L’écosystème français d’innovation en cybersécurité continue sa croissance dans un contexte mondial complexe avec un ralentissement des investissements observé sur 2024. Les structures innovantes, se positionnant sur les sujets clés (IA, confiance numérique, réglementation…) et montrant une capacité à s’internationaliser, jouent un rôle moteur.

Pour la 7ème année consécutive, Wavestone en partenariat avec Bpifrance a le plaisir de publier son Radar de l'innovation cybersécurité français. Les résultats complets de l'étude ont été dévoilé le 11 juin sur le salon Vivatech.  L'étude a été menée sur la période du 1er juin 2024 au 31 mai 2025.

Création de startups et scale-ups : innovation, internationalisation et certification, les clés de la réussite

Continuant dans sa lancée de ces dernières années, la France continue de générer un nombre grandissant de startups, résultant en l’addition de 43 nouvelles à notre radar.

L’écosystème d’innovation se dynamise au global, avec une nette augmentation du nombre de solutions innovantes : 48% des structures offrent de nouvelles solutions de sécurité ou sécurisent de nouveaux usages (40% en 2024). Cette tendance est majoritairement due à une sortie des startups les moins innovantes sur un marché toujours plus concurrentiel (11 liquidations ou cessations d’activité cette année et 10 l’an dernier contre 5 en 22/23). Chez les nouvelles entrantes, on constate cependant une prise de risque plus modérée avec un recul de de la proportion de solutions innovantes (-2%). Le barycentre de l’innovation cyber reste l’Île de France, mais les régions Bretagne et Hauts-de-France sont deux pôles très dynamiques et la décentralisation de l’écosystème se poursuit.

Le deuxième levier de croissance, à savoir l’internationalisation, se porte bien malgré une légère baisse : 61% des structures exportent leur solution en dehors de la France (63% l’an dernier). Ce chiffre atteint les 93% lorsque l’on considère uniquement les scale-ups.

Si l’Europe reste le passage obligatoire de toutes les stratégies de vente à l’étranger, certaines startups ont une approche intéressante qui tranche avec la progression habituelle EMEA/AMER/APAC : 11 d’entre elles ignorent le marché nord-américain sur lequel il est difficile de se faire une place et adressent directement l’Asie après l’Europe.

La capacité à montrer sa crédibilité et sa robustesse dans un écosystème cyber qui devient de plus en plus exigeant est un troisième pilier à ne pas négliger dans la stratégie de croissance : 49% des scale-ups possèdent au moins une certification de cybersécurité (ISO27001, SOC2 type 1 et 2, CPSN, France cybersecurity…), contre 15% des startups. L’obtention de brevets est aussi un élément de crédibilisation, les structures innovantes en France en ont obtenu plus de 31. 

Les startups et les scale-ups représentent toujours près de 6000 emplois : ces dernières portent le marché de l’emploi, tandis que les startups sont plus frileuses en termes de recrutement avec un nombre d’emplois similaire à la période 2023/2024, avec une tendance à rester en faible effectif (7% au-dessus de 20 postes contre 12% en 23/24).

Financement : 289M€ de fonds levés, vers un durcissement du marché

Nous observons une augmentation du montant global avec 289 millions d’euros levés entre juin 2024 et mai 2025 (+60M€ vs 23/24). La taille des tickets augmente pour les montants plus importants avec 10 levées à plus de 10 millions d’euros contre 8 en 2023/2024, dont 6 qui vont de 25 à 72 millions d’euros.

Malgré ce dynamisme plusieurs signaux laissent entrevoir un durcissement du marché, en particulier avec des levées moins nombreuses au total (19 cette année contre 29 en 23/24) et seulement 9 levées en dessous des 10 millions pour un total de 17 millions d’euros (vs 21 pour 56M€ en 2024).

Certains investisseurs spécialisés s’inscrivent dans la durée avec une réelle stratégie d’investissement dans la cybersécurité. La France reste majoritairement absente des levées de fonds importantes (> 30M€) ce qui reste un frein aux ambitions de l’écosystème national. En regard, nous pouvons noter la naissance d’une dynamique de consolidation qui favorise les rachats plutôt que les investissements directs : nous dénombrons 8 rachats cette année (contre 1 par an sur les deux éditions précédentes), dont 5 réalisés par des groupes français.

Une forte accélération sur l’IA et un marché qui pousse de nouveaux usages

Après un virage réussi l’an dernier sur l’adoption de l’IA, les startups et scale-ups françaises continuent leur progression avec une accélération :

• Sur la sécurisation de l’IA, 15 structures se démarquent (contre 11 en 2024) sur des sujets d’expertise : sécurisation des modèles et de l’entraînement des IA, protection des environnements et des données traitées (anonymisation, chiffrement, etc.) et détection des usages malveillants de l’IA (deepfakes, etc.)
• 30% des structures (contre 22% en 2024) réinventent leurs produits avec de l’IA afin d’automatiser, accélérer et tirer plus de valeur des actions cyber (détection et analyse des menaces, classification automatique de données, anti-fraude…)
• 23% supplémentaires profitent de l’IA pour simplifier l’usage de leurs produits (assister leurs utilisateurs avec un chatbots, création de liens vers des ressources adaptées, formalisation automatique de documents…)

L’entrée en vigueur des différentes réglementations et directives européennes (NIS2, DORA, CRA…) va nécessiter un passage à l’échelle sur de nombreux sujets de cybersécurité et représente un levier de croissance important. 

