Résumé

Les cyberattaques répétées semblent créer un paradoxe pour l’investisseur. Si les commerces, les établissements financiers et les services publics subissent encore des incidents perturbateurs, pourquoi les marchés valorisent-ils parfois davantage les entreprises de cybersécurité ? Cette étude présente les principaux métiers du secteur, les acteurs à l’origine des menaces, les cadres réglementaires régionaux et les dynamiques concurrentielles, avant d’examiner le potentiel d’investissement. Les incidents survenus dans des supermarchés français et chez Revolut montrent pourquoi il est impossible de déduire les ventes des fournisseurs du seul nombre d’attaques médiatisées. Les défaillances n’étaient pas de même nature et n’appelaient pas les mêmes réponses. Les dépenses mondiales devraient continuer à croître, sans pour autant garantir un rendement intéressant à chaque fournisseur ou actionnaire. La cybersécurité bénéficie de moteurs économiques et réglementaires durables, mais la performance dépendra des entreprises capables de remporter les contrats, de transformer leur croissance en trésorerie et de ne pas être achetées à un prix excessif.

Mots-clés

Cybersécurité, sécurité informatique, logiciels de sécurité, résilience numérique, plateformes, analyse d’investissement

1. Introduction

Les incidents de cybersécurité sont désormais visibles bien au-delà du secteur technologique. Le 12 octobre 2026, des contrôleurs de réfrigération connectés utilisés dans des supermarchés français ont été compromis. Des réfrigérateurs et des congélateurs se sont réchauffés et des aliments ont dû être jetés. L’Agence nationale de la sécurité des systèmes d’information, l’ANSSI, a ensuite indiqué que plusieurs interfaces d’administration à distance étaient exposées directement à Internet. Dans un autre cas, Revolut a signalé que des données de clients avaient été transmises à des pirates après que des employés ont été trompés par une demande frauduleuse envoyée depuis le système de messagerie d’une administration italienne. Rien n’indiquait que les systèmes de Revolut avaient eux-mêmes été pénétrés. Enfin, une interruption de service le 20 octobre a été attribuée à une panne de Google Cloud. Ces événements témoignent tous de notre dépendance au numérique, mais ils ne relèvent pas du même type d’incident. [7][8][9][10]

Ces différences sont importantes pour l’investisseur. Une compromission peut venir d’une vulnérabilité logicielle, d’un équipement mal configuré, d’un contrôle d’identité insuffisant, d’un fournisseur compromis ou d’une panne d’infrastructure. Chaque cas met en cause une partie différente du dispositif de sécurité et peut susciter une demande pour d’autres produits ou services. Le nombre d’attaques relayées dans les médias ne permet donc pas, à lui seul, de savoir quel fournisseur en tirera parti.

Cette étude cherche à déterminer si la cybersécurité constitue un thème d’investissement crédible et quels éléments examiner avant de choisir une entreprise ou un fonds. Elle décrit d’abord le marché, puis les moteurs de la demande, la concurrence entre fournisseurs et le paradoxe de défaillances qui coexistent avec la progression des cours. Elle compare aussi les États-Unis, Israël, l’Europe et la Chine, où la réglementation, les règles de commande publique et les contraintes géopolitiques diffèrent. Le besoin de cybersécurité et le caractère attractif d’une action donnée sont deux questions distinctes.

2. Ce que recouvre le marché de la cybersécurité

La cybersécurité ne correspond pas à une seule catégorie de produits. Les entreprises achètent des outils pour protéger leurs appareils, leurs réseaux, les identités numériques, leurs applications dans le cloud, leurs courriels et leurs données. Elles recourent aussi à la surveillance, à la réponse aux incidents, aux tests d’intrusion, au conseil et aux services de détection externalisés. La sécurité des technologies opérationnelles protège les équipements qui commandent des processus physiques, notamment dans l’industrie, les bâtiments, l’énergie et le transport. Certains fournisseurs se spécialisent dans une seule couche ; d’autres regroupent plusieurs fonctions dans une plateforme.

L’estimation de la taille du marché dépend de ce qui est comptabilisé. En juillet 2025, Gartner prévoyait environ 240 milliards de dollars de dépenses mondiales en sécurité informatique en 2026, contre 193 milliards en 2024. Cette estimation incluait les logiciels, les services et la sécurité des réseaux. Elle porte sur les dépenses des clients, et non sur le seul chiffre d’affaires des spécialistes cotés. Une part importante revient aux grands groupes technologiques, aux cabinets de conseil, aux équipes internes, aux opérateurs télécoms et aux fournisseurs de matériel. [1]

L’analyse de Gartner sur les parts de marché des logiciels de sécurité montre aussi que ce secteur n’est pas homogène. Pour 2024, Gartner évaluait la catégorie à 95 milliards de dollars, en hausse de 13,9 %, avec Microsoft, Cisco et Gen Digital en tête selon sa mesure globale. L’analyse 2025 souligne la consolidation des plateformes et l’intégration de l’intelligence artificielle générative. Le premier fournisseur en chiffre d’affaires global n’est donc pas forcément le spécialiste qui croît le plus vite, domine la protection des terminaux ou équipe les réseaux industriels. [2][3]

