Marchés publics de cybersécurité : comment votre ESN peut en gagner plus

Un marché public cyber en pleine expansion — et sous-exploité

La commande publique française a représenté 233 milliards d'euros en 2024. Sur ce total, l'État consacre à lui seul 4,16 milliards d'euros à ses achats informatiques et télécoms en 2025 — sans compter les hôpitaux, les collectivités, les universités et les opérateurs publics, qui achètent chacun de leur côté.

La cybersécurité est devenue le moteur de cette dépense, pour une raison simple : les attaques. Hôpitaux paralysés, mairies rançonnées, données d'usagers dans la nature. Chaque incident médiatisé débloque des budgets. Et chaque nouvelle obligation réglementaire — directives européennes, référentiels de l'ANSSI, homologations de sécurité — se traduit tôt ou tard par des appels d'offres : audits, mise en conformité, supervision, sensibilisation.

Deux chiffres pour mesurer le terrain de jeu. La plateforme PLACE, profil acheteur de l'État, a publié environ 36 100 consultations en 2025, pour environ 163 000 offres déposées. Faites la division : environ quatre à cinq offres par consultation en moyenne. Dans le même temps, environ 60 % des marchés publics, en nombre, sont attribués à des PME.

Autrement dit : la concurrence est bien plus faible que ce que vous imaginez, et les structures de votre taille gagnent déjà la majorité des marchés en nombre. Le problème n'est presque jamais le marché. C'est la machine de réponse.

C'est encore plus vrai en cybersécurité, où la demande publique croît plus vite que le nombre de prestataires capables d'y répondre proprement. Une ESN qui structure sa réponse aux appels d'offres se construit un canal d'acquisition prévisible : des clients solvables, des contrats pluriannuels, des renouvellements réguliers. Le reste de cet article vous montre comment y arriver, poste par poste.

Ce que le secteur public achète réellement en cybersécurité

Ministères, régions, départements, communes, hôpitaux, universités, bailleurs sociaux : tous achètent de la cybersécurité — mais pas la même. Voici les familles de prestations qui reviennent le plus souvent dans les consultations :

• Audits de sécurité : audit organisationnel, audit d'architecture, audit de configuration, revue de code. C'est souvent le point d'entrée d'une relation longue avec un acheteur.
• Tests d'intrusion : pentest externe, interne, applicatif, campagnes récurrentes commandées au fil de l'eau dans le cadre d'accords-cadres.
• SOC et supervision : détection, analyse des alertes, réponse de premier niveau — de plus en plus souvent mutualisée entre plusieurs collectivités d'un même territoire.
• RSSI externalisé ou à temps partagé : très demandé par les structures qui n'ont ni le budget ni l'attractivité pour recruter un RSSI à temps plein.
• Sensibilisation et formation : campagnes de phishing simulé, modules e-learning, ateliers pour les agents et les élus.
• Mise en conformité : analyses de risques, politiques de sécurité des systèmes d'information, accompagnement aux homologations, plans de continuité et de reprise d'activité.
• Réponse à incident : assistance en urgence, remédiation, retour d'expérience — parfois contractualisée à l'avance via des accords-cadres dédiés.

Regardez aussi la forme des contrats, car elle change tout pour votre plan de charge. En cybersécurité, le format roi est l'accord-cadre à bons de commande : l'acheteur sélectionne un ou plusieurs titulaires, puis commande au fil de l'eau pendant deux, trois ou quatre ans. Gagner un accord-cadre, c'est sécuriser un flux de commandes pluriannuel. Le perdre, c'est attendre le prochain renouvellement en regardant vos concurrents encaisser les bons de commande.

Ajoutez les groupements de commandes — plusieurs collectivités qui mutualisent un même achat — et les centrales d'achat, et vous obtenez un paysage où un seul dossier bien construit peut ouvrir plusieurs années de chiffre d'affaires. C'est ce qui rend l'exercice si rentable pour qui le fait sérieusement, et si frustrant pour qui le fait à moitié.

