Avec vous
Aujourd'hui, les RSSI de vos clients vous appellent, et chaque rapport d'audit passe par votre relecture.
- Vos auditeurs attestés n'ont aucune raison écrite de rester
- Le dossier de qualification ANSSI, c'est vous qui le portez
- La veille NIS2 et DORA de chaque client vit dans votre tête
Sans vous
Transmettre un cabinet de conseil en cybersécurité
Un cabinet de conseil en cybersécurité se vend sur ce qui reste quand son fondateur part : des auditeurs qui restent, une qualification tenue, des clients suivis par d'autres que lui. Selon Scale2Sell, le conseil et le pentest se valorisent sur des multiples « plus modérés » que les services managés, parce que leurs revenus dépendent de projets ponctuels et d'experts rares. L'acheteur regarde d'abord la part récurrente, la dépendance aux talents clés et qui signe les audits.
Faire le test de transmissibilité Gratuit, six minutes, résultat immédiat.
Ce qui dépend de vous
- Les RSSI clients n'appellent que vousChaque client a un associé référent et un binôme
- Chaque rapport d'audit passe par vousUne méthode d'audit écrite, relue par un pair
- Vos auditeurs attestés peuvent partirUn rôle et un intérêt écrits pour chaque auditeur
- La qualification ANSSI repose sur vousUn responsable qualification, une échéance suivie
- La veille NIS2 et DORA est dans votre têteUne veille réglementaire partagée et datée
- Les missions repartent de zéro chaque annéeDes contrats annuels au nom du cabinet
Le cabinet tient.
Six dépendances, six preuves : c'est ce qu'un acheteur vérifie. Mesurez où en est le vôtre.
Faire le test de transmissibilitéGratuit, six minutes, résultat immédiat.Pourquoi un cabinet de conseil en cybersécurité est-il difficile à vendre ?
Parce que sa valeur marche sur deux jambes, et qu'elles peuvent partir. La première, ce sont vos experts. L'Observatoire des métiers 2025 de l'ANSSI compte 49 % d'offres d'emploi en plus entre 2019 et 2024, et constate que les employeurs « continuent à rencontrer de grandes difficultés pour trouver des candidats ». Vos auditeurs le savent aussi bien que vous.
Source : ANSSI, Observatoire des métiers 2025, 9 juin 2025.
La seconde, c'est vous. Le RSSI qui vous appelle, le rapport que vous relisez, le dossier de qualification que vous défendez. Or l'acheteur regarde précisément ces deux points. Scale2Sell le résume ainsi : « dans un marché en pénurie, les entreprises trop dépendantes d'experts rares subissent des décotes ». Ce mécanisme a un nom, la dépendance au dirigeant, et il se mesure.
Source : Scale2Sell, « Comment valoriser une entreprise de cybersécurité ? », mis à jour le 10 août 2026.
Combien vaut un cabinet de conseil en cybersécurité en 2026 ?
Aucun barème public ne donne de multiple propre aux cabinets français de conseil en cybersécurité. Trois repères existent, et ils ne parlent pas tous du même métier.
| Repère | Ce qu'il dit | Source et périmètre |
|---|---|---|
| Cabinet de conseil ou d'audit | 4 à 7 fois l'EBITDA, avec une « décote sur dépendance dirigeant » | Captain, barème 2026, PME de 1 à 50 M€ |
| Conseil sécurité et pentest | Des multiples « plus modérés », faute de récurrence | Scale2Sell, sans chiffre publié |
| Acteurs cyber à haute récurrence | 8 à 12 fois l'EBITDA, en estimation | Scale2Sell, éditeurs et services managés, pas le conseil |
L'écart entre la deuxième et la troisième ligne tient en un mot, la récurrence. Scale2Sell la place en premier, puis cite ce qui tire le prix vers le bas :
- la dépendance aux fondateurs et aux talents experts ;
- une marge inférieure à 15 % ;
- des données financières peu fiabilisées.
Sources : Captain, barème 2026 ; Scale2Sell, « Comment valoriser une entreprise de cybersécurité ? » ; Scale2Sell, « Céder son entreprise dans la cybersécurité », mis à jour le 10 août 2026.
NIS2 et DORA font-ils monter le prix de votre cabinet ?
Ils font monter la demande de vos clients. Le prix, lui, suit ce qui est signé. Selon le Sénat, NIS2 fait passer le périmètre régulé d'environ 500 infrastructures critiques à « quelque 15 000 entités » dites essentielles ou importantes. La transposition « devait intervenir avant le 17 octobre 2024 ».