3. Les principales disciplines de la cybersécurité

On comprend mieux le secteur en classant les solutions selon le risque auquel elles répondent. La sécurité réseau contrôle les échanges entre systèmes, au moyen notamment de pare-feu, d’accès sécurisés et de protections contre les attaques par déni de service. La sécurité des terminaux protège les ordinateurs, serveurs et appareils mobiles grâce à l’antivirus, à la détection et à la réponse aux menaces. La gestion des identités vérifie les utilisateurs et limite leurs droits. La sécurité des applications et des interfaces de programmation recherche les faiblesses dans les logiciels. La sécurité du cloud surveille les configurations, les identités, les charges de travail et les données hébergées chez des fournisseurs de cloud.

D’autres disciplines se concentrent sur des actifs particuliers ou sur les étapes d’un incident. La sécurité des données s’appuie sur le chiffrement, les droits d’accès, la classification et la prévention des fuites. La sécurité des courriels filtre les messages malveillants et les tentatives d’usurpation. La gestion des vulnérabilités sert à repérer les faiblesses et à les corriger selon leur gravité. Les centres opérationnels de sécurité rassemblent journaux informatiques, renseignements sur les menaces et logiciels de détection. Les équipes de réponse enquêtent sur les compromissions et les contiennent. Les outils de sauvegarde et de restauration aident à reprendre l’activité après un rançongiciel ou une attaque destructive. La sécurité des technologies opérationnelles protège aussi les systèmes industriels, les infrastructures énergétiques, les bâtiments connectés et des équipements comme les contrôleurs de réfrigération concernés en France.

Ces catégories se recoupent. Un courriel d’hameçonnage peut exploiter une identité compromise, installer un logiciel malveillant sur un ordinateur puis donner accès à un compte cloud. Un client peut alors acheter plusieurs produits d’une même plateforme ou combiner des solutions spécialisées. Le Cadre de cybersécurité 2.0 du NIST propose une grille utile : gouverner, identifier, protéger, détecter, répondre et rétablir. La cybersécurité ne se limite donc pas à prévenir l’intrusion. La gouvernance et l’inventaire des actifs orientent les choix de protection ; la réponse et la restauration déterminent l’ampleur des dommages. Aucun outil isolé ne résout à lui seul toutes les défaillances. [19]

4. Qui mène les cyberattaques, et dans quel but ?

Les acteurs poursuivent des objectifs différents et disposent de moyens très variables. Les groupes criminels recherchent un gain financier par le rançongiciel, le vol ou l’extorsion de données, le vol d’identifiants, la fraude aux paiements ou la compromission de courriels professionnels. Leur activité prend souvent la forme d’un écosystème plutôt que d’un gang unique. Certains développent les logiciels malveillants, d’autres vendent des identifiants ou des accès initiaux, tandis que des affiliés mènent les intrusions contre une part des revenus. Le modèle « rançongiciel en tant que service » fournit outils, infrastructure et assistance aux affiliés, ce qui abaisse les barrières techniques et financières. Des individus peuvent ainsi participer à une opération professionnelle sans appartenir à une organisation centralisée.

Les groupes liés à un État cherchent plus souvent à espionner, recueillir du renseignement, obtenir un avantage stratégique ou militaire, voler de la propriété intellectuelle ou perturber des services. Des organismes publics et des chercheurs attribuent certaines opérations à des groupes associés à la Russie, à la Chine, à l’Iran ou à la Corée du Nord. Ces attributions reflètent des évaluations, et ne prouvent pas que chaque opérateur est un fonctionnaire. Les objectifs peuvent se chevaucher : le rapport 2026 d’ENISA relève l’emploi d’outils criminels par certains groupes liés à des États. Les hacktivistes poursuivent des objectifs idéologiques ou politiques, souvent par la perturbation de sites ou des attaques par déni de service. Des employés, des sous-traitants et des individus opportunistes peuvent aussi provoquer des dommages, par malveillance, erreur ou usage abusif d’un accès légitime.

La distinction entre ces catégories est utile, mais elle n’est pas toujours nette. Dans les activités d’espionnage informatique dirigées contre l’Union européenne en 2025, ENISA a associé 47,6 % des groupes recensés à la Russie, 15,5 % à la Chine, 14,1 % à la Corée du Nord et 9 % à l’Iran. Ces proportions décrivent uniquement les groupes classés dans ce jeu de données européen. Elles ne mesurent pas l’origine de toutes les cyberattaques et ne déterminent pas la nationalité de chaque opérateur. ENISA observe également une convergence des outils et méthodes entre cybercriminels, hacktivistes et groupes liés à des États, ce qui complique l’attribution. La localisation d’un serveur ne révèle pas l’identité de son utilisateur ni l’éventuel rôle d’un gouvernement. Les attaquants peuvent passer par des appareils compromis, des services commerciaux et plusieurs juridictions. Les incitations criminelles et la rivalité géopolitique soutiennent la demande de protection, mais l’origine précise d’une attaque reste souvent incertaine. [20]