Ce que regardent vraiment les acheteurs publics

Un acheteur public n'achète pas comme un DSI du privé. Il note votre offre sur des critères pondérés, annoncés à l'avance dans le règlement de consultation, et il doit pouvoir justifier chaque point attribué. En cybersécurité, cinq preuves reviennent systématiquement. Passez-les en revue avant chaque réponse : c'est votre grille de lecture.

1. Les qualifications et certifications : le ticket d'entrée

C'est la première chose que vérifie un acheteur cyber. Trois sigles dominent le paysage :

• PASSI — la qualification des prestataires d'audit de la sécurité des systèmes d'information, délivrée sous le contrôle de l'ANSSI. Sur les audits et tests d'intrusion sensibles, elle est souvent exigée ; ailleurs, elle est fortement valorisée dans la note technique.
• ISO 27001 — la certification de votre propre système de management de la sécurité. Elle envoie un signal simple et puissant : vous appliquez à vous-même ce que vous vendez.
• SecNumCloud — le visa de sécurité de l'ANSSI pour l'hébergement cloud. Dès que la prestation implique d'héberger des données sensibles, la question se pose.

Lisez le règlement de consultation à la loupe : la qualification est-elle exigée à titre éliminatoire ou simplement valorisée ? Doit-elle être détenue par le titulaire lui-même, ou un membre du groupement suffit-il ? Est-elle attendue au dépôt de l'offre ou au démarrage de l'exécution ? Ces nuances décident de votre Go/No-Go.

Ne bluffez jamais sur une qualification. C'est vérifiable en deux clics sur les registres publics, et une déclaration inexacte peut vous exclure du marché — et abîmer durablement votre réputation auprès de l'acheteur.

Si la qualification vous manque, tout n'est pas perdu : le Code de la commande publique permet de s'appuyer sur les capacités d'autres opérateurs. Le groupement ou la sous-traitance avec un partenaire qualifié est une pratique courante et parfaitement acceptée — à condition de la structurer avant le dépôt, pas la veille de l'échéance.

2. Les CV et les références : la preuve par les personnes

En cybersécurité, l'acheteur achète d'abord des personnes. Les CV pèsent souvent très lourd dans la note technique : seniorité réelle, certifications individuelles, expériences sur des environnements comparables — idéalement dans le secteur public.

Le piège classique : présenter vos meilleurs profils au mémoire, puis staffer des juniors à l'exécution. Les acheteurs publics se parlent entre eux, certains marchés encadrent strictement le remplacement des intervenants, et votre réputation sur un territoire peut se jouer en une seule mission. Ne mettez au mémoire que des CV que vous pourrez réellement staffer.

Côté références : deux ou trois références précises, récentes et comparables valent mieux que quinze logos. Une référence auprès d'un autre acheteur public rassure toujours plus qu'une référence privée, à périmètre égal — le public aime être rassuré par le public.

3. La méthodologie : prouver que vous avez déjà fait

Un mémoire générique se repère en trente secondes. L'acheteur veut voir votre déroulé réel : phases, livrables, jalons, outils, gouvernance — et la gestion des risques de la prestation elle-même. Que se passe-t-il si un test d'intrusion perturbe la production ? Comment sécurisez-vous les données collectées pendant un audit ? Qui décide d'interrompre un scénario qui dérape ?

Surtout, répondez à son contexte : reprenez ses enjeux, son périmètre, ses contraintes. La continuité de service d'un centre hospitalier n'a rien à voir avec le calendrier d'une intercommunalité. Nous avons détaillé toute la mécanique dans notre méthode pour construire un mémoire technique qui marque des points.

4. La réversibilité : rassurer sur la sortie

Le secteur public contractualise la sortie dès l'entrée. Votre mémoire doit décrire un plan de réversibilité concret : documentation maintenue à jour, transfert de compétences, restitution des données, des configurations et des journaux, accompagnement du prestataire qui vous succédera.

