Cybersécurité française : pourquoi ce marché en plein boom doit encore se structurer

Synthèse :

• Le marché mondial de la cybersécurité est en croissance (12,4% en 2021) en particulier porté par les solutions de Cloud Security (42,1% en 2021) et Identity Access Management (15,6%) dans un contexte de crise de COVID-19 qui a accéléré la digitalisation des entreprises ;
• La cybercriminalité est en forte augmentation, et les entreprises européennes, principalement les PME, sont encore trop peu éveillées aux enjeux de cybersécurité ;
• L’écosystème cyber murît, poussé par les autorités institutionnelles (gouvernement, EU, etc.) ;
• Cependant, celui-ci reste fragmenté, ce qui offre de fortes perspectives de consolidation ;
• Entrepreneur Invest s’intéresse à ce secteur depuis 2014 avec la réalisation de 4 investissements.

Un besoin toujours croissant de cybersécurité

En France, en 2020, 100.000 infractions liées à la cybercriminalité ont été recensées. Il s’agit selon l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) d’une croissance de 255% par rapport à 2019. Cette statistique démontre l’enjeu majeur que représente la sécurité numérique et explique pourquoi la cybersécurité est un marché en pleine ébullition. Depuis plusieurs décennies, l’économie mondiale se numérise, les entreprises stockent leurs données et leurs processus se digitalisent. De plus, du fait du COVID-19, cette digitalisation s’est accélérée avec notamment la possibilité de travailler à distance, de gérer des démarches administratives en ligne, de massivement commander et consommer sur Internet, etc. Néanmoins, cette digitalisation s’accompagne d’un risque auquel tous les acteurs (particuliers, entreprises, administrations publiques) sont confrontés : l’exposition aux cyberattaques des données et des infrastructures IT. En sondant le marché et au travers de différents témoignages d’experts du secteur, nous constatons une prise de conscience des entreprises et des entrepreneurs quant à la protection de leurs données et infrastructures.

Entrepreneur Invest s’intéresse au secteur de la cybersécurité depuis plusieurs années. Nous y avons réalisé au fil du temps plusieurs investissements : un premier avec Brainwave en 2014 (solution de gestion des accès), puis Mailinblack en 2019 (solution de protection des utilisateurs — emails, audit, sensibilisation) et enfin inWebo (puis Trustbuilder) en 2021 (solution de gestion des identités numériques). Par ailleurs, ePresspack, soutenu par Entrepreneur Invest depuis 2016, a récemment développé une offre spécialisée dans la certification des communiqués de presse, montrant que la cybersécurité également est un enjeu clé dans la certification de l’information.

Pour appuyer cette expertise, nous avions d’ailleurs effectué en mai 2020 un mapping des acteurs small cap composant l’écosystème français de la cybersécurité. Ce premier article se basait sur des prévisions réalisées au début de la crise sanitaire. En ayant plus de recul, nous souhaitons dans ce second volet détailler les enjeux du marché en dressant un état des lieux de son fonctionnement, avant d’analyser certaines tendances.

Le coût annuel de la cybercriminalité pour l’économie mondiale a doublé entre 2015 et 2020 et est estimé à 5 500 milliards d’euros en 2020. De plus, le nombre d’attaques au rançongiciel a été multiplié par 4 en 2021. Les attaques peuvent concerner tous types d’acteurs, aussi bien des institutions publiques que des entreprises privées de tailles diverses. Parmi l’ensemble des cyberattaques de 2020 et 2021, nous pouvons par exemple citer :

• L’exfiltration de 90 Go de données sensibles de la mairie de Marolles-en-Brie (94) ;
• La paralysie d’hôpitaux entiers et de collectivités par des attaques de ransomware, comme au CHU d’Albertville-Moutiers (73) et à la commune de Vincennes (94) ;
• Le vol et la revente de données de nombreuses sociétés françaises par le groupe de cybercriminels responsable d’Egregor : Ubisoft (code source), Verimatrix, Lacoste, Dactyl Bureau, Newrest…

Secteurs d’activités touchés par les rançongiciels en 2020 en France

Source : ANSSI

Un secteur encore fragmenté nécessitant d’être soutenu

Ainsi, selon Guillaume Poupard, directeur général de l’ANSSI, « oublier la cybersécurité, c’est rouler à 200 km/h à moto sans casque ». Face à l’augmentation en volume et en sophistication des attaques informatiques et afin d’atténuer leur impact sur le fonctionnement de la société ou de l’économie, le gouvernement a décidé que certaines entreprises ayant des activités plus stratégiques que d’autres ont l’obligation de se protéger plus efficacement contre les cybermenaces. C’est tout l’objet du statut d’OSE (Opérateur de Services Essentiels) créé en 2018 lors de la transcription dans le droit français d’une directive européenne de 2016 et allant dans le prolongement du dispositif de cybersécurité protégeant les OIV (Opérateurs d’Importance Vitale).

