La cybersécurité attire beaucoup de reconversions, et en réussit une partie seulement. La différence ne tient ni à l’âge ni au diplôme d’origine — elle tient à la façon dont le parcours antérieur est réutilisé.
Les reconversions qui marchent le mieux
Depuis l’administration système ou réseau
La plus courte. Le socle technique est déjà là, il manque le cadre et le vocabulaire. Six à douze mois suffisent pour basculer vers l’administration sécurité, l’analyse en centre opérationnel ou l’ingénierie.
Le piège : rester dans l’exécution technique et ne jamais apprendre à formaliser. Un excellent administrateur qui ne sait pas rédiger un constat plafonne vite.
Depuis l’audit, le contrôle interne ou la qualité
Très efficace vers la gouvernance et la conformité. Les réflexes — référentiel, preuve, écart, plan d’action — sont exactement ceux d’un audit ISO 27001.
Ce qu’il faut ajouter : un socle technique suffisant pour ne pas écrire des politiques inapplicables. Voir ce qu’il faut comprendre sans savoir coder.
Depuis le droit
Voie sous-exploitée et très demandée. Un juriste qui maîtrise le RGPD et acquiert les fondamentaux techniques devient rapidement précieux sur les sujets contractuels, la conformité et la chaîne d’approvisionnement.
Depuis la gestion de projet
Un chef de projet reste chef de projet dans un domaine différent. La compétence transférable — tenir un planning, arbitrer, faire décider — est précisément celle qui manque le plus.
Les reconversions plus difficiles
Depuis un métier sans lien avec le numérique, sans formation longue. Ce n’est pas impossible, mais cela suppose de reconstruire un socle entier. Les parcours qui aboutissent passent presque toujours par une formation certifiante de plusieurs mois, puis un poste d’entrée peu qualifié assumé comme tel.
Vers la sécurité offensive directement. C’est la voie la plus demandée et la plus fermée. Sans base en systèmes, réseaux et développement, un poste de test d’intrusion n’est pas accessible à court terme.
Ce qui fait échouer une reconversion
Se présenter comme repartant de zéro. Un candidat de 40 ans qui efface quinze ans d’expérience devient un junior cher. Le même candidat qui vend la continuité — « j’ai passé dix ans à auditer des processus industriels, je sais collecter une preuve et tenir tête à un opérationnel » — est immédiatement lisible.
Accumuler les certifications sans pratique. Voir les certifications qui comptent. Deux pertinentes valent mieux que six génériques.
Viser le poste final directement. Le premier poste après reconversion est rarement le poste visé. Il est le sas.
Négliger l’écrit. Ce métier produit des livrables lus par des directions. C’est le premier filtre en recrutement, avant la technique.
Une trajectoire réaliste sur dix-huit mois
- Mois 1 à 4 — socle technique : systèmes, réseaux, annuaire, journaux. En autonomie ou en formation.
- Mois 4 à 8 — un référentiel structurant. ISO/IEC 27001 Foundation ou le guide d’hygiène de l’ANSSI, pour organiser ce qu’on apprend.
- Mois 6 à 10 — une certification métier alignée sur la cible. EBIOS Risk Manager pour le risque, Lead Implementer pour la gouvernance.
- Mois 8 à 18 — le premier poste, en acceptant qu’il soit un sas. Mobilité interne si possible : c’est la voie la plus courte.
Un mot sur le marché
Le discours sur la « pénurie » mérite d’être nuancé. Ce qui manque, ce sont des profils autonomes avec trois à sept ans d’expérience. Les postes réellement ouverts aux débutants existent mais sont moins nombreux qu’annoncé, et souvent moins glamour que l’image véhiculée.
Le dire n’est pas décourager : c’est éviter des reconversions engagées sur une promesse inexacte.
Aller plus loin
Nos formations certifiantes couvrent ces parcours en présentiel à Paris ou en distanciel, avec une partie du catalogue en e-learning. Nos offres sont sur la page carrière.