En cybersécurité, le sujet est encore plus sensible qu'ailleurs : comptes à privilèges, règles de détection, secrets techniques. Une réversibilité expédiée en trois lignes est un signal d'alarme pour l'acheteur — elle lui dit que vous comptez le rendre captif. À l'inverse, une réversibilité détaillée et outillée est un différenciateur que peu de candidats travaillent.

5. La souveraineté : le critère qui monte

Localisation des données, nationalité des sous-traitants, dépendance à des solutions non européennes : la souveraineté s'invite dans un nombre croissant de consultations cyber. Sans transformer votre mémoire en plaidoyer géopolitique, montrez que vous savez précisément où sont hébergées les données, qui y accède et sous quel droit, et proposez des options souveraines quand le contexte l'exige.

Pour une ESN française, c'est un avantage naturel face aux grands groupes adossés à des solutions étrangères. Ne le laissez pas implicite : écrivez-le. L'acheteur note ce qu'il lit, pas ce qu'il devine.

À retenir : en cybersécurité publique, la note technique se joue sur cinq preuves — qualifications, CV, méthodologie contextualisée, réversibilité, souveraineté. Chacune doit figurer noir sur blanc dans le mémoire. L'acheteur ne devine rien : il note ce qu'il lit, et il doit pouvoir justifier chaque point qu'il attribue.

Mémoire cyber : deux spécificités qui piègent les nouveaux entrants

Au-delà des fondamentaux, les consultations de cybersécurité présentent deux particularités qu'on ne rencontre presque nulle part ailleurs — et qui font perdre des points aux ESN qui découvrent la commande publique.

La pseudonymisation des CV

De plus en plus d'acheteurs exigent des CV pseudonymisés : « Consultant A », initiales, pas de photo, aucun élément permettant d'identifier la personne. Les motivations sont doubles : garantir l'égalité de traitement entre candidats, et protéger les données personnelles de vos consultants.

Concrètement, préparez chaque CV en deux formats dans votre bibliothèque de réponse : le format commercial habituel, et un format pseudonymisé qui conserve tout ce qui compte pour la note — années d'expérience, certifications individuelles, missions détaillées, environnements techniques — en retirant tout le reste.

L'erreur classique : envoyer le CV LinkedIn avec photo et nom complet dans une consultation qui exigeait la pseudonymisation. Au mieux, vous donnez une image d'amateur de la commande publique ; au pire, votre offre est écartée pour non-conformité.

La confidentialité des références

Vos clients cyber ne veulent pas être cités, et c'est légitime : révéler qu'un organisme a commandé un test d'intrusion ou une remédiation en dit long sur son niveau d'exposition. Vous voilà face à un dilemme — l'acheteur veut des références vérifiables, vos clients veulent le silence.

Trois pratiques résolvent l'équation :

• L'anonymisation précise. « Établissement public de santé, 3 000 agents, audit de sécurité complet puis plan de remédiation sur huit mois, équipe de trois consultants » en dit assez pour noter, sans rien trahir. La précision du périmètre remplace le nom.
• Les autorisations négociées en amont. Identifiez les clients prêts à être cités ou à signer une attestation de bonne exécution, et obtenez leur accord écrit avant d'en avoir besoin — pas à trois jours de l'échéance.
• L'explication assumée. Une phrase indiquant que vos références sont anonymisées pour des raisons de confidentialité contractuelle transforme une faiblesse apparente en preuve de sérieux. Un acheteur cyber comprend parfaitement cette contrainte : il l'impose lui-même à ses prestataires.

Même logique pour votre propre savoir-faire : votre mémoire décrit vos méthodes, vos outils, vos scénarios. Signalez les éléments que vous considérez comme couverts par le secret des affaires, comme la réglementation le permet, plutôt que d'appauvrir votre réponse par prudence.

ESN de 20 à 150 personnes : pourquoi vous partez avec des atouts

Beaucoup de dirigeants d'ESN s'interdisent les marchés publics en imaginant qu'ils sont réservés aux grands intégrateurs. Les chiffres disent l'inverse — environ 60 % des marchés, en nombre, vont à des PME — et la mécanique même de l'achat public joue pour vous.