5. Pourquoi la demande continue de progresser

Le premier moteur est l’expansion de l’environnement numérique à protéger. Le cloud, le travail à distance, les paiements mobiles, les appareils connectés et les chaînes d’approvisionnement logicielles multiplient les points d’accès et les dépendances. L’incident des supermarchés français en est une illustration concrète. L’équipement de réfrigération était connecté pour permettre la maintenance à distance, mais une interface d’administration exposée a ouvert une voie vers un processus physique. L’ANSSI a recommandé de retirer l’exposition directe à Internet, de restreindre les accès à distance par un réseau sécurisé ou un VPN, de mettre à jour les logiciels internes et de remplacer les mots de passe par défaut. Le périmètre de sécurité comprend désormais des équipements pouvant appartenir à une entreprise, être entretenus par un prestataire et se connecter au réseau d’un tiers. [7]

L’intelligence artificielle peut renforcer la défense comme les capacités d’attaque. Des outils automatisés peuvent aider à repérer des failles, rédiger des messages trompeurs et agir plus rapidement. Les défenseurs peuvent s’en servir pour détecter des comportements anormaux, hiérarchiser les vulnérabilités et automatiser certaines réponses. Gartner cite l’usage croissant de l’IA par les attaquants et les défenseurs parmi les moteurs des dépenses. L’opportunité commerciale dépend toutefois de la capacité d’un fournisseur à démontrer que ses solutions améliorent suffisamment la détection ou la réponse pour justifier leur coût. [1]

La réglementation constitue un autre moteur, particulièrement en Europe. La directive NIS2 impose des obligations de gestion des risques et de déclaration des incidents aux entités de 18 secteurs essentiels ou importants. Dans son rapport 2025 sur les investissements liés à NIS, ENISA a interrogé 1 080 organisations de l’Union. Les dépenses de cybersécurité représentaient environ 9 % des budgets informatiques et le budget médian atteignait 1,5 million d’euros. Soixante-dix pour cent des répondants citaient la conformité comme principal moteur des investissements récents. L’échantillon était composé à 83 % de grandes organisations ; ces montants ne décrivent donc pas le budget type d’une petite entreprise. Les répondants signalaient aussi des pénuries de personnel, des difficultés de mise à jour et des lacunes dans la continuité d’activité et la gestion des fournisseurs. Les règles peuvent élargir le marché, sans déterminer quel fournisseur recevra le budget ni si l’entreprise privilégiera un logiciel, un prestataire ou ses propres équipes. [4][5]

Ces facteurs expliquent pourquoi la demande peut rester soutenue après un incident. Une compromission entraîne parfois une enquête, des mesures correctives, un examen par l’assureur, des frais juridiques et l’ajout de contrôles. Les nouvelles obligations peuvent concerner tout un secteur. Toutefois, la réaction budgétaire peut prendre des mois ou des années, et profiter aux consultants, aux fournisseurs de cloud, aux prestataires déjà en place ou aux équipes internes plutôt qu’à un spécialiste coté.

6. Pourquoi les incidents peuvent coexister avec la croissance du marché

Le paradoxe vient en partie d’une attente irréaliste : la cybersécurité ne promet pas de supprimer tout risque. Elle regroupe des contrôles destinés à réduire la probabilité et l’impact d’une attaque. Une organisation peut subir une intrusion parce que des contrôles manquaient, étaient mal configurés ou ont été contournés. Cela ne prouve pas que tous les produits de sécurité sont inefficaces.

Dans les supermarchés, la faiblesse immédiate n’était pas nécessairement un exploit sophistiqué. L’ANSSI indique que l’exposition directe à Internet d’une interface de gestion enfreint les bonnes pratiques. La correction exige un inventaire précis des équipements, une répartition claire des responsabilités entre le distributeur et son prestataire et une maintenance suivie. Une plateforme de détection avancée ne protège pas un équipement dont l’entreprise ignore la connexion ou qui reste exposé sans mise à jour disponible. [7]

L’incident de Revolut relève d’un autre type de défaillance. Selon Reuters, l’entreprise a été trompée par une demande qui semblait provenir d’une administration italienne. Le ministre italien de l’Intérieur a indiqué que la demande aurait dû être vérifiée par des contrôles élémentaires. Le cas concerne l’identité, les procédures et l’ingénierie sociale, plutôt qu’une intrusion directe dans le réseau de Revolut. Il montre que la cybersécurité dépend aussi des méthodes de travail et de la vérification des demandes officielles. [9]

La panne de services de Revolut le 20 octobre doit être distinguée de cette divulgation de données. Reuters l’a reliée à une interruption chez Google Cloud. Une panne touche d’abord la disponibilité et la résilience ; la continuité d’activité et la gestion du risque lié aux fournisseurs font toutefois partie de la cybersécurité au sens large. Lorsqu’un grand nombre de services reposent sur la même infrastructure, une défaillance peut se propager. Il s’agit d’un risque de concentration du cloud, et non de la preuve que Revolut a été piraté ce jour-là. [10]

Pour les fournisseurs, un incident peut soutenir la demande si le client achète de nouveaux outils, services ou capacités de surveillance. Il peut aussi révéler les limites d’un produit, diminuer la confiance ou inciter le client à changer de prestataire. Lorsqu’un fournisseur est lui-même compromis ou qu’une faille touche un produit largement utilisé, il peut supporter les coûts de correction, les risques juridiques et la perte de renouvellements. Un même événement est donc favorable à la thèse générale du besoin de sécurité et défavorable à certaines entreprises.

