Devenir consultant cybersécurité freelance : compétences, certifications et TJM en 2026

Tu ouvres ta boîte mail un lundi matin. Entre deux demandes de devis pour du dev classique, une offre d’ESN t’interpelle : “Consultant cybersécurité, audit NIS2, TJM 850 €”. Tu la lis deux fois, puis tu la refermes en te disant que ce n’est pas pour toi.

On a tous eu ce réflexe. Vue de l’extérieur, la cybersécurité ressemble à un club fermé réservé aux profils Bac+5 qui jonglent avec Metasploit les yeux bandés. En réalité, le marché est si tendu qu’il s’ouvre aux profils IT généralistes capables de monter en compétences.

Dans ce guide, on voit quelle spécialité viser, quelles certifications valent leur prix, combien facturer et comment décrocher tes premières missions en 90 jours.

Quelle spécialité choisir selon ton profil ?

Le contexte joue pour toi. Selon l’Observatoire des métiers de l’ANSSI (2025), les offres d’emploi en cybersécurité ont progressé de 49 % entre 2019 et 2024. La directive NIS2, dont la loi de transposition est encore débattue au Parlement à l’automne 2026, et le règlement DORA poussent des milliers d’organisations à budgéter enfin leur sécurité.

En 2012, quand je me suis lancé en freelance IT, la sécurité était un sujet qu’on traitait “quand on aurait le temps”. Aujourd’hui, c’est le poste budgétaire que mes clients ne négocient plus à la baisse.

Mais “consultant cybersécurité” recouvre une dizaine de métiers. Voici ceux qui comptent pour un freelance :

Spécialité	Profil d’entrée	TJM indicatif 2026
Sensibilisation et formation	IT 2-5 ans, pédagogie	400-550 €/jour
Diagnostic cybersécurité TPE/PME	IT 2-5 ans, culture sécurité large	450-600 €/jour
Audit de configuration cloud	Expérience AWS, Azure ou GCP	550-750 €/jour
Auditeur ISO 27001	Expérience GRC, certification Lead Auditor	650-850 €/jour
Pentester	Maîtrise offensive, OSCP	700-950 €/jour
Cloud Security Architect	Expertise cloud, certification sécurité cloud	750-1 000 €/jour
RSSI à temps partagé	7 ans et plus, GRC et management	800-1 200 €/jour

Les trois premières lignes sont à ta portée en 2 à 4 mois si tu viens de l’administration système ou du développement. Le RSSI à temps partagé applique le modèle du manager à temps partagé aux PME sans RSSI interne : c’est une cible à moyen terme, pas un point de départ.

La cybersécurité freelance n’est pas un métier unique. C’est un archipel de spécialités, et tu n’as pas besoin de toutes les maîtriser pour te lancer.

Quelles compétences et certifications valent l’investissement ?

On retrouve le même arbitrage que pour n’importe quelle niche freelance : un socle solide, puis une spécialité claire. Le socle commun tient en quelques blocs : réseaux (TCP/IP, DNS, VPN, firewalling), Linux et Active Directory, un hyperscaler (IAM, VPC, chiffrement), gestion des identités et analyse de risques (EBIOS RM, ISO 27005). Côté outils, l’essentiel est gratuit : Kali Linux, Wireshark, Nmap, Burp Suite Community, OpenVAS.

Il manque souvent une compétence : la rédaction. Un rapport d’audit, une politique de sécurité ou un plan de remédiation représentent une large part du travail. En mission chez un grand compte, j’ai côtoyé un consultant sécurité à 900 €/jour. Il n’était pas le plus technique de la salle. Il savait traduire un risque technique en impact business pour un directeur financier.

Pour les certifications, vise celle qui colle à ta spécialité (prix indicatifs 2026) :

Certification	Coût estimé	Pour quelle spécialité
CompTIA Security+	~425 $ (examen)	Première certification reconnue, profil junior
ISO 27001 Lead Implementer ou Lead Auditor	~2 800 € (5 jours)	Audit, GRC, conformité NIS2
AWS Security Specialty	300 $ (examen)	Sécurité cloud AWS
SC-500 (Microsoft)	Examen Microsoft	Sécurité Azure, remplace l’AZ-500 retirée le 31 août 2026
OSCP	~1 750 $ (cours et examen)	Pentest, la référence
CISSP	~750 $ (examen) et 5 ans d’expérience	RSSI, management sécurité

L’OSCP demande des mois de préparation : assure-toi que le pentest est ta voie avant de t’engager. Pour le financement, tu as accès au CPF sous conditions, au FIF-PL ou au FAF.

Une certification ne remplace pas l’expérience. Mais dans un marché où les acheteurs filtrent par mots-clés, elle ouvre des portes qu’un bon CV seul ne déverrouille pas.

Combien facturer et sous quel statut ?

Les TJM ci-dessous reflètent le marché français 2026, hors Île-de-France premium.

Profil	Expérience cyber	Fourchette
Consultant junior (sensibilisation, diagnostic TPE)	0-2 ans	400-600 €/jour
Auditeur confirmé (ISO 27001, NIS2)	3-5 ans	600-850 €/jour
Expert cloud security	4-7 ans	700-1 000 €/jour
Pentester senior	5 ans et plus	750-1 000 €/jour
RSSI à temps partagé	7 ans et plus	800-1 200 €/jour

En Île-de-France, ajoute 10 à 15 %. À expérience égale, la cybersécurité se situe 15 à 30 % au-dessus de notre grille TJM développeur freelance. Pour fixer le tien à partir de tes charges, utilise le simulateur de TJM.