1. L'allotissement travaille pour vous. Le Code de la commande publique pousse les acheteurs à découper leurs marchés en lots. Un lot « audit et test d'intrusion » ou « sensibilisation » de quelques dizaines ou centaines de milliers d'euros n'intéresse pas toujours les grands groupes — ou ils y répondent avec un mémoire recyclé, sans effort de contextualisation.
2. L'acheteur veut vos seniors — et chez vous, il les aura. Chez un grand intégrateur, l'avant-vente est brillante et le staffing est junior. Chez vous, les experts nommés au mémoire sont ceux qui feront la mission. C'est un argument massue : écrivez-le, prouvez-le avec les CV, engagez-vous sur la stabilité de l'équipe pendant toute la durée du marché.
3. La proximité compte. Collectivités et établissements publics valorisent la réactivité, la présence sur site et la connaissance du contexte local. Un RSSI à temps partagé capable d'être dans les locaux en une heure vaut plus qu'une cellule d'astreinte à l'autre bout du pays.
4. Votre structure de coûts est un avantage prix. Sur des prestations intellectuelles, l'écart de taux journaliers entre une ESN de 50 personnes et un grand groupe peut faire basculer la note financière — sans que vous sacrifiiez votre marge.

Votre vrai handicap n'est pas la crédibilité : c'est la bande passante. Une réponse sérieuse mobilise 2 à 5 jours de travail, et ces jours-là, vos experts sont facturables chez des clients. C'est exactement le problème qu'une machine de réponse structurée — interne ou externalisée — vient résoudre. Nous avons consacré une page entière aux enjeux spécifiques des ESN et acteurs de la cybersécurité : profils d'acheteurs, prestations types, pièges récurrents.

Détecter les bons marchés avant vos concurrents

Premier maillon de la machine : la veille. Les consultations cyber sont publiées sur PLACE pour l'État et ses opérateurs, sur le BOAMP, sur le TED pour les marchés de dimension européenne, et sur les profils acheteurs des collectivités. Le problème n'est pas l'accès — tout est public — mais le repérage.

Car la cybersécurité se cache sous des intitulés très variables : « prestations d'audit SSI », « sécurisation du système d'information », « accompagnement à la mise en conformité », ou un simple lot « sécurité » enfoui dans un marché global de prestations intellectuelles informatiques. Une veille par mot-clé naïve rate une partie des consultations ; une veille trop large noie votre équipe sous le bruit.

Quatre pratiques font la différence :

• Une veille quotidienne, pas hebdomadaire. Les délais de remise sont souvent de quatre à six semaines, parfois moins : chaque jour perdu se paie en qualité de réponse.
• Un jeu de mots-clés travaillé, combiné aux codes de nomenclature des achats, et mis à jour à chaque consultation découverte trop tard.
• La surveillance des renouvellements. Les accords-cadres ont une date de fin. Repérez les échéances six à douze mois à l'avance : vous préparez vos références, vos CV et vos partenariats avant même la publication.
• Le sourcing amont. Répondez aux questionnaires et études de marché que publient les acheteurs avant de lancer leurs consultations. Être connu avant l'appel d'offres, c'est peser sur son cadrage.

Nous avons cartographié toutes les sources dans notre guide où trouver les appels d'offres publics. C'est aussi le rôle du Radar d'AlchiBid : un balayage quotidien de PLACE, du BOAMP, du TED et des profils acheteurs, filtré sur votre métier et votre territoire.

Le Go/No-Go : là où se joue votre rentabilité

Répondre à tout est le meilleur moyen de perdre partout. Chaque réponse sérieuse mobilise 2 à 5 jours de travail : lecture du dossier, mémoire technique, CV, références, formulaires administratifs, dépôt. En cybersécurité, ajoutez la coordination avec vos experts pour la partie méthodologique — précisément les personnes que vous ne voulez pas sortir de mission.