7. Comment les fournisseurs se livrent concurrence

Il est préférable d’analyser la concurrence par fonction de sécurité plutôt qu’au moyen d’un classement unique. Les solutions pour terminaux surveillent les ordinateurs et serveurs. La sécurité réseau filtre les échanges. Les produits cloud protègent les applications et les charges de travail hébergées. Les outils de gestion des identités contrôlent l’authentification et les droits d’accès. Les plateformes des centres opérationnels regroupent différentes données pour aider à détecter et traiter les incidents. Les prestataires de sécurité managée fournissent surveillance et expertise aux entreprises qui ne disposent pas des équipes nécessaires.

Les grands fournisseurs cherchent à réunir plusieurs fonctions dans un même contrat. Les résultats du quatrième trimestre de son exercice 2026 illustrent l’échelle de Palo Alto Networks : son chiffre d’affaires trimestriel atteignait 3,41 milliards de dollars, en hausse de 34 % sur un an, et le revenu récurrent annualisé de ses activités de sécurité de nouvelle génération s’élevait à 9,10 milliards. Au deuxième trimestre de son exercice 2027, CrowdStrike a publié 1,47 milliard de dollars de chiffre d’affaires, en hausse de 26 %, et 5,84 milliards de revenus récurrents annualisés. Fortinet a annoncé 2,05 milliards de dollars de revenus trimestriels, en progression de 26 %, et une marge opérationnelle GAAP de 34 %. Le chiffre d’affaires de Zscaler pour son exercice 2026 a augmenté de 25 %, à 3,35 milliards. Les périodes, définitions de revenus récurrents et offres diffèrent. Ces données illustrent la croissance de plusieurs sociétés, et non la domination incontestée d’une seule. [11][12][13][14]

Les sociétés plus matures peuvent croître moins vite tout en restant rentables. Au deuxième trimestre 2026, Check Point Software a enregistré une progression de 1 % de son chiffre d’affaires, à 674 millions de dollars, tandis que ses revenus d’abonnements progressaient de 12 %. Sa marge opérationnelle GAAP était de 27 %. Ce profil correspond à une entreprise installée, dont les nouvelles offres par abonnement croissent plus vite que les ventes totales. La composition des revenus et les renouvellements comptent autant que la croissance globale du marché. [15]

Les grands groupes technologiques concurrencent les spécialistes en intégrant la sécurité au cloud, aux systèmes d’exploitation, aux réseaux ou aux outils de productivité. Microsoft et Cisco figurent parmi les plus grands fournisseurs mondiaux selon les parts de marché de Gartner. Leur base de clients et leurs offres groupées compliquent l’obtention de nouveaux contrats par les spécialistes, même lorsqu’un produit dédié est plus performant dans une catégorie. Les spécialistes peuvent répondre par une protection plus profonde, une innovation rapide ou des services mieux ciblés. La consolidation des plateformes et l’intégration de l’IA peuvent accélérer certains fournisseurs tout en fragilisant d’autres. [2][3]

Les modèles économiques diffèrent aussi. Les abonnements logiciels peuvent générer des revenus récurrents et des marges brutes élevées, mais requièrent des dépenses continues en recherche, vente et assistance. Le matériel et les produits réseau peuvent créer une base installée qui soutient les abonnements et les services. Le conseil et la réponse aux incidents profitent d’une demande urgente, mais dépendent davantage de la main-d’œuvre qualifiée. La sécurité managée peut fidéliser les clients tout en entraînant des coûts de personnel et de prestation.

8. Panorama régional

Les États-Unis accueillent plusieurs fournisseurs cotés de grande taille, dont Palo Alto Networks, CrowdStrike, Fortinet et Zscaler. Leurs résultats donnent des indications sur la croissance des abonnements, la fidélisation et la trésorerie, sans pour autant représenter l’ensemble du marché. Les acheteurs tiennent aussi compte de la localisation des données, de la dépendance aux fournisseurs, des règles de commande publique et des risques géopolitiques. [11][12][13][14]