Au 3 octobre 2026, elle n'est pas faite. Le projet de loi a été adopté par le Sénat le 12 mars 2025, et sa discussion en séance à l'Assemblée nationale est inscrite au 7 octobre 2026. En attendant, l'ANSSI propose un pré-enregistrement et un référentiel, ReCyF, publié comme document de travail.
Sources : Sénat, L'Essentiel du rapport n° 393 (PDF) ; Assemblée nationale, dossier législatif ; ANSSI, 18 mars 2026.
DORA, au contraire, s'applique depuis le 17 janvier 2025 pour la majeure partie de ses exigences, indique l'AMF. Il impose aux entités financières de nouvelles exigences contractuelles envers leurs prestataires TIC et un registre de ces contrats. Si vos clients sont des banques, des assureurs ou des sociétés de gestion, faites relire par votre avocat ce que vos contrats prévoient en cas de changement de contrôle.
Source : AMF, dossier DORA, 23 décembre 2024.
Votre qualification PASSI ou PACS suivra-t-elle le cabinet ?
La qualification appartient à la société. Le référentiel PASSI l'écrit d'emblée : « le prestataire doit être une personne morale », soumise au droit d'un État de l'Union. Mais elle s'exerce par des personnes. Au niveau élevé, le prestataire « ne doit recourir qu'à des auditeurs et responsables d'équipe disposant d'une attestation individuelle de compétence », et chaque convention de service le précise.
Source : ANSSI, référentiel PASSI v2.2 (PDF), publié le 29 novembre 2024.
Trois points en découlent pour une vente :
- la qualification a une durée, « généralement 2 à 3 ans », maintenue si les critères restent respectés : une échéance qui tombe pendant la vente se prépare ;
- le même référentiel exige que l'organisation, « notamment financière », ne compromette pas l'impartialité du prestataire, ce qu'un acheteur qui vend aussi des produits devra démontrer ;
- depuis mai 2026, le référentiel PACS évalue au niveau substantiel les processus du prestataire pour maintenir les compétences de ses consultants, plutôt que des examens individuels.
L'effet exact d'un changement d'actionnaire sur votre qualification se vérifie auprès de l'ANSSI et avec votre avocat.
Sources : ANSSI, FAQ qualification ; ANSSI, référentiel PACS v2.0, 21 mai 2026.
Comment garder vos auditeurs et vos consultants certifiés après la vente ?
En leur donnant une raison de rester avant que la vente existe. Leurs titres leur appartiennent : un « ISO/IEC 27001 Lead Auditor » est un titre personnel, délivré après examen et années d'expérience, que la personne emporte en partant. Scale2Sell conseille d'ailleurs une communication graduée aux équipes clés « pour éviter le risque de départs pré-closing ».
Sources : PECB, ISO/IEC 27001 Lead Auditor ; Scale2Sell.
La réponse tient dans un rôle réel : des clients qu'ils suivent déjà, des rapports qu'ils signent, une place écrite dans le cabinet repris. Non-concurrence, intéressement ou entrée au capital se construisent avec votre avocat et votre expert-comptable.
Votre propre place compte autant. Plus l'acheteur craint de perdre les clients avec vous, plus il demandera un earn-out long. Or un complément de prix qui rémunère en réalité votre travail peut être requalifié en salaire, selon CMS Francis Lefebvre. La clause se rédige avec un avocat fiscaliste.
Vos missions de conformité se renouvellent-elles sans vous ?
Le métier a une récurrence naturelle. Chez AFNOR Certification, le cycle ISO 27001 d'un client comprend « un audit de suivi tous les ans et un audit de renouvellement tous les 3 ans ». Encore faut-il que cette récurrence soit écrite :
- des contrats annuels signés au nom du cabinet, pas des renouvellements tacites passés par votre téléphone ;
- un calendrier client par client : audits de suivi, échéances NIS2 ou DORA, revues de direction ;
- un second interlocuteur connu de chaque RSSI.
Selon Nexco, un cabinet avec 70 % de revenus récurrents « sera valorisé bien au-dessus d'un cabinet en mode projet ponctuel ». En droit, une vente de titres ne change pas le cocontractant de vos clients : à défaut de clause contraire, l'intuitu personae reste sans effet (Cass. com., 29 janvier 2013). Vos contrats peuvent prévoir l'inverse : relisez-les avec votre avocat.
Sources : AFNOR Certification, ISO 27001 ; Nexco, barèmes 2026.
Qui rachète les cabinets de conseil en cybersécurité ?
