et de raisonner sur la nouvelle surface d’attaque que créent les adversaires assistés par IA. C’est un ensemble de compétences matériellement différent de la défense de réseau traditionnelle, et le chiffre de 41 % suggère que la plupart des équipes ne l’ont pas encore en interne. Pour quelqu’un décidant où investir son propre apprentissage, les données d’ISC2 sont proches d’une instruction directe : la sécurité de l’IA d’abord, la sécurité cloud en deuxième position rapprochée.
Pourquoi le recadrage compte pour votre carrière
Le passage du « déficit d’effectif » au « déficit de compétences » change le calcul de carrière de manière concrète. Une pénurie d’effectif pure récompense quiconque peut se certifier et occuper un siège ; une pénurie de compétences récompense la profondeur dans des capacités spécifiques et disputées. Les praticiens de l’étude ISC2 ne disent pas que leurs équipes sont pleinement dotées — ils disent qu’ajouter des généralistes ne résout plus leur problème, car le travail qui reste inaccompli requiert des spécialistes. Le risque de laisser ces lacunes ouvertes est bien compris dans le domaine : 72 % des répondants ont convenu que réduire le personnel de cybersécurité augmente significativement le risque de brèche, un rappel que les compétences dont le secteur manque sont précisément celles qui préviennent les incidents.
Il y a aussi une nuance côté demande qui mérite une lecture attentive. La pression budgétaire est restée un facteur réel — citée par 36 % des répondants, essentiellement stable par rapport à l’année précédente — ce qui signifie que le glissement vers les compétences se produit même alors que les contraintes économiques sur l’embauche persistent. Les employeurs veulent des capacités spécifiques et font face à des limites budgétaires, une combinaison qui favorise les professionnels capables de démontrer des compétences concrètes et demandées plutôt que ceux offrant une expérience large mais générique. Dans un marché contraint par le budget, être la personne qui comble un déficit de compétences nommé est bien plus défendable qu’être un généraliste de plus.
Publicité
Ce que cela signifie pour bâtir une carrière en cybersécurité en 2026
1. Spécialisez-vous vers la sécurité de l’IA avant qu’elle ne devienne un prérequis
Avec l’IA comme déficit de compétences le plus cité à 41 %, bâtir délibérément une profondeur en sécurité de l’IA — défendre les systèmes d’apprentissage automatique, évaluer les outils de détection IA, comprendre les attaques assistées par IA — vous positionne face à la demande la plus dynamique du domaine. Faites-le maintenant, tant que le déficit est large et les spécialistes rares, plutôt qu’après que la sécurité de l’IA soit devenue une attente de base pour chaque rôle de sécurité.
2. Associez une compétence disputée à une preuve, car les employeurs achètent des capacités, pas des diplômes
Dans un marché où 59 % des équipes signalent des besoins de compétences critiques ou significatifs mais où les budgets sont stables, un certificat seul ne vous différencie plus. Construisez des preuves démontrables — un portfolio, des laboratoires pratiques, un travail d’incident documenté, des contributions à des outils de sécurité — qui montrent que vous pouvez combler un déficit spécifique. Les employeurs contraints par le budget paieront pour une capacité prouvée bien plus volontiers que pour un potentiel.
3. Lisez le glissement compétences-plutôt-qu’effectif et cessez de concourir comme un généraliste
La fin du chiffre de déficit phare est un signal : le secteur ne croit plus qu’il lui faut simplement plus de personnes. Positionnez-vous comme la réponse à un déficit nommé — sécurité de l’IA, sécurité cloud, réponse aux incidents — plutôt que comme un candidat de plus pour un rôle d’analyste générique. Les professionnels qui prospèrent sur ce marché sont ceux qui peuvent pointer une capacité spécifique et très demandée et prouver qu’ils la possèdent.
La leçon structurelle : la profondeur bat désormais le volume
La disparition du chiffre de déficit de main-d’œuvre d’ISC2 est plus qu’une note méthodologique — elle marque le moment où le marché du travail en cybersécurité a cessé d’être principalement un problème de nombres pour devenir principalement un problème de capacités. Pendant une décennie, le récit dominant était la rareté : pas assez de personnes, des millions de sièges vides, un vivier incapable de suivre. Ce récit récompensait l’ampleur et l’entrée. Le recadrage de l’étude 2025 récompense quelque chose de différent : la profondeur dans les compétences spécifiques et disputées — l’IA en tête — que les équipes ne peuvent combler même quand elles ont le budget pour embaucher. Pour les étudiants, les personnes en reconversion et les professionnels en poste, la traduction pratique est constante : poursuivez les déficits nommés, prouvez la capacité, et traitez la sécurité de l’IA comme la spécialisation déterminante du cycle actuel. Le domaine a toujours cruellement besoin de personnes — 72 % des praticiens lient directement des équipes plus minces à un risque de brèche plus élevé — mais il a de plus en plus besoin des bonnes personnes, et savoir quelles compétences ce sont est désormais l’information de carrière la plus précieuse qu’un professionnel de la cybersécurité puisse détenir.
Questions Fréquemment Posées
Pourquoi ISC2 a-t-elle cessé de publier un chiffre de déficit de main-d’œuvre en cybersécurité ?
Dans son étude 2025 sur la main-d’œuvre en cybersécurité, ISC2 a refusé de publier une estimation du déficit mondial de main-d’œuvre pour la première fois, concluant que les répondants privilégient désormais le besoin de compétences critiques sur le besoin de plus de personnes. L’organisation a déclaré qu’elle « n’a pas inclus d’estimation du déficit de main-d’œuvre en cybersécurité cette année ». Le chiffre précédent de 2024 était d’environ 4,8 millions de postes non pourvus.
Quelles sont les compétences en cybersécurité les plus demandées dans l’étude 2025 ?
L’IA était le besoin de compétences le plus cité à 41 %, suivie de la sécurité cloud à 36 %. Globalement, 59 % des répondants ont signalé des besoins de compétences critiques ou significatifs, contre 44 % l’année précédente, et 95 % ont signalé au moins un besoin de compétences. Le saut de l’IA à la première place reflète la rapidité avec laquelle le paysage des menaces et la boîte à outils défensive se sont réorganisés autour de l’apprentissage automatique.
Que signifie le glissement de l’effectif vers les compétences pour les carrières en cybersécurité ?
Il récompense la profondeur sur l’ampleur. Une pénurie d’effectif récompense quiconque peut occuper un siège ; une pénurie de compétences récompense les spécialistes dans des capacités disputées comme la sécurité de l’IA et du cloud. La pression budgétaire étant toujours citée par 36 % des répondants, les employeurs achètent de plus en plus une capacité prouvée et spécifique plutôt qu’une expérience générique — donc les compétences démontrables et demandées comptent plus que les seuls diplômes.
Sources et lectures complémentaires
🔗 Intelligence Connexe
Analyste en cybersécurité à +367 % de croissance : la carrière tech non-IA la plus recherchée en 2026
L’ingénieur en cybersécurité en 2026 : cloud, IA et la prime salariale de 25 %
Les analystes en cybersécurité connaissent une croissance de 367% : les menaces IA stimulent le recrutement
