Startups cybersécurité françaises : 304 M€ levés, 43 scale-ups

Mise à jour du 1er novembre 2026 : article réécrit à partir du Radar Wavestone et Bpifrance 2026. Correction : les 304 M€ couvrent la période de juin 2025 à mai 2026, et non l'année 2026 ; le ticket médian de 3,8 M€ et le « record de 6 Md€ » de la French Tech, introuvables, sont retirés.

Les startups françaises de cybersécurité ont levé 304 M€ entre juin 2025 et mai 2026, contre 289 M€ sur les douze mois précédents, selon le Radar des startups cybersécurité françaises 2026 de Wavestone et Bpifrance. Le montant progresse peu, mais tout le reste bouge : deux fois plus d'opérations, un nombre record de créations et, pour la première fois depuis 2020, un recul du nombre de scale-ups. Pour un fondateur ou un investisseur, la vraie information est là.

Que dit le Radar cyber 2026 de Wavestone et Bpifrance ?

Le Radar, dont c'est la huitième édition, a été présenté le 19 juin 2026 à VivaTech. Il recense 279 structures actives : 234 startups, 43 scale-ups et 2 licornes, Ledger et Zama, cette dernière étant nouvelle dans la liste. L'étude est conduite par Gérôme Billois et Samuel Mangin chez Wavestone, avec Sébastien Montusclat, responsable sectoriel numérique de Bpifrance.

Les critères comptent pour lire les chiffres. Selon la méthodologie du rapport, une startup du Radar a son siège en France, moins de 7 ans (hors pivot majeur), moins de 35 salariés et moins de 50 % d'activité de conseil. Une scale-up doit avoir levé au moins 10 M€ en un tour sur les trois dernières années, ou dépasser 2,5 M€ de chiffre d'affaires avec une croissance annuelle moyenne supérieure à 25 % sur trois ans, en restant sous 250 salariés.

304 M€ levés : pourquoi le total masque une polarisation

Le total progresse d'environ 5 %, mais la structure des tours a changé. Selon le Radar, 36 opérations ont été recensées sur la période, contre 19 l'année précédente. Les 27 levées de moins de 10 M€ ne pèsent que 54 M€ au total (9 opérations pour 17 M€ un an plus tôt). Les 9 tours de plus de 10 M€ concentrent donc environ 250 M€, soit plus de 80 % du montant levé.

Les plus gros tickets restent modestes à l'échelle mondiale. Le Monde Informatique cite Filigran et GitGuardian autour de 50 millions chacun et Zama à 49 M€, et rappelle qu'aucune startup cyber française n'a dépassé 100 M€ en un tour depuis Ledger en 2023. Le marché finance davantage de projets, mais avec des chèques plus petits en amorçage et quelques gros tours réservés à une poignée d'acteurs déjà installés.

Un record de créations porté par l'IA

Selon le rapport, 105 nouvelles startups sont entrées dans la liste, contre 44 l'année précédente. Wavestone y voit en partie l'effet du « vibe coding », la programmation assistée par IA qui abaisse le coût de création d'un premier produit. Le revers est visible dans la taille des équipes : plus de la moitié des startups comptent moins de 5 salariés et seulement 3 % dépassent 20 employés.

L'IA est désormais la norme. Selon le Radar, 70 % des structures l'intègrent dans leurs produits, contre 53 % en 2025. Un segment dédié à la sécurisation des usages de l'IA émerge : 22 structures s'y positionnent, contre 15 en 2025 et 11 en 2024. Solutions Numériques précise qu'une trentaine seulement, sur les 196 structures concernées, utilise des agents autonomes.

43 scale-ups : la première baisse depuis 2020

C'est le chiffre le plus préoccupant. Le nombre de scale-ups passe de 46 à 43, alors qu'il progressait en moyenne de 6 par an depuis 2020. Le Radar note 2 entrées et 5 sorties, dont Tetris, placée en redressement judiciaire selon Solutions Numériques. Les auteurs résument : « Les scale-ups françaises peinent à maintenir leur trajectoire ».

Les sorties de startups confirment ce plafond. Sur 49 structures qui quittent le Radar (33 en 2025), 11 ont cessé leur activité, 8 ont été rachetées et 24 en sortent parce qu'elles ont dépassé 7 ans d'ancienneté sans remplir les critères de scale-up, contre 9 l'année précédente. Ces 24 entreprises ne sont pas des faillites : elles ont survécu sans changer de dimension, ce qui est souvent plus difficile à diagnostiquer de l'intérieur.

Pourquoi les startups cyber françaises plafonnent

Le rapport de Wavestone avance deux explications. La première est commerciale : la multiplication des acteurs rend la différenciation plus difficile, et l'obtention de références clients clés, indispensable pour croître, se complique. Les scale-ups cherchent une reconnaissance par les certifications : 67 % en détiennent au moins une (ISO 27001, SOC 2, CSPN ou label France Cybersecurity), 18 points de plus en un an.

La seconde tient à l'ambition internationale. Selon Le Monde Informatique, 61 % des startups exportent, contre 95 % des scale-ups. Gérôme Billois, associé cybersécurité chez Wavestone, le dit sans détour à Solutions Numériques : « En France, la première ambition est de faire un bon produit et de le vendre en France. » Ce constat rejoint celui du baromètre France Digitale x EY sur le mur de la série B, qui décrit une sélectivité accrue des fonds au moment des tours de croissance, tous secteurs confondus.

Quels relais publics pour passer à l'échelle ?

Le soutien public reste concentré sur l'amont. Solutions Numériques rapporte que 13 nouveaux projets innovants en cybersécurité sont financés à hauteur de 30 M€ dans le cadre de France 2030. Ces outils aident à construire un produit, beaucoup moins à financer une équipe commerciale à l'étranger. Pour une jeune pousse, il reste utile de combiner ces aides avec les dispositifs de financement non dilutif accessibles aux startups, à condition de les adosser à des jalons commerciaux.

Pour les tours de croissance, le capital privé reste déterminant, et il se fait rare au-delà de la série A. L'écart avec les marchés anglo-saxons, déjà visible dans les levées de la French Tech au premier semestre 2026, se retrouve en cybersécurité, un secteur où les acheteurs privilégient des fournisseurs de taille suffisante pour durer.

Ce que fondateurs et investisseurs doivent faire maintenant

Le Radar 2026 décrit un marché plus large à la base et plus étroit au sommet. Quelques décisions en découlent :

• Fondateurs : viser des références clients clés et une certification reconnue (ISO 27001, SOC 2, CSPN) avant la série A, car ce sont les marqueurs que regardent les acheteurs comme les fonds.
• Fondateurs : préparer l'export dès les premiers clients, puisque 95 % des scale-ups exportent contre 61 % des startups.
• Fondateurs : se différencier sur un segment précis plutôt que sur l'ajout d'IA, désormais présent dans 70 % des offres.
• Investisseurs : suivre le nombre de structures qui franchissent le seuil de 2,5 M€ de chiffre d'affaires, plus révélateur que le total levé.
• Grands comptes et RSSI : considérer la consolidation à venir, avec 8 rachats recensés, comme un critère de choix fournisseur (pérennité, réversibilité des contrats).

Sources : Wavestone, Bpifrance, Le Monde Informatique, Solutions Numériques. Article rédigé avec l'aide de l'IA selon notre [charte](https://www.shareware.fr/charte-ia).