Chargement…
Le guide complet 2026 - TJM, EBIOS RM, ISO 27005, NIST 800-30, FAIR. Page mise à jour le 21 juillet 2026 par l’équipe BinchamTalent.
L’analyse de risques cybersécurité est le métier de cybersécurité le plus structuré méthodologiquement, et probablement le plus stratégique. Là où l’ingénieur cyber exploite des outils et où le consultant GRC pilote de la gouvernance, l’analyste de risques décide à quoi consacrer le budget cyber en arbitrant entre des dizaines de menaces possibles. Sous la pression de NIS2, DORA, du Cyber Resilience Act, et de l’explosion de la cyber-assurance, cette discipline traverse une phase de forte demande en France. Ce guide décrit le métier, les méthodes (EBIOS RM, ISO 27005, NIST 800-30, FAIR), les TJM 2026, les certifications, et comment BinchamTalent permet de connecter votre dossier directement aux DSI, RSSI, et cabinets vérifiés - sans commission ni intermédiaire.
Un contact direct, sans intermédiaire. Votre dossier d’analyste de risques visible directement par les DSI, RSSI et cabinets vérifiés.
0 commission sur votre TJM
BinchamTalent ne prélève rien sur le tarif que vous facturez. Vous contractualisez en direct avec le client final.
Contrat direct avec l’entreprise
Vous signez votre mission directement avec la DSI, le RSSI ou la direction des risques. Tarif, durée, livrables : vous restez maître.
Recruteurs approuvés manuellement
Chaque entreprise est vérifiée par notre équipe (SIRET, site web, qualité du signataire). Pas de prises de contact bidons.
Vous restez maître de vos données
Vous choisissez librement le contenu de votre dossier de compétences. Vous le mettez en pause ou le supprimez à tout moment.
L’analyste de risques cybersécurité conduit, formalise et présente l’analyse des menaces qui pèsent sur les actifs informationnels d’une organisation. Il ne « fait » pas la cybersécurité au quotidien : il aide à décider où mettre les efforts en arbitrant entre des dizaines de scénarios possibles, et à valoriser les conséquences pour la direction générale.
Concrètement, ses livrables sont rarement du code ou des configurations. Ils prennent la forme de cartographies (actifs / processus / menaces / parties prenantes), de scénarios documentés (« comment un attaquant X peut compromettre l’actif Y via le chemin Z »), de matrices de vraisemblance × gravité, de plans de traitement priorisés, et de rapports COMEX synthétiques (4 à 8 pages, lus en réunion de direction).
Selon le référentiel France Travail, ce métier s’inscrit principalement sous le code M1802 « Conseil et maîtrise d’ouvrage en SI », avec un fort recouvrement avec M1604 « Conseil en organisation et management ». À la différence du consultant GRC (généraliste audit + conformité + gouvernance), l’analyste de risques est un méthodologue : il maîtrise des cadres précis (EBIOS RM, ISO 27005, NIST 800-30, FAIR), sait animer des ateliers structurés avec 6-15 parties prenantes, et produit des analyses dont la qualité ne se mesure pas à la quantité de pages mais à la qualité des décisions qu’elles permettent.
En 2026, trois forces poussent la demande pour ce métier : (1) la réglementation (NIS2 art. 21 exige une « politique de gestion des risques » formalisée et auditable, DORA art. 6 exige un « cadre de gestion des risques liés aux TIC »), (2) la cyber-assurance qui exige une cartographie pour tarifer, (3) la maturité grandissante des directions générales qui réclament des chiffres comparables au reste du risque d’entreprise.
EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité - Risk Manager) est la méthode publiée et maintenue par l’ANSSI. Successeur d’EBIOS 2010, elle a été refondue en 2018 pour intégrer une approche par scénarios stratégiques + scénarios opérationnels (vs l’approche classique « menaces × vulnérabilités » de la version précédente).
Définition du périmètre étudié, des participants, des critères de sécurité (CIA + traçabilité, authenticité, etc.), du référentiel de sécurité applicable (PSSI, ISO 27001, HDS, etc.) et du socle de sécurité existant. Durée typique : 0,5 à 1 jour. C’est l’atelier le plus négligé et le plus critique. Mal cadré ici = analyse inutile.