Les OSE et OIV étant donc (relativement) bien protégées, ce sont les TPE/PME qui se retrouvent souvent visées par des rançongiciels et autres attaques. En 2020, 43% des PME françaises ont constaté un incident de cybersécurité. En effet, ces sociétés aux budgets plus limités sont des cibles faciles car en elles ne déploient en général pas les ressources nécessaires à leur protection numérique. Cela peut générer des conséquences fortes dans les chaînes de valeur et donc avoir un impact sur les plus grandes entreprises, pourtant mieux protégées. Ces petits acteurs peuvent également servir de point d’entrée pour attaquer des sociétés plus importantes et plus lucratives pour les hackers.

Néanmoins, même mieux protégées, les grands organismes restent une cible directe de choix : en 2020, plus de 192 attaques par rançongiciel ont été perpétrées au sein des grandes administrations et des entreprises du CAC40.

Les types d’attaques sont extrêmement variés et nécessitent des solutions de protection propres. De ce fait, il existe une multitude de technologies différentes. Nous avons constaté que beaucoup d’entreprises se spécialisent sur un secteur et/ou une technologie de protection précise et que peu de PME françaises arrivent à couvrir un spectre large de la cybersécurité, ce qui rend le marché très fragmenté. Du fait de cette dispersion des compétences, les solutions leaders proviennent principalement des USA (et d’Israël dans une moindre mesure), ce qui pose la question de la souveraineté numérique. Cet enjeu est d’autant plus important depuis la mise en place du Cloud Act en 2018 qui permet au gouvernement américain d’avoir accès aux données des entreprises américaines hébergées sur des serveurs informatiques à l’étranger. Il se pose donc la question de savoir si la France (et plus largement l’Europe) a la capacité d’être indépendante en matière de cybersécurité pour ne pas être assujettie à ces risques « d’extradition » de données. Il est clair que l’écosystème cyber français et européen n’est pour le moment pas en mesure de rivaliser avec les entreprises américaines, car il fait face à des limites structurelles : manque de structuration et de coopération au sein de la filière, manque de main-d’œuvre qualifiée (notamment d’ingénieurs spécialisés), etc.

En dépit de ces limites, nous constatons un réel essor de ce domaine en France, particulièrement grâce aux efforts politiques déployés. Le gouvernement souhaite faire face à ces enjeux et faire de la France le leader de la cybersécurité européenne. Il a donc mis en place en 2020 un ambitieux plan d’investissement de 1,3 milliard d’euros, visant à :

• Soutenir l’adoption des solutions cyber (notamment auprès des institutions publiques telles que les mairies et les hôpitaux),
• Renforcer les synergies entre les sociétés françaises,
• Soutenir en fonds propres les sociétés françaises,
• Développer la filière académique (avec la création de diplômes pour former d’avantages d’ingénieurs spécialisés en cybersécurité)

Source : ANSSI

Dans la même logique, l’Union Européenne souhaite renforcer l’écosystème européen. Le 3 décembre 2021, lors d’un Conseil des ministres de l’Union Européenne chargés des télécommunications et du numérique, les ministres sont parvenus à un accord sur la prochaine directive européenne dite « SRI 2 » relative à la sécurité des réseaux et des systèmes d’information, qui vise à assurer un niveau commun élevé de cybersécurité dans l’Union Européenne.

Ainsi, nous constatons qu’il y a un éveil des consciences quant aux risques et aux coûts engendrés par les cyberattaques. Le chemin à parcourir est long (les entreprises et les organisations européennes dépensent encore 41 % moins que leurs homologues américaines en matière de cybersécurité), mais le marché de la cybersécurité mûrit année après année et la France compte quelques leaders internationaux comme Capgemini, Atos, Wavestone, Thales, Airbus qui permettent de sensibiliser les sociétés non-cyber aux enjeux de sécurité et ainsi d’orienter le marché. Aussi, afin de renforcer leur influence et évangéliser le marché à leur échelle, certaines startups et PME se regroupent. C’est le cas d’Hexatrust, un groupement d’entreprises françaises de cybersécurité et de cloud computing agissant pour assurer la lisibilité des préoccupations et la promotion des intérêts des sociétés membres en matière de cybersécurité. Certaines startups poussent la collaboration encore plus loin et se regroupent pour créer des solutions interopérables répondant aux défis de systèmes de cybersécurité complets des TPE/PME européennes, comme l’association FIRST (French Industrials for Resiliency, Security and Trust).