Israël possède une industrie de sécurité informatique établie. Check Point Software, société cotée d’origine israélienne, sert des clients dans le monde entier. Ses résultats du deuxième trimestre 2026 combinaient une faible croissance du chiffre d’affaires total, une progression plus rapide des abonnements de sécurité et une marge opérationnelle GAAP de 27 %. L’origine géographique d’une entreprise ne suffit toutefois pas à déterminer sa qualité technique ou son intérêt boursier. Il faut examiner ses produits, ses clients, son exécution, ses comptes et son exposition aux risques régionaux. [15]

En Europe, les fournisseurs spécialisés côtoient les activités de cybersécurité de groupes diversifiés de défense, de télécommunications et de technologie. Le chiffre d’affaires global de ces groupes peut inclure de nombreuses activités hors cybersécurité. Thales, par exemple, a signalé une hausse de 1,6 % de ses ventes dans sa branche Cyber and Digital au premier semestre 2026. Les données par segment sont nécessaires pour estimer la part de ses résultats réellement liée à la cybersécurité. La souveraineté numérique et les chaînes d’approvisionnement de confiance influencent également les achats. [16]

La Chine présente un environnement commercial et politique différent. En août 2026, Reuters a rapporté l’ouverture d’un examen de sécurité visant les produits de Palo Alto Networks. Des demandes antérieures de remplacement de logiciels américains et israéliens par des solutions nationales illustrent également le rôle des choix de politique industrielle dans les achats. Ces orientations peuvent soutenir les fournisseurs locaux et limiter l’accès des sociétés étrangères. [17]

La cybersécurité constitue un besoin mondial, mais pas un marché mondial uniforme. Les États-Unis et Israël comptent des spécialistes cotés importants. L’Europe associe fournisseurs dédiés, grands groupes diversifiés et préoccupations de souveraineté. En Chine, les examens de sécurité nationale et la politique technologique intérieure influencent plus directement la concurrence. La croissance mondiale ne suffit donc pas à prévoir les rendements d’une entreprise.

9. Comment la réglementation façonne la demande

La réglementation peut rendre certaines dépenses plus prévisibles, mais son impact dépend du pays, du type d’organisation et des solutions concernées. Dans l’Union européenne, NIS2 impose des règles de gestion des risques et de déclaration des incidents à des entités importantes dans 18 secteurs. La directive traite notamment de gouvernance, de fournisseurs, de vulnérabilités, de continuité d’activité et de réponse aux incidents. DORA, applicable aux établissements financiers depuis janvier 2025, encadre leur résilience opérationnelle numérique, les tests et la surveillance de prestataires technologiques critiques. Le règlement sur la cyberrésilience introduit des obligations applicables aux fabricants de produits comportant des éléments numériques. La plupart de ses règles s’appliqueront à partir de décembre 2027 ; certaines obligations de déclaration entrent en vigueur plus tôt. Ces textes peuvent favoriser les évaluations, la surveillance et la sécurité des produits, mais les organisations peuvent aussi s’appuyer sur leurs équipes, leurs consultants ou leurs fournisseurs existants. [5][21][22]

En janvier 2026, la Commission européenne a proposé des ajustements destinés à clarifier et simplifier certains éléments du cadre européen. À la date de clôture de cette étude, il s’agissait toujours de propositions et non de règles adoptées. Les consultations, négociations et transpositions nationales peuvent retarder ou modifier les effets sur les dépenses. La date d’annonce d’une règle ne correspond pas forcément au début des revenus récurrents pour les fournisseurs. [6]

Aux États-Unis, les obligations sont plus fragmentées entre autorités fédérales, États et secteurs. La Securities and Exchange Commission demande aux sociétés cotées de déclarer les incidents importants sur le formulaire 8-K, généralement dans les quatre jours ouvrés suivant la décision de les juger importants, et de décrire leur gouvernance et leur gestion des risques dans leurs rapports annuels. Le cadre NIST Cybersecurity Framework 2.0 est une référence importante, mais ne constitue pas une loi universelle pour toutes les entreprises privées. Les règles sectorielles, les normes des marchés publics et les lois des États complètent ce dispositif. [23][24]

En Chine, la loi sur la cybersécurité, la loi sur la sécurité des données et la loi sur la protection des informations personnelles s’accompagnent d’examens de sécurité nationale et de règles sur certains transferts de données transfrontaliers. La version révisée de la loi sur la cybersécurité est entrée en vigueur le 1er janvier 2026. Ces textes déterminent le traitement des données et l’exploitation des réseaux, tandis que les examens de sécurité peuvent restreindre l’accès de fournisseurs étrangers. Une entreprise doit donc tenir compte de ses capacités de conformité locale, de son architecture de données et de son acceptabilité politique, en plus de la qualité de ses produits. [25][26][28]

Cette comparaison est représentative, et non un inventaire juridique exhaustif pays par pays. Dans toutes ces régions, des règles plus strictes peuvent élargir les besoins de sécurité sans garantir la croissance d’un fournisseur donné. Elles peuvent d’abord soutenir le conseil et l’audit, favoriser des prestataires déjà intégrés aux systèmes du client ou augmenter les coûts de certification et d’exploitation locale. La question d’investissement porte sur les budgets concernés, le calendrier et le coût de conformité, pas simplement sur le nombre de nouvelles règles.