Identification des sources de risque externes ou internes (groupes d’attaquants étatiques, cybercriminels, hacktivistes, employés mécontents, négligence, etc.) et de leurs objectifs (vol de données, sabotage, espionnage, gain financier, déstabilisation). Durée : 0,5 à 1 jour. Permet de focaliser l’analyse sur les scénarios réalistes pour cette organisation.
Modélisation des chemins d’attaque possibles depuis les sources de risque jusqu’aux biens essentiels, en passant par les parties prenantes (fournisseurs, clients, partenaires, prestataires informatiques). Construction d’une cartographie des menaces qui prend en compte tout l’écosystème, pas seulement le SI interne. Durée : 1 à 2 jours.
Pour chaque scénario stratégique, on détaille les actions concrètes d’un attaquant (étapes MITRE ATT&CK : reconnaissance, accès initial, escalade, mouvement latéral, exfiltration). Cet atelier nécessite des profils techniques en complément. Durée : 1 à 3 jours selon le nombre de scénarios. C’est l’atelier qui transforme l’analyse en outils utiles pour l’équipe sécurité.
Décision sur les options : éviter, accepter, transférer (cyber-assurance, contrats), réduire (mesures de sécurité supplémentaires). Plan d’action priorisé avec coûts estimés, calendrier, indicateurs de suivi. Durée : 1 à 2 jours. Validation finale en COMEX ou comité sécurité.
EBIOS RM n’est pas seule sur le marché. Selon le contexte client, d’autres méthodes sont préférables ou complémentaires. Un analyste de risques senior doit savoir laquelle choisir et pourquoi.
Méthode internationale d'analyse de risques cyber, alignée sur ISO 27001 et ISO 31000. Approche plus généraliste qu'EBIOS RM, moins structurée en ateliers mais très bien acceptée mondialement. Pertinente pour : missions internationales, filiales de groupes anglo-saxons, audits ISO 27001 où la conformité ISO 27005 est attendue. La certification PECB ISO 27005 Risk Manager est un standard de marché.
Guide officiel américain pour la conduite d'analyses de risques cyber. Méthode très détaillée, orientée systèmes d'information (vs EBIOS RM plus orientée écosystème). Pertinente pour : filiales d'entreprises américaines, missions de conformité fédérale US (FISMA), missions de défense. Souvent utilisée avec NIST SP 800-39 (Managing Information Security Risk) pour la gouvernance globale.
Méthode quantitative de référence internationale pour valoriser financièrement le risque cyber. Très en demande pour : tarification cyber-assurance, business case investissement sécurité, intégration risque opérationnel (Bâle III, DORA). Combinée à EBIOS RM ou ISO 27005 pour produire à la fois des scénarios qualitatifs et une valorisation en euros. La maîtrise FAIR est un fort différenciant - peu de profils en France.
Cadre de management du risque global d'entreprise (pas spécifique cyber). Pertinent pour : missions où le risque cyber doit s'intégrer dans le risque ERM global (assurance, banque, industrie). Souvent demandé par les directions des risques (Chief Risk Officer) et les audits internes. La certification PECB ISO 31000 Risk Manager est valorisée pour les profils transverses.
Méthode française historique du CLUSIF (Club de la Sécurité de l’Information Français). Approche par questionnaires standardisés. Encore présente dans certaines administrations et collectivités. Marché en décroissance au profit d’EBIOS RM mais utile à connaître pour ne pas être démuni face à un legacy.
Méthode d’analyse de risques développée par le Carnegie Mellon University. Approche par actifs critiques. Plus présente dans le monde académique et certaines filiales US. Marché restreint en France mais à connaître si la mission cible spécifiquement cette méthode.
En complément, deux référentiels servent à structurer le « comment attaquer » dans les scénarios opérationnels : MITRE ATT&CK (base de connaissance détaillée des techniques d’attaque adverse, standard de facto pour la modélisation) et Cyber Kill Chain de Lockheed Martin (modèle linéaire en 7 étapes, plus simple mais moins riche).
Au-delà de la méthode choisie, une mission d’analyse de risques suit un déroulé pratique relativement stable, qu’un freelance senior doit savoir adapter au contexte client. Voici la séquence type d’une mission EBIOS RM de 8 semaines pour un système critique.