Côté statut, la micro-entreprise suffit pour démarrer avec des missions courtes. Son plafond de 83 600 € de chiffre d’affaires en prestations de services (2026) arrive vite à 600 €/jour, et tu ne déduis ni tes certifications ni tes licences. Dès que tu factures régulièrement, une SASU ou une EURL devient plus intéressante. Le portage salarial reste une option pour tester le marché ou intervenir dans des environnements sensibles (banque, défense) qui préfèrent un contrat porté.

Le TJM en cybersécurité n’est pas un plafond. C’est un plancher qui monte avec ta spécialisation, tes certifications et les résultats que tu peux démontrer.

Comment décrocher tes premières missions ?

Pas besoin de 10 ans de pentest pour vendre une prestation. Commence par une offre forfaitaire simple :

• Diagnostic cybersécurité TPE/PME : 2 à 3 jours sur les mots de passe, sauvegardes, mises à jour et droits d’accès, avec un rapport priorisé. Entre 1 500 et 2 500 €.
• Audit de configuration cloud : revue IAM, réseau, chiffrement et logs face au CIS Benchmark. Entre 2 000 et 4 000 € selon le périmètre.
• Atelier de sensibilisation au phishing : 2 à 3 heures pour une équipe, avec les ressources gratuites de Cybermalveillance.gouv.fr. Entre 600 et 1 200 € la session.

Quand j’ai orienté certaines de mes missions vers la sécurité, je n’avais aucune certification. J’avais une connaissance terrain du cloud, une méthode rigoureuse et des rapports propres. Ça a suffi pour mes premiers audits de configuration.

Pour trouver ces clients, les ESN restent le canal principal des missions longues, et Malt, Free-Work ou Crème de la Crème publient de plus en plus d’offres cyber. Ton ancien réseau d’employeurs fournit souvent la première mission. Trois canaux restent sous-exploités : les PME locales sans prestataire sécurité (CCI, clubs d’entreprises), les cabinets DPO qui cherchent un relais technique, et les agences web qui livrent des sites sans audit de sécurité.

Pour formaliser ton offre, appuie-toi sur notre modèle de proposition commerciale, en y ajoutant un périmètre chiffré et une liste d’exclusions.

Comment cadrer tes missions sans prendre de risque ?

La cybersécurité touche à des systèmes critiques, et les erreurs se paient cher. Avant tout test technique, cinq points doivent être écrits :

1. Autorisation signée par le représentant légal du client. Sans elle, un test d’intrusion est une atteinte à un système de traitement automatisé de données (articles 323-1 et suivants du Code pénal).
2. Périmètre exhaustif : ce qui n’y figure pas n’est pas testé.
3. Confidentialité : les résultats ne vont qu’au commanditaire.
4. Livrables : rapport détaillé, synthèse managériale, plan de remédiation.
5. Exclusions : pas de garantie de sécurité absolue, pas de test en production sans accord.

J’ai vu un consultant bloquer l’accès mail de 200 personnes en durcissant l’authentification un vendredi après-midi, sans plan de retour arrière. Le client n’a pas renouvelé.

Ne touche jamais à un système en production sans sauvegarde vérifiée et sans accord écrit du client. C’est la règle numéro un.

Une RC Pro adaptée complète ce cadre. Vérifie qu’elle couvre explicitement le conseil en sécurité, les audits et tests techniques, et les atteintes aux données. Si tu cherches un assureur qui connaît les métiers freelance, Stello15 € offerts·C0D24B01Copié ✓ propose une RC Pro souscrite en ligne avec attestation immédiate.

Ta feuille de route 90 jours pour te lancer

Si tu viens de l’IT, tu as déjà l’essentiel du socle technique. Il te manque une spécialité, un cadre et une offre. Voici l’ordre que je suivrais :

Tu ne deviens pas expert en 90 jours. Tu deviens un professionnel crédible, avec une offre et tes premières références.

FAQ

Questions fréquentes

Peut-on devenir consultant cybersécurité freelance sans diplôme en informatique ? +

Oui, à condition d'avoir 2 à 3 ans d'expérience IT et de la compléter par une certification reconnue. Le marché valorise les compétences démontrables plus que les diplômes.

Quelle est la différence entre un consultant cybersécurité et un pentester ? +

Consultant cybersécurité couvre l'audit, le conseil, la conformité et la sensibilisation. Le pentester, lui, est un spécialiste de la sécurité offensive qui réalise des tests d'intrusion dans un cadre contractuel strict.

Un freelance peut-il réaliser des audits PASSI ? +

Pas seul. La qualification PASSI de l'ANSSI est délivrée à une entreprise, et seules quelques dizaines de prestataires la détiennent en France. Pour accéder à ces missions, il faut intervenir au sein d'un prestataire qualifié.

Quel code APE choisir pour un consultant cybersécurité freelance ? +

Le code le plus courant est 6202A, conseil en systèmes et logiciels informatiques. Si tu fais surtout de la formation, le 8559A, formation continue d'adultes, peut convenir. Avec la nouvelle nomenclature NAF 2025, un nouveau code s'appliquera au 1er janvier 2027 : vérifie celui qui figure sur ton avis Sirene.