D'où l'importance d'une décision Go/No-Go rapide et argumentée, prise sur des critères écrits plutôt qu'à l'intuition. Voici une grille adaptée aux marchés cyber :

1. La qualification exigée. L'avons-nous, ou avons-nous un partenaire fiable prêt à se grouper ? Si elle est éliminatoire et que la réponse est non : No-Go immédiat, zéro état d'âme.
2. Les CV. Les profils demandés seront-ils réellement disponibles aux dates du marché ? Un marché gagné avec des CV qu'on ne peut pas staffer est une bombe à retardement contractuelle.
3. Les références. Avons-nous deux ou trois références sortables — anonymisées ou autorisées — sur un périmètre comparable ?
4. Le sortant. Y a-t-il un titulaire en place, et semble-t-il donner satisfaction ? Un renouvellement verrouillé se gagne rarement ; cherchez les signaux d'ouverture — critères remaniés, allotissement nouveau, périmètre élargi.
5. La charge. Avons-nous les jours nécessaires d'ici l'échéance sans sacrifier du chiffre facturable ?
6. L'enjeu. Le volume estimé du marché ou de l'accord-cadre justifie-t-il l'investissement ? Un accord-cadre de quatre ans ne se jauge pas comme une mission ponctuelle.

Notez chaque critère, tranchez en moins d'une heure, gardez une trace de la décision. Nous avons détaillé la méthode complète dans notre article sur la décision Go/No-Go. Et pour objectiver ce que chaque réponse vous coûte réellement — et ce qu'une machine structurée vous ferait gagner — passez cinq minutes sur notre calculateur en ligne.

Structurer votre machine de réponse en cinq étapes

Les ESN qui gagnent régulièrement des marchés publics ne sont pas meilleures en cybersécurité que vous. Elles sont meilleures en réponse. Leur secret tient en un pipeline discipliné — le même qui structure AlchiBid : détecter, qualifier, construire, déposer, apprendre.

1. Détecter. Veille quotidienne multi-sources, mots-clés affûtés, renouvellements anticipés. Objectif : ne jamais découvrir une consultation à dix jours de l'échéance.
2. Qualifier. Go/No-Go argumenté en moins d'une heure, sur les six critères vus plus haut. Objectif : concentrer vos jours de réponse sur les marchés réellement gagnables.
3. Construire. C'est ici que la bibliothèque de réponse — la bid library — change tout. Présentation de la société, méthodologies d'audit et de test d'intrusion, plan de réversibilité type, démarche de protection des données, CV aux deux formats, références anonymisées, certificats à jour : 60 à 80 % d'un mémoire cyber est réutilisable d'un dossier à l'autre. Les 30 % restants — la contextualisation — font la différence entre le deuxième et le premier.
4. Déposer. Rétroplanning dès le Go, formulaires administratifs traités en parallèle du mémoire, signature électronique testée, dépôt sur le profil acheteur au moins 24 heures avant l'échéance. Jamais à la dernière heure : une pièce manquante ou un certificat expiré découvert à H-2 ne se rattrape pas.
5. Apprendre. À chaque défaite, demandez les motifs de rejet et les notes obtenues — c'est votre droit. Analysez l'écart avec le vainqueur, mettez à jour la bibliothèque. Chaque défaite bien exploitée paie la victoire suivante. C'est la vraie transmutation : vos dossiers perdus deviennent la matière première de vos dossiers gagnants.

Trois façons de s'équiper

Pour faire tourner ce pipeline, une ESN de 20 à 150 personnes a trois options réalistes :

Chez AlchiBid, le pipeline est outillé de bout en bout : le Radar détecte quotidiennement les consultations sur PLACE, le BOAMP, le TED et les profils acheteurs ; le Score produit un Go/No-Go argumenté ; le Vault capitalise votre bibliothèque de réponse ; et le Desk — un bid manager dédié, appuyé par une IA qui préremplit 60 à 80 % du dossier — construit chaque réponse avec vous. La commission au succès est dégressive — 3 % jusqu'à 100 000 €, 2 % de 100 000 à 500 000 €, 1 % au-delà — et ne se déclenche que sur les marchés gagnés : pas de victoire, pas de commission. Le fonctionnement complet est décrit sur notre page d'accueil, et le détail de l'offre dans nos tarifs.