Ainsi, les sociétés membres d’Hexatrust sont les suivantes :

Source : Hexatrust

L’écosystème français, en particulier concernant les start-ups, est également soutenu par les grands acteurs du VC et du Private Equity. Cela contribue à dynamiser les écosystèmes et permet à la France de faire partie des nations majeures de la cybersécurité en Europe avec l’Allemagne, le Royaume-Uni et les Pays-Bas. Selon Sanjin Goglia, managing director et expert en cybersécurité chez Bryan Garnier, les sociétés dans ces pays bénéficient de l’appui de fonds d’investissements capable de financer la croissance, par opposition à la Suisse et aux pays nordiques où les financements reposent sur des fortunes privées. Ces fonds d’investissement jouent un rôle crucial. En effet les startups sont souvent des local point solutions, et les PME françaises peinent à atteindre une taille critique. Ainsi, il y a un véritable enjeu de consolidation pour le marché très fragmenté de la cybersécurité, et renforcer une technologie en prolongeant la chaîne de valeur peut permettre d’augmenter la crédibilité et de se différencier des autres local point solutions. Le cross-sell et le potentiel d’internationalisation restent également des points cruciaux dans le choix des croissances externes. Ainsi, en décembre 2021, inWebo (accompagnée par Entrepreneur Invest) a réalisé une opération de croissance externe et a acquis Trustbuilder (société Belge) afin de prolonger sa chaine de valeur et s’internationaliser. De plus, Atos a notamment réalisé 12 acquisitions en 2021 et Accenture poursuit également une stratégie de croissance externe agressive en matière de cybersécurité. En ce qui concerne les enjeux M&A, il est intéressant de noter l’inflation des multiples de valorisation des entreprises du secteur, liée à l’inflation générale du fait de l’importante quantité de liquidités sur le marché actuellement et à la difficulté de trouver des solutions différenciantes et prometteuses dans un marché encore jeune et atomisé.

Des verticales au développement exponentiel

Pour toutes ces raisons, le marché mondial de la cybersécurité a un taux de croissance de 12,4% en 2021, soit quasiment le double par rapport à 2020. Parmi ce vaste marché, certains sous-secteurs se démarquent.

En premier lieu, le développement de solutions d’interaction security explose, avec en fer de lance les solutions de cloud security qui ont eu un taux de croissance de 42,1%. En effet, la croissance exponentielle des données produites et gérées par les entreprises a rendu leur stockage complexe. Les systèmes internes ne suffisent plus et le cloud s’affirme comme la solution de référence : 39 % des sociétés utilisaient le cloud en 2020 et ce chiffre devrait atteindre 60 % en 2022.

Les solutions de protection des communications et échanges d’informations ont également le vent en poupe. La digitalisation des processus et des modes de travail implique que de plus en plus d’informations et de documents s’échangent en ligne plutôt qu’en physique. C’est notamment le cas des emails qui jouent un rôle prépondérant dans l’organisation des professionnels comme des particuliers.

• Les solutions de protection d’emails ont de plus en plus plébiscitées, comme le prouvent les levées en juin 2019 de 14M€ de MailInBlack (accompagnée par Entrepreneur Invest) un spécialiste français en pleine croissance.

En outre, les solutions d’Identity Access Management ont un taux de croissance de 15,6%. En effet, selon Peter Firstbrook (VP Analyst chez Gartner), 80% du trafic d’entreprise ne passe pas par le réseau local d’entreprise et, bien souvent, les entreprises ne possèdent pas l’infrastructure sous-jacente. La seule chose qu’elles possèdent est l’identité, mais c’est là que les adversaires cherchent à attaquer.

• De plus, avec la multiplication des activités gérées en ligne, la gestion des accès est devenue un enjeu majeur. Ainsi en novembre 2020, Tehtris (qui commercialise des solutions souveraines de cybersécurité visant notamment à détecter et contrer les logiciels espions) a levé 15M€. Puis Tehtris s’est associée à l’entreprise Proofpoint en 2021 pour développer des solutions technologiques contre l’hameçonnage.

Etroitement liée à la sécurité de l’identité, la protection de l’IoT est également une tendance à suivre, puisque 125 milliards d’appareils de l’IoT (Internet des objets) devraient être utilisés d’ici à 2030 contre 27 milliards en 2017.

Enfin, une tendance également intéressante à suivre est le perfectionnement des solutions grâce au développement d’intelligence artificielle. En effet, l’IA révolutionne la reconnaissance des menaces, au contraire des solutions historiques (anti-virus et pare-feux) qui ne bloquent que les menaces qu’elles connaissent. Les acteurs spécialisés proposent des solutions complètes ou des « briques » technologiques qui s’intègrent aux systèmes.

• L’analyse de données géospatiales grâce à l’intelligence artificielle pour les secteurs de la défense et du renseignement est aussi en en plein essor. Le français Earthcube, devenu Preligens, a par exemple levé 20M€ en 2020.

Ces prochaines années, le marché de la cybersécurité devrait poursuivre sa forte croissance et l’écosystème français continuer à couver de nouvelles pépites. Entrepreneur Invest continuera de suivre attentivement les tendances de ce marché et d’aider les entreprises françaises à financer leur développement.

Jules Ancillon & Thibault Grèlety — Entrepreneur Invest

NB : Si vous remarquez un oubli dans notre mapping ou si vous souhaitez simplement échanger sur le marché, n’hésitez pas à écrire à grelety@entrepreneurinvest.com et ancillon@entrepreneurinvest.com.