Cette séquence est indicative : sur des grands périmètres (groupe de 50 000 personnes, 200 applications, multi-pays), elle peut prendre 4 à 9 mois et nécessiter une équipe de 2-4 consultants. Sur un périmètre très ciblé (un seul SI critique), 4 à 6 semaines suffisent souvent.
La grande mutation 2024-2026 du métier est l’intégration de la quantification financière. La méthode FAIR (Factor Analysis of Information Risk), standardisée par le Open Group et le FAIR Institute, permet de produire des fourchettes d’ALE (Annual Loss Expectancy) en euros, basées sur des distributions probabilistes et des analyses Monte Carlo.
L’analyste de risques cybersécurité combine trois familles de compétences souvent rares à trouver chez un même profil : maîtrise méthodologique, compréhension technique des attaques, et capacité d’animation d’ateliers stratégiques.
Les certifications en analyse de risques se segmentent en trois familles : par méthode, par gouvernance, par quantification. Une combinaison réfléchie est plus puissante qu’une accumulation.
Combinaisons gagnantes pour un freelance senior 2026 : EBIOS RM Lead + ISO 27005 RM + Open FAIR Practitioner (profil français complet, secteur public + privé) ou EBIOS RM Practitioner + Open FAIR Practitioner + CRISC (profil quantitatif, banque + assurance).
Les fourchettes ci-dessous sont compilées à partir de baromètres publics et des observations terrain BinchamTalent sur le marché français 2025-2026. Elles sont indicatives.
| Profil | Junior 2-4 ans | Confirmé 4-8 ans | Sénior 8-15 ans | Architecte 15+ ans |
|---|---|---|---|---|
| Analyste EBIOS RM (généraliste) | 500-650 | 700-900 | 900-1 200 | 1 200-1 400 |
| Spécialisation OIV / OSE / défense | 550-700 | 750-950 | 950-1 250 | 1 250-1 500 |
| Spécialisation finance (DORA) | 550-700 | 800-1 000 | 1 000-1 300 | 1 300-1 500 |
| Spécialisation santé (HDS) | 500-650 | 700-900 | 900-1 200 | 1 200-1 400 |
| Profil FAIR / quantification | 600-800 | 900-1 100 | 1 100-1 400 | 1 400-1 700 |
| Profil hybride EBIOS + FAIR | - | 950-1 100 | 1 100-1 400 | 1 400-1 700 |
TJM en euros HT par jour. Sources : Free-Work, Malt, Apec Cadres, observations BinchamTalent 2025-2026.
Quatre facteurs poussent dans le haut de la fourchette : (1) habilitation Confidentiel Défense (CD) pour les missions sensibles, (2) certification EBIOS RM Lead reconnue (formation cabinet agréé ANSSI), (3) expérience concrète FAIR avec preuve de production de business cases CFO, (4) capacité à parler en direct au COMEX et au comité d’audit.
Plusieurs voies mènent au métier d’analyste de risques cyber. Aucun cursus universitaire ne forme directement à ce poste - on y arrive par la cybersécurité, le conseil, ou la gestion des risques.
Le métier d’analyste de risques se prête à toutes les structures juridiques freelance. Le choix se fait principalement sur le TJM et la régularité des missions.
Micro-entreprise
Plafond CA HT 77 700 € (services). Inadapté dès qu’on facture régulièrement plus de 400 €/j. Utile uniquement pour un démarrage progressif.
EURL
Statut TNS. Charges sociales plus faibles, protection sociale moindre. Bonne option pour un freelance qui priorise la rentabilité immédiate. IS ou IR sur option.
SASU
Statut assimilé salarié. Charges plus élevées mais protection complète. Très répandu pour les TJM 700 €/j et plus, avec optimisation par dividendes. Recommandé par défaut.
Portage salarial
La société de portage facture et reverse un salaire. Aucune gestion administrative. Frais 5-12 %. Utile pour les premières missions sensibles (OIV, habilitation CD).
Cabinet de conseil constitué
Plusieurs analystes de risques freelance se regroupent en SAS pour répondre à des appels d’offres collectifs (par exemple programmes EBIOS RM grande échelle ou DORA multi-entités). Optimisation fiscale et capacité à porter des missions plus lourdes.