Les cinq erreurs qui coûtent des marchés cyber

Pour finir, voici les erreurs que nous voyons le plus souvent chez les ESN qui perdent — et qui sont toutes évitables.

1. Le mémoire générique. Copier-coller la réponse précédente en changeant le nom de l'acheteur. Les évaluateurs lisent des dizaines de mémoires : le vôtre doit parler de leur contexte, de leur périmètre, de leurs contraintes — dès la première page.
2. Le bluff sur les qualifications ou les CV. Annoncer une qualification en cours d'obtention comme acquise, ou des profils qu'on n'a pas. En cybersécurité, tout se vérifie, et la sanction dépasse le marché en cours.
3. L'administratif négligé. Formulaire incomplet, attestation expirée, signature électronique invalide, pièce oubliée : votre offre peut être écartée avant même que le mémoire soit lu. L'administratif ne fait pas gagner, mais il fait perdre.
4. La pondération ignorée. Un marché noté 60 % prix et 40 % technique ne se répond pas comme l'inverse. Calibrez l'effort — et le prix — sur la grille de notation annoncée, pas sur votre fierté technique.
5. Ne rien apprendre de ses défaites. La plupart des candidats évincés ne demandent jamais les motifs de rejet ni les notes. C'est pourtant l'information la plus précieuse du processus : elle vous dit exactement où vous avez perdu des points, et donc quoi corriger avant le prochain dossier.

Si vous perdez régulièrement sans comprendre pourquoi, commencez par là : réclamez vos notes, comparez-les critère par critère, et corrigez une faiblesse à la fois. En trois ou quatre dossiers, la courbe s'inverse.

Questions fréquentes

Faut-il être qualifié PASSI pour répondre aux marchés publics de cybersécurité ?

Non, pas systématiquement. Tout dépend de la prestation et du règlement de consultation : sur les audits et tests d'intrusion sensibles, la qualification PASSI est souvent exigée à titre éliminatoire ; sur beaucoup d'autres prestations — sensibilisation, mise en conformité, RSSI à temps partagé — elle n'est pas requise. Et si elle vous manque là où elle est exigée, le groupement ou la sous-traitance avec un partenaire qualifié reste une voie parfaitement admise.

Une ESN de 30 personnes peut-elle vraiment gagner face à un grand intégrateur ?

Oui. Environ 60 % des marchés publics, en nombre, sont attribués à des PME. L'allotissement, la valorisation des CV seniors réellement staffés, la proximité territoriale et un positionnement prix plus agile jouent en votre faveur. La condition : un mémoire au niveau et une machine de réponse qui tient la cadence — c'est là que la plupart des ESN perdent, pas sur la compétence technique.

Comment présenter des références clients confidentielles dans un mémoire ?

Anonymisez avec précision : secteur, taille de l'organisme, périmètre de la mission, durée, effectif mobilisé. Négociez en amont des attestations de bonne exécution avec les clients qui l'acceptent. Et expliquez en une phrase que l'anonymisation répond à des engagements de confidentialité — un acheteur cyber comprend très bien cette contrainte. Ne citez jamais un client sans son accord écrit.

Combien de temps faut-il prévoir pour répondre à un appel d'offres cyber ?

Comptez 2 à 5 jours de travail pour une réponse sérieuse : analyse du dossier, mémoire contextualisé, CV, références, administratif et dépôt. Une bibliothèque de réponse à jour réduit fortement la part répétitive ; il reste alors l'essentiel, la contextualisation. Avec un Bid Desk externalisé, votre temps tombe à environ deux heures par dossier — la validation des choix stratégiques et la relecture experte.