Certaines startups mettent en avant des solutions qui répondent à ces nouveaux points de contrôle précis, notamment :

• Les exigences concernant la connaissance exhaustive et la maîtrise de son écosystème par les entreprises (cartographie et inventaire des systèmes d’information, gestion des risques liés aux tiers)
• Les normes autour de la sécurité des produits embarqués et connectés (surveillance, maintien en conditions de sécurité des produits…)
• La cyber résilience et la continuité des activités critiques de organisations

A noter, les innovations autour du chiffrement continuent de porter des structures dynamiques qui permettent d’envisager de nouveaux usages sécurisés du cloud ou encore des améliorations sur la détection des fraudes. Sans oublier dans ce domaine, l’obligatoire migration vers le chiffrement post-quantique qui va représenter un marché important.

Paul-François Fournier, Directeur exécutif en charge de l’Innovation chez Bpifrance déclare : « Nos convictions sur l’importance de l’innovation, portées par le plan Deeptech, se retrouvent pleinement dans le secteur stratégique de la cybersécurité en 2025. Cet écosystème s’étoffe et amorce une nouvelle dynamique : massification des offres, montée en puissance des investisseurs spécialisés, et à terme, des consolidations structurantes. La vague de l’intelligence artificielle transforme déjà le paysage, avec 53 % des acteurs intégrant ces technologies dans leurs produits et services. Cette évolution va se poursuivre et imposera de rester à l’état de l’art international, d’anticiper les ruptures technologiques et de sécuriser les usages dès leur conception. Dans ce contexte, l’internationalisation des solutions est une nécessité, et il est essentiel de continuer à accompagner les porteurs de projets pour préserver la vitalité et l’indépendance de notre écosystème. »

Gérôme Billois, Partner Wavestone : « L’écosystème de startups français reste dynamique et génère de nombreuses nouvelles structures innovantes, il faut noter que plus de la moitié des structures créées apportent de réelles nouvelles innovations ! Elles couvrent des nouveaux usages, comme la sécurité de l’intelligence artificielle, la résistance aux attaques cyber ou encore le sujet des jumeaux numériques. Les startups innovent aussi dans leur approche commerciale avec certaines structures qui évitent délibérément le marché américain pour se développer en Asie et en Europe en priorité. »

On relèvera une nouveauté intéressante dans l’écosystème de support aux structures innovantes avec la création, pour la première fois en France, d’un « startup studio » complet visant à associer des entrepreneurs chevronnés à des innovations et besoins identifiés par une communauté d’experts cyber. Cette approche permettra peut-être de résoudre l’habituelle équation complexe : avoir une idée innovante et une équipe capable de la réaliser et de la porter commercialement sur le marché.

Un changement d’approche nécessaire pour continuer de croître

L’écosystème cyber continue de croître mais doit adapter sa structure à un marché de plus en plus exigeant. Les clés pour accélérer la croissance sont à plusieurs niveaux auprès de différents acteurs :

• Pour les startups : Privilégiez l’innovation qui reste le premier levier de croissance et de pérennisation dans un écosystème qui se fait plus concurrentiel chaque année. Repensez votre stratégie de développement en fonction du contexte international et partagez-la clairement pour aller chercher les investisseurs alignés avec votre cible.
• Pour les financeurs privés comme publics, en particulier Européens : Spécialisez-vous en cybersécurité pour définir des stratégies d’investissement claires. Pérennisez les efforts de financement et d’accompagnement mis en place ces dernières années pour maintenir un flot de nouvelles entreprises et capter l’intérêt des futurs clients et investisseurs. Continuez à favoriser les consolidations de startups européennes prometteuses.
• Pour les grandes entreprises : Pensez l’innovation cyber comme différenciateur et levier d’indépendance de vos systèmes numériques.

Retrouvez tous les détails et l’analyse complète ici.

Démarche et critères de sélection des startups et des scale-ups

Les startups et les scale-ups doivent disposer d’un siège social en France et la vente de produit de sécurité doit représenter au minimum 50% de leur chiffre d’affaires.

Les startups doivent avoir moins de 7 ans d’existence et un nombre d’employés inférieur à 35.

Les scale-ups, quant à elles, doivent premièrement répondre à une des deux conditions financières suivantes :

• Soit avoir perçu un financement sur 3 ans par levées de fonds d’au moins 10M€ en une fois
• Soit disposer d’un CA d’au moins 2.5M€ et une croissance annuelle moyenne supérieure à 25% durant les 3 derniers exercices fiscaux, sur chaque exercice.

Cette condition financière doit être couplée à une taille d'effectif consolidé de moins de 250 employés.

Si l'entreprise est liée à une autre (détention à plus de 25%) cette consolidation est la combinaison de son effectif propre et :

• Si détention entre 25% et 50%, ajout de l'effectif de la société détentrice calculé au prorata de la détention.
• Si détention au-delà de 50%, ajout de l'effectif complet de la société détentrice.

Nos chiffres sont arrêtés au 28/05/2025.

Cette étude est basée également sur des entretiens qualitatifs avec la grande majorité (70%) des structures présentes dans ce radar et des acteurs du secteur de l’innovation.