Quatre profils reviennent, et tous butent sur la même question : que reste-t-il si vous partez ?
| Acheteur | Ce qu'il cherche | Exemple public |
|---|---|---|
| Vos associés ou auditeurs seniors | Garder le cabinet et ses clients | Financement souvent avec un crédit-vendeur |
| Un opérateur ou un groupe de services numériques | Des experts et une offre de conseil | Orange rachète Lexsi en 2016 ; Docaposte rachète Thiqa en 2023 |
| Une plateforme adossée à des fonds | Grandir par acquisitions | En 2024, Oakley Capital rejoint Eurazeo et Sagard chez I-Tracing pour « réaliser des acquisitions ciblées » |
| Un repreneur externe ou un rapprochement | Une taille critique | En 2022, Almond et Rampar fusionnent pour « atteindre une taille critique » |
Lexsi était détenue à 85 % par un fonds, Argos Soditic, avant d'être cédée à Orange. Les cofondateurs de Thiqa, 20 salariés, attendaient de l'opération qu'elle « favorisera le recrutement de talents ». Pour un rachat interne, Bpifrance Création indique que le crédit-vendeur porte généralement sur 30 à 50 % du prix, sur 1 à 3 ans. Et une règle vaut pour tous nos dossiers : nous ne sommes jamais acquéreur d'un cabinet que nous accompagnons.
Sources : Challenges, 15 avril 2016 ; Siècle Digital, 1er février 2023 ; I-Tracing, 11 juin 2024 ; Almond, 19 octobre 2022 ; Bpifrance Création.
Comment préparer la cession d'un cabinet de conseil en cybersécurité en 24 mois ?
Le Programme Transmia se cale sur votre date de cession. Appliqué à un cabinet de conseil en cybersécurité, il donne ce calendrier.
- 24 à 18 mois avant
Mesurer
Le Diagnostic de transmissibilité établit qui suit chaque client, qui relit les rapports, quels auditeurs portent la qualification et quelle part du chiffre d'affaires est sous contrat annuel.
- 18 à 12 mois avant
Transférer
Un binôme sur chaque client, une méthode d'audit écrite et relue par un pair, une veille NIS2 et DORA partagée, des contrats au nom du cabinet.
- 12 à 6 mois avant
Faire tourner
Vos associés tiennent les comités clients et signent les rapports sans vous. On mesure à nouveau l'indice de transmissibilité.
- 6 mois avant le closing
Prouver
Part récurrente mois par mois, échéance de qualification, rapports signés par d'autres que vous : les preuves rejoignent le dossier de transmissibilité.
- Après le closing
Accompagner le repreneur
Pendant l'earn-out, jusqu'à douze mois, on aide le repreneur à faire tourner ce qui a été transmis.
Le Diagnostic coûte 999 € HT, déduits à 100 % si vous poursuivez avec le Programme. Si la bonne réponse est d'attendre ou de ne rien dépenser, nous vous le disons. Les règles communes à tout le conseil sont détaillées sur notre page céder un cabinet de conseil en stratégie.
Questions fréquentes : céder un cabinet de conseil en cybersécurité
Combien vaut un cabinet de conseil en cybersécurité ?
Aucun barème public ne donne de multiple propre aux cabinets français de conseil en cybersécurité. Selon Scale2Sell, le conseil et le pentest se valorisent sur des multiples plus modérés que les services managés, parce que leurs revenus dépendent de projets ponctuels et d'experts rares. Pour le conseil en général, Captain retient 4 à 7 fois l'EBITDA, avec une décote si le dirigeant est indispensable. Le chiffre de votre cabinet relève de votre expert-comptable ou d'un évaluateur.
Ma qualification PASSI sera-t-elle conservée si je vends mon cabinet ?
La qualification est délivrée à la société, pour une durée définie, généralement 2 à 3 ans selon l'ANSSI, et maintenue tant que les critères restent respectés. Au niveau élevé, ces critères incluent des auditeurs qui disposent chacun d'une attestation individuelle de compétence. L'effet précis d'un changement d'actionnaire se vérifie auprès de l'ANSSI et avec votre avocat, avant de signer.
NIS2 n'est pas encore transposée : est-ce que cela change la valeur de mon cabinet ?
Au 3 octobre 2026, le projet de loi qui transpose NIS2 a été adopté par le Sénat et doit être discuté à l'Assemblée nationale le 7 octobre 2026. La loi changera les obligations de vos clients, pas vos contrats. Ce qu'un acheteur peut vérifier, ce sont les missions déjà signées et récurrentes, que Scale2Sell désigne comme le premier moteur de valeur.
Mes auditeurs sauront-ils que je prépare la vente du cabinet ?
Non, sauf si vous le décidez. La préparation se présente comme un projet d'organisation : un binôme sur chaque client, une relecture des rapports par un pair, une veille partagée. Vous choisissez quand et à qui annoncer le projet.
Si vous partiez demain, qui signerait le prochain rapport d'audit ?
Le test vous le dit en six minutes, avec vos trois chantiers prioritaires avant la vente.
Faire le test de transmissibilité