TJM Ingénieur cybersécurité freelance, 590 €/jour médian

Combien gagne un ingénieur cybersécurité freelance ?

590 euros par jour, mesurés sur 149 profils déclarés du baromètre Freeland. Le tarif observé au moment où ces profils candidatent s'établit à 592 euros sur 95 d'entre eux, deux mesures distinctes qui se rejoignent.

C'est la dispersion qui frappe sur ce métier. Le premier décile est à 320 euros, le neuvième à 760. Un rapport de plus du simple au double sur un même intitulé, alors que la cybersécurité passe pour un marché tendu où les prix se tiennent. La raison est dans la liste des spécialités du référentiel : un profil qui fait de la mise en conformité et un profil qui fait de l'investigation après incident portent le même titre et ne se vendent pas au même prix.

Pour un client, cela veut dire qu'une demande d'ingénieur cybersécurité sans spécialité nommée est une demande mal cadrée, et qu'elle produira un éventail de candidatures difficile à comparer autrement que sur le tarif. Pour un freelance, c'est l'inverse de la même pièce : le titre seul situe au milieu, la spécialité déplace.

Baromètre Freeland, mesure DECLARE, 149 profils déclarés, échantillon fiable.

L'IA change-t-elle le métier d'ingénieur cybersécurité ?

Des deux côtés à la fois, et c'est ce qui rend ce métier structurellement demandé. L'IA outille la détection et le tri des alertes, ce qui allège le quotidien. Elle outille aussi l'attaque, ce qui alourdit le reste. Notre lecture est que le solde est favorable au métier, parce que la charge se déplace vers ce qui ne s'automatise pas : décider quoi faire d'une alerte confirmée.

Le Cigref donne un signal intéressant sur ce point, et il est contre intuitif. Sur les neuf compétences qu'il attend d'un expert en cybersécurité, la seule qu'il place au niveau maximum n'est pas une compétence de sécurité, c'est l'innovation, décrite comme la conduite d'approches nouvelles et le pilotage d'un changement de culture. Pour un métier que l'on imagine défensif et procédural, placer la créativité au sommet en dit long sur ce qui distingue réellement un bon profil.

La section prospective de la même fiche liste les spécialités qui structurent aujourd'hui le marché, lutte informatique défensive, tests d'intrusion, cryptologie, investigation numérique, détection d'intrusions, gestion de crise cyber, direction de centre opérationnel de sécurité. C'est la grille utile pour se positionner : sur ce métier, une candidature qui ne nomme aucune de ces spécialités se compare mal.

Quelles compétences et certifications comptent en cybersécurité ?

Le référentiel Cigref adossé à la norme e-CF (NF EN 16234-1-FR) construit un profil en escalier plutôt qu'en plateau : une compétence au niveau 5, trois au niveau 4, cinq au niveau 3. L'innovation occupe le sommet, la veille technologique et l'identification des besoins suivent, et le socle proprement sécuritaire se tient au niveau 3.

Cette structure décrit un métier qui doit rester en avance sur un adversaire, et non appliquer un catalogue. Elle explique aussi le parcours inhabituellement ouvert que documente le référentiel, un bac plus cinq avec quatre à cinq ans d'expérience, ou un bac plus deux ou trois avec dix ans. Sur ce métier, l'ancienneté opérationnelle vaut le diplôme, ce qui est rare dans la nomenclature.

Le Cigref ne documente aucune certification mais précise qu'elles constituent un plus. Le marché s'appuie sur les certifications généralistes de sécurité de l'information et sur les certifications offensives quand la mission touche aux tests d'intrusion.

Niveaux e-CF, référentiel Cigref pour un poste en organisation, un repère de compétence documentée, à lire comme tel en mission freelance.

Ingénieur, consultant ou responsable sécurité, qui fait quoi ?

Trois verbes différents. L'ingénieur met en œuvre, le consultant analyse et préconise, le responsable définit et garantit. Le baromètre les paie dans cet ordre, 590 euros pour l'ingénieur, 650 pour le consultant cybersécurité, 700 pour le responsable sécurité. Faire la sécurité se paie moins cher que la conseiller, et la conseiller moins cher que la gouverner.

La Nomenclature Cigref (édition 2025) chiffre cette séparation d'une manière qu'on peut vérifier. Sur la compétence de gestion de la sécurité de l'information, elle attend le niveau 3 sur 5 pour l'expert technique et le niveau 4 pour le responsable. Un cran d'écart sur la compétence qui donne son nom au domaine, c'est la frontière entre exécuter une politique et l'écrire.

Le reste de la fiche est franchement opérationnel : établir et tenir à jour la cartographie des menaces, industrialiser le traitement des failles, analyser les relevés d'incidents et d'alertes, vérifier les plans de continuité et de reprise. Ses indicateurs sont mesurables et immédiats, nombre de failles détectées, part d'attaques déjouées, délai entre l'attaque et la réaction. Aucun autre profil de la famille sécurité ne propose des indicateurs aussi concrets.