TJM d'un ingénieur cybersécurité freelance

Trois verbes différents. L'ingénieur met en œuvre, le consultant analyse et préconise, le responsable définit et garantit. Le baromètre les paie dans cet ordre, 590 euros pour l'ingénieur, 650 pour le consultant cybersécurité, 700 pour le responsable sécurité. Faire la sécurité se paie moins cher que la conseiller, et la conseiller moins cher que la gouverner.

La Nomenclature Cigref (édition 2025) chiffre cette séparation d'une manière qu'on peut vérifier. Sur la compétence de gestion de la sécurité de l'information, elle attend le niveau 3 sur 5 pour l'expert technique et le niveau 4 pour le responsable. Un cran d'écart sur la compétence qui donne son nom au domaine, c'est la frontière entre exécuter une politique et l'écrire.

Le reste de la fiche est franchement opérationnel : établir et tenir à jour la cartographie des menaces, industrialiser le traitement des failles, analyser les relevés d'incidents et d'alertes, vérifier les plans de continuité et de reprise. Ses indicateurs sont mesurables et immédiats, nombre de failles détectées, part d'attaques déjouées, délai entre l'attaque et la réaction. Ce profil propose des indicateurs aussi concrets.

Le référentiel Cigref adossé à la norme e-CF (NF EN 16234-1-FR) construit un profil en escalier plutôt qu'en plateau : une compétence au niveau 5, trois au niveau 4, cinq au niveau 3. L'innovation occupe le sommet, la veille technologique et l'identification des besoins suivent, et le socle proprement sécuritaire se tient au niveau 3.

Cette structure décrit un métier qui doit rester en avance sur un adversaire, et non appliquer un catalogue. Elle explique aussi le parcours inhabituellement ouvert que documente le référentiel, un bac plus cinq avec quatre à cinq ans d'expérience, ou un bac plus deux ou trois avec dix ans. Sur ce métier, l'ancienneté opérationnelle vaut le diplôme, ce qui est rare dans la nomenclature.

Le Cigref reste silencieux sur les certifications précises, mais indique que les certifications en cybersécurité des SI sont un atout. Le marché s'appuie sur les certifications généralistes de sécurité de l'information et sur les certifications offensives quand la mission touche aux tests d'intrusion.

Des deux côtés à la fois, et c'est ce qui rend ce métier structurellement demandé. L'IA outille la détection et le tri des alertes, ce qui allège le quotidien. Elle outille aussi l'attaque, ce qui alourdit le reste. Notre lecture est que le solde est favorable au métier, parce que la charge se déplace vers ce qui résiste à l'automatisation : décider quoi faire d'une alerte confirmée.

Le Cigref donne un signal intéressant sur ce point, et il surprend. Sur les neuf compétences qu'il attend d'un expert en cybersécurité, la seule qu'il place au niveau maximum vient de l'innovation, décrite comme la conduite d'approches nouvelles et le pilotage d'un changement de culture. Pour un métier que l'on imagine défensif et procédural, placer la créativité au sommet en dit long sur ce qui distingue réellement un bon profil.

La section prospective de la même fiche liste les spécialités qui structurent aujourd'hui le marché, lutte informatique défensive, tests d'intrusion, cryptologie, investigation numérique, détection d'intrusions, gestion de crise cyber, direction de centre opérationnel de sécurité. C'est la grille utile pour se positionner : sur ce métier, une candidature qui nomme ces spécialités se compare favorablement.