Le métier d’analyste de risques s’exerce dans trois contextes très différents. Voici la grille pour choisir.
| Critère | Freelance | Cabinet PASSI / Big 4 | CDI client final |
|---|---|---|---|
| Rémunération nette | ★★★★★ | ★★★★ | ★★★ |
| Stabilité revenus | ★★ | ★★★★★ | ★★★★★ |
| Liberté méthodologique | ★★★★★ | ★★ | ★★★ |
| Diversité de missions | ★★★★★ | ★★★★★ | ★★ |
| Capacité à dire non | ★★★★★ | ★★ | ★★ |
| Habilitation CD accessible | ★★ | ★★★★★ | ★★★★★ |
| Formation continue financée | ★★ | ★★★★★ | ★★★ |
La carrière s’organise classiquement en quatre paliers, sur 10 à 15 ans.
Trois sorties classiques au-delà : (1) devenir Risk Manager cyber dans une grande banque ou industrie (CDI), (2) basculer en cabinet comme partner (Wavestone, Big 4), (3) lancer son propre cabinet d’analyse de risques avec 2-3 associés.
Cinq forces structurelles poussent la demande d’analystes de risques cybersécurité à des niveaux jamais atteints en 2026.
Géographiquement, Paris concentre 55-65 % des missions, suivi de Lyon (industrie, banque mutualiste), Toulouse (aéronautique, défense), Nantes (santé, agroalimentaire), Bordeaux (administrations, vins). Les missions full remote représentent désormais 35-45 % du marché, sauf pour les missions OIV / défense / habilitation qui restent majoritairement en présentiel.
Dix étapes pratiques, dans l’ordre, pour lancer une activité de consultant analyse de risques freelance senior :
Le marché de l’analyse de risques cyber est étroit côté offre (peu de profils certifiés et expérimentés). Pour maximiser vos chances de trouver le bon profil rapidement :
BinchamTalent permet aux recruteurs approuvés de publier leurs offres gratuitement et de contacter sans frais les Talents qui y postulent. Un abonnement ouvre en plus le sourcing de l’ensemble des dossiers de compétences publiés. Voir l’espace recruteur.
Les missions freelance consultant analyse risques cyber se concentrent dans les grandes métropoles mais chaque région a ses donneurs d'ordre spécifiques. Voici un panorama des 13 bassins les plus actifs pour votre profil.
Île-de-France
Finance et assurance (quantification du risque, comités de risques), cabinets d'audit et de conseil, industrie de défense - c'est le marché où l'analyse de risques constitue un poste à plein temps plutôt qu'une mission ponctuelle, avec des méthodes formalisées.
Voir les missions
Auvergne-Rhône-Alpes
Pharmacie et biologie médicale, industrie lourde, banque régionale et hôpitaux - l'analyse de risques y croise le risque qualité des procédés de production, une articulation propre aux bassins industriels et rare dans les métiers de service.
Voir les missions
Occitanie
Aviation civile, systèmes spatiaux et industries de défense - appréciation des risques sur des systèmes embarqués et des segments sol, homologation de systèmes classifiés, cartographie des risques de la chaîne de sous-traitance : les habilitations y structurent fortement les parcours.
Voir les missions
Nouvelle-Aquitaine
Défense, aéronautique et énergie, avec un secteur public régional (préfecture, conseil régional, centre hospitalier) qui formalise ses analyses de risques - les plans de traitement y portent autant sur des systèmes industriels que sur des systèmes d'information de gestion.
Voir les missions
Pays de la Loire
Naval militaire et aéronautique, établissements de santé et banque mutualiste - l'appréciation des risques y porte souvent sur des systèmes embarqués navals et des ateliers de production, des objets d'étude qu'on ne rencontre que dans deux ou trois bassins français.
Voir les missions
Hauts-de-France
Grande distribution, hébergement cloud, logistique, hôpitaux et collectivités - la spécialité locale est le risque fournisseur, apprécié à l'échelle de dizaines de pays et parfois quantifié en valeur financière, une pratique encore peu répandue ailleurs en France.
Voir les missions
Grand Est
Banque coopérative, industrie rhénane et institutions européennes - les analyses de risques y sont souvent lues par deux autorités de tutelle, française et allemande, une double conformité qui allonge la méthode et valorise fortement les profils bilingues.