10. Ce qui pourrait changer à l’avenir

L’intelligence artificielle transformera probablement les deux côtés du marché. Les attaquants peuvent générer des tentatives d’usurpation plus convaincantes, automatiser la reconnaissance et adapter des logiciels malveillants. Les défenseurs peuvent classer les alertes, rapprocher les signaux et accélérer certaines réponses. Le rapport 2026 d’ENISA décrit l’intégration de l’IA dans des activités malveillantes et estime qu’elle abaisse les barrières à certaines formes de cybercriminalité. Les fournisseurs devront démontrer une amélioration réelle de la protection ou de la rapidité de réaction. À défaut, les fonctions d’IA risquent de devenir des options standard intégrées aux plateformes existantes, ce qui réduirait la capacité de différenciation et de tarification des spécialistes. [20]

La concentration du cloud, les systèmes d’identité et la sécurité des logiciels tiers resteront probablement déterminants. Un petit nombre de fournisseurs cloud et d’identité soutient une grande part des activités numériques. Une panne ou une compromission peut donc se propager entre secteurs. Les technologies opérationnelles deviendront également plus connectées dans les usines, les réseaux énergétiques, les transports et les bâtiments. L’incident des réfrigérateurs montre qu’une faiblesse informatique peut interrompre des opérations physiques et détruire des stocks. L’adoption de nouvelles protections peut cependant rester lente si les équipements sont anciens ou difficiles à remplacer.

L’informatique quantique est un sujet de préparation à long terme, et non une raison d’affirmer que le chiffrement actuel est déjà compromis. Le NIST a publié des standards cryptographiques post-quantiques et recommande aux organisations d’inventorier leurs systèmes cryptographiques et de planifier leur migration, en particulier lorsque des données doivent rester confidentielles pendant de nombreuses années. Cette transition pourrait soutenir des prestations d’inventaire et de mise en œuvre, mais les budgets, le calendrier et la part de revenus qui reviendront aux entreprises cotées restent incertains. [27]

Une autre évolution consiste à passer de la prévention de toute intrusion à la mesure de la résilience : combien de temps faut-il pour détecter l’attaque, isoler les systèmes, maintenir les services essentiels et restaurer les données ? Les nouvelles règles abordent de plus en plus la gouvernance, la déclaration d’incidents et les fournisseurs, en plus des protections techniques. Le marché dépasse ainsi les logiciels et s’étend au cloud, au conseil, à l’assurance, à la continuité et aux budgets informatiques internes. Il devient aussi plus difficile à mesurer.

11. Le secteur est-il dans une bulle ? Comment l’évaluer ?

Une croissance du marché ne constitue qu’un point de départ. Il faut aussi déterminer si une entreprise transforme les besoins en revenus durables, fidélise ses clients, résiste aux offres groupées des grands groupes et génère de la trésorerie après ses dépenses de vente et de recherche. Parmi les indicateurs utiles figurent la croissance du chiffre d’affaires, les revenus récurrents, les renouvellements et ventes additionnelles, les marges brute et opérationnelle, le flux de trésorerie disponible, la rémunération en actions et les acquisitions. Les obligations de performance restantes donnent une indication des contrats à exécuter, mais ne correspondent pas à des liquidités déjà reçues.

La valorisation est l’autre moitié de l’analyse. Une entreprise qui croît vite peut générer un mauvais rendement si son cours intègre des attentes trop élevées ou si sa croissance ralentit. Une société plus mature peut être intéressante à un prix raisonnable et avec des flux de trésorerie solides. Le ratio cours/chiffre d’affaires ne suffit pas lorsque les marges, la fidélisation, les acquisitions et la comptabilité diffèrent. Il faut comparer la croissance attendue à la rentabilité, à la trésorerie et au prix payé.

Un article de Wall Street Journal Pro publié en octobre 2026 décrit une forte baisse récente des actions de cybersécurité. Son indice sectoriel avait chuté de 16,4 %, contre 4,5 % pour le Nasdaq Composite, sur fond d’inquiétudes liées à l’effet de l’IA sur la demande et sur les éditeurs de logiciels établis. Ce mouvement de quelques jours ne détermine pas la valeur à long terme du secteur, mais montre que les anticipations de concurrence et d’évolution technologique peuvent l’emporter sur une thèse de demande positive. [18]

Les éléments de cette étude ne suffisent pas à qualifier l’ensemble du secteur de bulle. Une prévision de hausse des dépenses ne dit pas quel prix payer pour une entreprise donnée. Pour tester une surévaluation, il faut comparer la valeur d’entreprise au chiffre d’affaires et aux flux de trésorerie futurs, puis juger si la croissance, la fidélisation et les marges peuvent répondre aux attentes intégrées dans le cours. Les multiples élevés deviennent plus fragiles lorsque les coûts d’acquisition augmentent, que la rémunération en actions dilue les actionnaires, que la concurrence réduit les marges ou que la croissance ralentit. Un besoin réel et des actions trop chères peuvent coexister.

