Quinze, choisies parmi cinquante-sept.
Nous avons cartographié cinquante-sept projets de cybersécurité sur le marché européen. Ces quinze-là sont celles qu’un client peut acheter aujourd’hui. Les quarante-deux autres existent, et la plupart arrivent — mais une page qui affiche des compétences que l’on ne peut pas armer est le plus sûr moyen de perdre un acheteur technique.
- Niveau 1 — achète aujourd’hui
- 19 projets
- Niveau 2 — mûrit sous 12 à 36 mois
- 27 projets
- Niveau 3 — compétence d’avenir
- 11 projets
Ces quinze sont l’ensemble des projets de phase 1 du portefeuille, plus les trois marqués phase 1/2, plus l’OT/ICS — un projet de niveau 1 trop important pour être écarté.
| # | Solution | Pourquoi un Européen l’achète | Besoin | Concurrence | Phase |
|---|---|---|---|---|---|
| 01 | SOC et MDR→ | NIS2 impose une capacité de détection et une notification sous 24 heures. Presque personne dans le mid-market ne peut l’armer. | Très élevé | Forte | Phase 1 |
| 02 | Tests d’intrusion | Exigés par DORA, par les certifications ISO et PCI, et de plus en plus par les assureurs cyber avant de coter. | Très élevé | Forte | Phase 1 |
| 03 | GRC et conseil réglementaire | Cinq régimes qui se recouvrent — NIS2, DORA, CRA, RGPD, règlement IA — et aucune fonction interne qui les porte. | Très élevé | Moyenne | Phase 1 |
| 04 | Sécurité du cloud | La mauvaise configuration reste la première cause de compromission cloud en Europe, et la pression souveraine redessine toutes les architectures. | Très élevé | Forte | Phase 1 |
| 05 | Identité et Zero Trust | L’identité est devenue le périmètre. Le Zero Trust est ce qu’un contrôleur NIS2 s’attend à voir quand il interroge le contrôle d’accès. | Très élevé | Forte | Phase 1 |
| 06 | Postes de travail EDR/XDR | Le minimum exigible, et la voie la plus rapide vers un contrat managé — la plupart des clients possèdent déjà un outil que personne n’exploite. | Élevé | Très forte | Phase 1 |
| 08 | Réponse à incident et DFIR | Le jour venu, on ne lance pas un appel d’offres. Le produit, c’est l’abonnement ; et la preuve doit tenir devant un tribunal. | Très élevé | Moyenne | Phase 1 |
| 10 | Sécurité OT/ICS | Les attaques contre l’industrie ont progressé de 84 % début 2025, et NIS2 place les opérateurs industriels en plein dans le champ. | Très élevé | Moyenne | Phase 2 |
| 13 | Sensibilisation et hameçonnage | La réduction de risque mesurable la moins chère, et la première dont un auditeur réclame la preuve. | Élevé | Moyenne | Phase 1 |
| 15 | Résilience et reprise | DORA a fait de la reprise testée une obligation légale, plus une intention informatique. La plupart des plans de sauvegarde n’ont jamais été testés. | Très élevé | Moyenne | Phase 1 |
| 16 | Sécurité et gouvernance de l’IA | Le règlement IA arrive sans marché fournisseur établi. La demande explose et la concurrence est réellement faible. | En explosion | Faible | Phase 1 |
| 20 | Red teaming IA et tests LLM | Tout le monde livre des fonctions d’IA ; presque personne ne les teste de façon adverse. Territoire de premier entrant. | En explosion | Faible | Phase 1 |
| 30 | Automatisation de la conformité | Transformer cinq réglementations en preuves entretenues en continu, au lieu d’un exercice d’urgence annuel. | L’histoire de la décennie | Moyenne (creux UE) | Phase 1/2 |
| 54 | PSIRT en service (CRA) | Les obligations de déclaration entrent en vigueur en septembre 2026. Des milliers d’industriels ont besoin d’une fonction que presque personne ne vend en service permanent. | Juridiquement certain | Quasi nulle | Phase 1/2 |
| 55 | Due diligence cyber en M&A | Un marché vivant et stable où les seuls acteurs installés sont les Big Four — dont le prix exclut totalement le mid-market. | Élevé | Big Four seulement | Phase 1/2 |
Les quarante-deux autres ne sont pas cachées. Migration post-quantique, sécurité des drones et de la robotique, maritime et ferroviaire, spatial, défense contre les deepfakes, réseaux quantiques — toutes cartographiées, plusieurs déjà en recherche. Nous parlons volontiers de chacune. Nous refusons simplement de publier une page annonçant un service que nous ne pourrions pas assurer lundi.
