Startups cybersécurité : 6 choses à retenir du radar Wavestone/Bpifrance 2025

1. Un écosystème toujours en croissance

>> Nombre de structures : l'écosystème compte 179 startups (+11 par rapport à l'année précédente) et 46 scale-ups (+4 par rapport à l'année précédente).
Le nombre total de structures est de 226.

>> Rythme de création : la France continue de créer des startups cyber, mais le rythme de création ralentit légèrement en 2025, avec 43 nouvelles startups identifiées (+43). Par exemple, en 2024, il y en avait 50 nouvelles, et 45 en 2023.

>> Thématiques des nouvelles arrivantes : les 43 nouvelles structures se concentrent particulièrement sur les thématiques de l'Application Security (+5), l'Intelligence Artificielle (+3), l'Anti-fraude (+4), la Gouvernance (+4) et le Vulnerability management (+3).

2. Un marché en consilidation

>> Sorties du radar : 33 startups ont quitté le radar en 2025 (contre 47 en 2024), signe d'un marché plus concurrentiel et d'un début de consolidation.

>> Les principales raisons des sorties sont :
- Liquidation ou cessation d'activité : 11 startups (contre 10 en 2024)
- Ancienneté (> 7 ans) : 9 startups (contre 25 en 2024)
- Rachats : 8 startups (contre 1 en 2024), ce qui représente 24% des sorties et indique une augmentation des opérations de rachat
- Passage au statut de scale-up : 4 startups (contre 10 en 2024)

3. Moins de levées de fonds

Les levées de fonds sont moins nombreuses mais plus importantes, ce qui témoigne d'un durcissement du marché.

>> Montant total levé : 289 millions € ont été levés entre juin 2024 et mai 2025 par les startups et scale-ups cyber.
Ce chiffre est en légère baisse par rapport aux 341 millions levés en 2023/2024.

>> Répartition des levées :
- 10 levées de fonds de plus de 10M€ (contre 8 en 2024)
- Levées de fonds sous les 10M€ pour un total de 17M€ (contre 21 levées pour 56M€ en 2023/2024)

Pour rappel : le pic historique des levées de fonds se situait en 2021/2022 avec 630M€ levés.

4. L'écosystème se décentralise en région

55% des structures sont localisées en région (contre 54% en 2024), ce qui montre une décentralisation progressive de l'écosystème cyber en France.
Cependant, les 12 nouvelles startups entrantes identifiées en 2025 sont exclusivement localisées à Paris.

>> Hubs principaux :
- Paris reste un hub important, mais le nombre de structures est stable (94 en 2025, -1)
- Rennes maintient sa position (11 structures, +0)
- Lille connaît une légère baisse (12 structures, -3)
- Lyon montre un dynamisme croissant (7 structures, +3)

5. La création d'emploi direct stagne...mais les solutions s'exportent

>> L'écosystème cyber français représente 6 168 emplois directs en 2025 (contre 5 846 en 2024). Cependant, la création d'emploi direct stagne, surtout chez les startups, où 70% ont moins de 10 employés et seulement 7% dépassent les 20 postes.

>> Une majorité des structures (61%) exportent leurs solutions à l'international
- L'Europe est la principale destination pour 118 structures
- Le continent américain est la cible de 57 structures (+7) et l'Asie-Pacifique de 34 structures (+16)
- 93% des scale-ups exportent en Europe
- 11 structures ont choisi de se concentrer sur l'Asie en ignorant le marché américain, très concurrentiel

6. Un écosystème nourri par l'innovation et les technologies de pointe

>> 51% des startups créées en 2024/2025 proposent des solutions innovantes ou sécurisent de nouveaux usages, notamment dans la deeptech et l'Intelligence Artificielle (IA). Ce pourcentage est en augmentation franche (+8%) pour l'ensemble des startups, bien que les nouvelles startups soient plus modérées dans leurs prises de risques (-2%).
- 30% des structures utilisent l'IA dans leurs produits pour automatiser, accélérer et tirer plus de valeur des actions cyber (contre 22% en 2024).
Exemples d'utilisation : détection et analyse des menaces, orchestration de la réponse à incident, optimisation des parcours de sensibilisation, classification de données, détection de la fraude.
- 23% supplémentaires utilisent l'IA comme outil pour assister les utilisateurs (chatbots, création de liens, formalisation automatique de documents).

>> Sécurisation de l'usage de l'IA
15 structures (contre 11 en 2024) sécurisent l'usage de l'IA en se concentrant sur la protection des environnements et des données traitées, la sécurisation des modèles et des phases d'entraînement, la gouvernance et la conformité, la détection des deepfakes, la sécurité des modèles LLM et la conception d'IA "secure by design".

>> Solutions innovantes
Des startups fournissent des solutions innovantes en lien avec les besoins des organisations pionnières sur le marché, comme l'optimisation des processus SOC via l'IA agentique, la résilience opérationnelle (MVC), les jumeaux numériques du réseau, les chiffrements innovants et la migration post-quantique, la gestion des risques liés aux tiers (TPRM), l'inventaire et la cartographie des systèmes d'information, et la sécurité des systèmes embarqués et connectés.

>> Impact des Réglementations
Les nouvelles réglementations comme NIS 2 et DORA (ainsi que CRA, RED/Machines) apportent des points de contrôle précis et renforcent le besoin d'un outillage dédié et performant.

>> Certifications
15% des startups et 49% des scale-ups possèdent une ou plusieurs certifications de cybersécurité. Les reconnaissances les plus fréquentes sont ISO 27001, SOC2 type 1 et 2, et CSPN.

>> Brevets
31 brevets sont détenus par les startups (dont 3 pour les nouvelles) et 17 par les scale-ups.

Méthodologie du Radar ( 2025 -7ème édition)

- Le radar identifie les startups et scale-ups basées en France, ayant moins de 50 % d'activités de conseil.
- Les startups ont généralement moins de 7 ans d'existence (sauf changements majeurs) et moins de 35 employés.
- Les scale-ups sont identifiées par des levées de fonds significatives (au moins 10 M€ sur les 3 dernières années) ou une croissance significative du chiffre d'affaires (plus de 2,5 M€ et +25 % annuel sur 3 ans). Elles ont moins de 250 employés.
- La validation des entreprises est effectuée via des sources ouvertes et des contacts directs.