L’analyse doit distinguer la tendance structurelle du marché et la thèse d’investissement. Le besoin durable repose sur la dépendance numérique, la réglementation et le coût des interruptions. L’investissement, lui, dépend de l’entreprise et du prix payé. Il faut comparer la croissance organique aux acquisitions, les abonnements aux prestations ponctuelles et le bénéfice opérationnel à la trésorerie disponible après rémunération et investissements. La question est de savoir si les flux futurs justifient le prix, non si les attaques font peur ou si le thème est à la mode.

Les risques propres aux entreprises comprennent les incidents visant leurs propres produits, la concurrence de groupes capables d’inclure la sécurité dans des contrats cloud ou logiciels, la consolidation des fournisseurs, le manque de spécialistes, les coûts de conformité et l’automatisation par l’IA de certaines tâches actuellement vendues comme premium.

12. Place dans un portefeuille et modalités d’investissement

L’importance stratégique du secteur ne détermine pas la part à lui consacrer dans un portefeuille. Les actions de cybersécurité restent des actions : leurs rendements dépendent de l’exécution des entreprises, des valorisations et de l’évolution des titres de croissance. Un fournisseur peut servir ses clients pendant un ralentissement économique et voir malgré tout son cours baisser si ses résultats déçoivent ou si les investisseurs sont moins disposés à payer pour sa croissance. Il faut donc analyser ce thème au regard de la répartition globale, de l’horizon d’investissement, des besoins de liquidité et de la tolérance aux pertes, sans le confondre avec un portefeuille diversifié.

L’exposition peut passer par des actions individuelles, un fonds dédié à la cybersécurité ou des fonds technologiques et actions plus larges. Les titres individuels offrent davantage de contrôle, mais concentrent les risques liés aux produits, à la direction et aux clients. Un fonds sectoriel répartit le risque propre à chaque entreprise entre plusieurs fournisseurs, tout en restant concentré dans une industrie. Sa composition dépend de la méthodologie de l’indice suivi. Selon les recommandations de FINRA, les fonds sectoriels n’apportent pas la même diversification qu’un fonds de marché large ; un fonds indiciel n’est diversifié qu’à hauteur de l’indice qu’il suit. [29][30]

Une revue pratique comparerait les positions directes aux titres déjà détenus dans les fonds. Un fonds technologique ou de marché peut déjà investir dans de grands fournisseurs de sécurité ou des groupes diversifiés qui possèdent des activités importantes dans ce domaine. Ajouter un fonds cybersécurité peut accroître l’exposition aux mêmes sociétés, aux mêmes valorisations logicielles ou aux mêmes facteurs de croissance sans apporter autant de diversification supplémentaire que ne le laisse penser son nom. Il faut examiner le nombre de positions, les principaux poids, les pays, les frais, la liquidité et les règles de rééquilibrage, puis comparer avec un fonds large ou des titres individuels.

La bonne question est celle du rôle recherché. L’investisseur peut s’intéresser à la cybersécurité parce que la demande paraît durable, pour s’exposer à un thème technologique précis, ou parce que son portefeuille comporte déjà beaucoup de valeurs technologiques. Ces motifs sont différents et peuvent mener à des décisions différentes. Cette étude décrit le secteur et les critères de l’analyse, mais une comparaison d’entreprises ou un examen du portefeuille reste nécessaire avant de juger si une action ou un fonds convient à un investisseur donné.

13. Conclusion

La cybersécurité peut constituer un thème d’investissement de long terme crédible. Les organisations doivent protéger un nombre croissant de systèmes numériques et physiques ; les autorités fixent des attentes plus précises ; les outils de sécurité deviennent une infrastructure ordinaire des entreprises. Les prévisions de Gartner et l’enquête d’ENISA indiquent que les budgets du secteur sont importants et devraient le rester. Toutefois, une attaque réussie ne se traduit pas automatiquement par des ventes pour les fournisseurs. Les réfrigérateurs des supermarchés français ont révélé des faiblesses opérationnelles élémentaires ; la divulgation de données chez Revolut fait suite à une demande frauduleuse mal vérifiée ; la panne ultérieure provenait d’un prestataire cloud. Ces incidents appellent des contrôles différents et peuvent profiter à d’autres segments du marché.

Aucune entreprise ne domine toutes les disciplines ni tous les pays. Les plateformes, les spécialistes logiciels, les fournisseurs de matériel et les services managés se partagent des budgets distincts. Les États-Unis et Israël accueillent des sociétés cotées visibles ; l’Europe associe réglementation et souveraineté numérique ; l’accès au marché chinois peut dépendre de considérations de sécurité nationale. La croissance globale ne suffit donc pas à prévoir les rendements futurs.