Voir les missions
Provence-Alpes-Côte d'Azur
Armement maritime, raffinage et infrastructures portuaires - les référentiels de risque du secteur maritime et les normes de sécurité des installations industrielles y comptent davantage que les cadres bancaires, ce qui en fait une spécialisation à part.
Voir les missions
Occitanie
Santé publique et privée, administrations régionales et jeunes entreprises de technologies médicales - l'analyse de risques y sert surtout à préparer des homologations, à traiter le risque de rançongiciel sur des systèmes de soin et à documenter la conformité des dispositifs connectés.
Voir les missions
Bretagne
Cyberdéfense et réseaux de télécommunications - appréciation des risques sur des réseaux nationaux et des systèmes d'armes, avec un écosystème régional dédié qui concentre donneurs d'ordre publics, industriels et laboratoires sur un périmètre géographique très resserré.
Voir les missions
Côte d'Azur
Distribution touristique, hôtellerie et secteur public local - l'analyse de risques y porte sur des plateformes de réservation à très forte disponibilité, sur la sécurité des paiements et sur des systèmes urbains connectés, avec un pilotage souvent conduit en anglais.
Voir les missions
Auvergne-Rhône-Alpes
Semi-conducteurs, gestion de l'énergie et laboratoires publics - l'analyse de risques y vise la propriété intellectuelle industrielle et les systèmes de contrôle des procédés, avec des exigences de sûreté héritées de la recherche parmi les plus strictes de France.
Voir les missions
Provence-Alpes-Côte d'Azur
Éditeurs de logiciels, laboratoires de recherche et logiciel embarqué automobile - l'appréciation des risques y est intégrée au cycle de développement des produits et suit les référentiels du véhicule connecté, une pratique quasi introuvable ailleurs en France.
Voir les missions
BinchamTalent connecte les consultant analyse risques cybers freelance avec des recruteurs approuvés dans toute la France - contrat en direct, sans commission, sans intermédiaire.
Le marché de l'analyse de risques cyber est niche mais bien rémunéré. En 2026, les baromètres marché (Free-Work, Malt, Apec) situent le TJM entre 550 €/j (junior 2-4 ans, formation EBIOS RM Practitioner) et 1 500 €/j (sénior spécialisé OIV/OSE avec certifications EBIOS RM Lead + FAIR Analyst). Les profils capables de combiner EBIOS RM et FAIR pour produire à la fois une analyse stratégique et une valorisation financière sont rares et facturent typiquement 1 100 à 1 400 €/j. Les missions très spécialisées DORA (TLPT, registre des risques IT financiers) ou cyber-assurance (FAIR pour tarification) peuvent payer 15-25 % au-dessus.
La réponse dépend de votre cible. Pour le marché français OIV/OSE/administrations : EBIOS RM est la méthode officielle ANSSI, quasi-obligatoire pour les missions secteur public et critique. Pour les missions ISO 27001 et internationales : ISO 27005 est le standard. Pour les filiales d'entreprises américaines ou les missions de conformité fédérale US : NIST 800-30 (et son cousin 800-39). Pour la quantification financière du risque (cyber-assurance, business case, arbitrage CFO) : FAIR. Notre recommandation : un consultant analyse de risques senior doit maîtriser EBIOS RM (cœur de marché français) + ISO 27005 (interopérabilité) + au moins les principes de FAIR.
Les deux métiers se recouvrent partiellement mais les profils dominants diffèrent. Le consultant analyse de risques est un méthodologue : il conduit l'analyse de manière structurée, anime des ateliers de 6 à 15 personnes, formalise des scénarios, produit des rapports décisionnels. Le consultant GRC est un généraliste de la gouvernance : il fait de l'analyse de risques mais aussi de l'audit, de la conformité, de la rédaction de PSSI, du suivi de plans. Cumuler les deux est possible et même valorisant à l'embauche - mais le marché reconnaît mieux le profil 'spécialiste risques' que le profil 'GRC qui sait aussi faire EBIOS'. Pour un freelance senior, choisir l'angle 'analyse de risques' permet souvent de mieux se vendre sur les missions à forte valeur ajoutée.