La conclusion d’investissement reste conditionnelle. Le secteur mérite une analyse approfondie, mais la seule existence d’attaques ne rend pas une action de cybersécurité attractive. Il faut identifier l’avantage concurrentiel de l’entreprise, la récurrence et la rentabilité de ses revenus, son exposition géographique et la valorisation payée. La suite logique serait une comparaison plus ciblée d’entreprises. Un article Macro to Portfolio pourrait ensuite analyser la continuité des activités, les chaînes d’approvisionnement, la concentration du cloud et le risque de portefeuille.

[1] Gartner. “Gartner Forecasts Worldwide End-User Spending on Information Security to Total $213 Billion in 2025.” 29 July 2025. Forecast table includes 2026 estimates. Lien vers la source

[2] Gartner. “Market Share Analysis: Security Software, Worldwide, 2024.” 4 August 2025. Lien vers la source

[3] Gartner. “Market Share: Security Software, Worldwide, 2025.” 8 May 2026. Lien vers la source

[4] European Union Agency for Cybersecurity (ENISA). “What’s Driving Cybersecurity Investments and Where Lie the Challenges?” 8 December 2025. Summary of the 2025 NIS Investments report. Lien vers la source

[5] European Commission. “NIS2 Directive.” Overview of EU cybersecurity risk-management and reporting requirements. Lien vers la source

[6] European Commission. “Cybersecurity Package Questions and Answers.” 20 January 2026. Describes proposed amendments to NIS2 and a proposed Cybersecurity Act. Lien vers la source

[7] Agence nationale de la sécurité des systèmes d’information (ANSSI), CERT-FR. “Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération.” Alert first issued 12 October 2026, updated 16 October 2026. Lien vers la source

[8] Reuters. “Hackers Heat French Supermarket Fridges, Sparking Fires and Spoiling Food.” 12 October 2026, updated 13 October 2026. Lien vers la source

[9] Reuters. “Revolut Will Cover Costs for Customers Hit by Data Hack, Western Europe CEO Says.” 7 October 2026. Lien vers la source

[10] Reuters. “Revolut Says Some Services Back Online After Outage.” 20 October 2026. Lien vers la source

[11] Palo Alto Networks. “Palo Alto Networks Reports Fiscal Fourth Quarter and Fiscal Year 2026 Financial Results.” 1 September 2026. Lien vers la source

[12] CrowdStrike. “CrowdStrike Reports Second Quarter Fiscal Year 2027 Financial Results.” 26 August 2026. Lien vers la source

[13] Fortinet. “Fortinet Reports Strong Second Quarter 2026 Financial Results.” 29 July 2026. Lien vers la source

[14] Zscaler. “Zscaler Announces Strong Fourth Quarter and Fiscal 2026 Financial Results.” 3 September 2026. Lien vers la source

[15] Check Point Software. “Check Point Software Second Quarter 2026 Financial Results.” 30 July 2026. Lien vers la source

[16] Thales. “Thales Reports Its 2026 Half-Year Results.” 23 July 2026. Lien vers la source

[17] Reuters. “China Launches Cybersecurity Review into Palo Alto Networks Products.” 6 August 2026. Lien vers la source

[18] The Wall Street Journal Pro. “Cybersecurity Stocks Whipsaw Over AI Anxiety.” October 2026. Lien vers la source

[19] National Institute of Standards and Technology (NIST). “The NIST Cybersecurity Framework (CSF) 2.0.” 26 February 2024. Lien vers la source

[20] European Union Agency for Cybersecurity (ENISA). “ENISA Threat Landscape 2026.” September 2026. Analysis of incidents and threat activity affecting the EU during 2025. Lien vers la source

[21] European Union. Regulation (EU) 2022/2554, the Digital Operational Resilience Act (DORA). Applicable since 17 January 2025. Lien vers la source

[22] European Union. Regulation (EU) 2024/2847, the Cyber Resilience Act. Application dates set out in Article 71. Lien vers la source

[23] U.S. Securities and Exchange Commission. “Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure.” Small Business Compliance Guide, updated 30 August 2023. Lien vers la source

[24] National Institute of Standards and Technology (NIST). “Cybersecurity Framework.” CSF 2.0 overview. Lien vers la source

[25] Cyberspace Administration of China. “Cybersecurity Law of the People’s Republic of China,” as amended in 2025, effective 1 January 2026. Lien vers la source

[26] Supreme People’s Procuratorate of the People’s Republic of China. “Data Security Law of the People’s Republic of China.” Effective 1 September 2021. Lien vers la source

[27] National Institute of Standards and Technology (NIST). “Post-Quantum Cryptography Standards.” Final standards published 13 August 2024. Lien vers la source

[28] Supreme People’s Procuratorate of the People’s Republic of China. “Personal Information Protection Law of the People’s Republic of China.” English translation, 29 December 2021. Lien vers la source

[29] Financial Industry Regulatory Authority (FINRA). “Asset Allocation and Diversification.” Investor guidance. Lien vers la source

[30] Financial Industry Regulatory Authority (FINRA). “Active vs. Passive Investing.” 20 May 2025. Lien vers la source

Cette étude est un travail pédagogique fondé sur des informations publiques. Les données financières proviennent des entreprises citées et ne sont pas toujours directement comparables.