EBIOS Risk Manager est documenté gratuitement par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information). Trois ressources de référence sont publiques : (1) le guide méthodologique officiel ANSSI (PDF en libre accès) ; (2) le supplément 'Atelier EBIOS RM' avec les fiches pratiques par atelier ; (3) la fiche méthode dans la doctrine ANSSI cyber.gouv.fr. Pour aller plus loin, plusieurs formations certifiantes existent : EBIOS Risk Manager Practitioner et Lead Practitioner (4-5 jours, Devoteam, Cabinets PECB, ALMOND, AFNOR, ALGOSECURE). Une vraie maîtrise se construit en pilotant 3 à 5 analyses réelles dans des contextes variés. Le saut de qualité se fait quand on a vu les pièges récurrents : périmètre mal cadré, parties prenantes oubliées, sources de risque trop génériques.
FAIR est la seule méthode reconnue internationalement permettant de quantifier financièrement le risque cyber. Là où EBIOS RM produit des scénarios qualitatifs (impact 'majeur' / 'critique'), FAIR produit une fourchette d'ALE (Annual Loss Expectancy) en euros, basée sur des distributions probabilistes et des analyses Monte Carlo. Trois raisons font exploser la demande FAIR en 2026 : (1) la cyber-assurance exige une valorisation pour tarifer ou refuser une prime ; (2) les directions financières (CFO, audit interne) demandent à parler en euros, pas en couleurs ; (3) DORA et NIS2 exigent d'intégrer le risque cyber dans le risque opérationnel, qui se mesure en euros. La certification de référence est délivrée par le FAIR Institute (Open FAIR Foundation et OpenFAIR Practitioner).
Trois grandes typologies. (1) Analyse de risques EBIOS RM ciblée sur un système d'information (par exemple le SI d'une activité réglementée comme un hôpital, une infra critique, un service financier) : 6 à 10 semaines, 3-5 ateliers, livrables formalisés. TJM tarifé sur 30 à 50 jours. (2) Programme de cartographie risques transverse d'une grande entreprise (50 à 200 actifs, plusieurs métiers) : 4 à 9 mois. (3) Mission récurrente d'animation du processus risques (animation des ateliers trimestriels, mise à jour du registre, support COMEX) : régie longue de 6 à 18 mois, souvent 1-3 jours par semaine. La 3e typologie est la plus stable mais la moins valorisée en TJM moyen.
Cinq secteurs concentrent la demande. (1) Banque et assurance - sous pression DORA, ACPR, EIOPA - forte demande de profils maîtrisant le risque opérationnel IT et FAIR. (2) Santé - hôpitaux et CHU sous incitation HDS et plan Ma Santé 2022, après les cyber-attaques répétées (Corbeil-Essonnes, Versailles, Brest) - méthode EBIOS RM majoritaire. (3) Énergie, eau, transport - OIV traditionnels, sous loi LPM/NIS2, méthode EBIOS RM. (4) Administrations et collectivités - vague de cyber-attaques (ANCT, mairies, conseils régionaux). (5) Industrie - sous CRA et NIS2 (élargissement). Géographiquement, Paris concentre 55-65 % des missions, suivi de Lyon, Toulouse (aéronautique), Nantes, Bordeaux.
BinchamTalent rend votre dossier directement visible par les RSSI, Risk Managers et DSI des entreprises françaises vérifiées - sans intermédiaire. Vous renseignez vos méthodes (EBIOS RM, ISO 27005, FAIR), vos certifications (CRISC, ISO 27005 LRM, CISSP), vos secteurs (OIV, NIS2, défense, santé), votre disponibilité et votre TJM cible. Les recruteurs vous contactent directement, sans commission sur votre TJM.
Si vous explorez d’autres spécialisations proches de l’analyse de risques :
Toutes les références sont des organismes officiels (ANSSI, ISO, NIST, FAIR Institute, Open Group), des associations reconnues (CESIN, CLUSIF, AMRAE) ou des publications publiques. Les fourchettes de TJM citées sont indicatives.
Référentiels & méthodes
FAIR & quantification
Cette page a une vocation informative. Les fourchettes de TJM et les listes de certifications, écoles et méthodes citées sont compilées à partir de sources publiques 2024-2026 et peuvent évoluer. Pour des données officielles et à jour, consultez directement les publications ANSSI, ISO, NIST, FAIR Institute, ainsi que les baromètres Apec, Numeum, OPIIEC, CESIN.
