Vous maîtrisez le pentest, la gestion d’incidents, la conformité ou la sensibilisation des collaborateurs, et vous souhaitez transmettre cette expertise ? Bonne nouvelle : devenir formateur cybersécurité ne nécessite aucun diplôme d’enseignant ni aucune certification d’État obligatoire. Ce qui compte, c’est votre expertise technique réelle, votre capacité à la rendre accessible, et le respect des obligations administratives propres à l’activité de formation (déclaration, qualité, financements).

La cybersécurité est l’un des domaines où la demande de formation explose : pénurie de talents, exigences réglementaires (NIS 2, RGPD, DORA), montée des ransomwares. Les entreprises, les organismes de formation et les particuliers en reconversion cherchent des intervenants compétents. Reste à structurer votre activité correctement pour facturer, accéder aux financements CPF ou OPCO, et trouver vos premiers élèves. Voici, étape par étape, comment passer d’expert à formateur reconnu.

: aucun diplôme ni certification obligatoire pour enseigner la cybersécurité, mais une vraie expertise (idéalement 3 à 5 ans d’expérience) et des certifications reconnues (CEH, OSCP, CISSP, certifications ANSSI) renforcent fortement votre crédibilité. Pour facturer légalement et accéder aux financements, vous devez choisir un statut (micro-entreprise, EI, portage), déposer une déclaration d’activité (NDA) sous 3 mois après votre premier contrat, et viser la certification Qualiopi pour les financements CPF, OPCO ou France Travail. Rémunération : 300 à 800 € HT/jour en sous-traitance, jusqu’à 1 200 € et plus en direct ou sur des sujets pointus (pentest, forensic, gouvernance).

Faut-il un diplôme ou une certification pour enseigner la cybersécurité ?

Sur le plan légal, la réponse est claire : aucun diplôme spécifique ni certification cybersécurité n’est exigé pour devenir formateur. La loi française n’impose pas de titre pour exercer en tant que formateur, quel que soit le domaine. Vous pouvez être un ancien RSSI sans diplôme formel d’enseignant et former en entreprise dès demain.

En pratique, c’est tout autre chose. La cybersécurité est un domaine où la crédibilité technique se vérifie vite. Vos clients (DSI, responsables formation, stagiaires en reconversion) attendent des preuves de compétence. C’est là que les certifications jouent un rôle décisif : elles ne sont pas obligatoires pour enseigner, mais elles rassurent et ouvrent des portes, notamment pour intervenir auprès d’organismes exigeants ou sur des marchés publics.

Les certifications les plus valorisées selon votre spécialité :

• Offensif / pentest : OSCP (Offensive Security), CEH (Certified Ethical Hacker), eJPT, GPEN.
• Défensif / SOC / blue team : CompTIA Security+, GCIH, Blue Team Level 1 (BTL1).
• Gouvernance / management du risque : CISSP, CISM, ISO 27001 Lead Implementer ou Lead Auditor.
• Référentiels français : certifications et qualifications ANSSI (PASSI, SecNumacadémie pour la sensibilisation), ainsi que la connaissance du référentiel EBIOS Risk Manager.

Si vous formez sur des dispositifs financés et certifiants (par exemple préparer vos stagiaires à passer le CEH ou une certification ANSSI), détenir vous-même la certification visée devient quasi indispensable. À l’inverse, pour de la sensibilisation grand public ou de l’acculturation en entreprise, votre expérience terrain suffit largement.

Quelle expertise et quelle expérience attend-on d’un formateur en cybersécurité ?

La cybersécurité évolue trop vite pour tolérer un formateur déconnecté du terrain. Les attaques, les outils et les réglementations changent chaque trimestre. Un formateur crédible doit donc avoir une pratique opérationnelle récente, pas seulement des connaissances théoriques. On attend généralement entre 3 et 5 ans d’expérience dans le domaine que vous comptez enseigner.

Au-delà de la technique, plusieurs compétences font la différence :

• Une spécialité claire : il vaut mieux être excellent sur un créneau (forensic, sécurité cloud, sensibilisation, conformité NIS 2) que généraliste flou.
• La pédagogie : savoir vulgariser une attaque par injection SQL pour des non-techniciens, ou monter un lab pratique pour des futurs pentesters.
• La veille permanente : citer des cas récents (ransomware, fuites de données) rend vos formations vivantes et crédibles.
• L’ingénierie pédagogique : concevoir un programme, des exercices, des QCM, des scénarios d’exercice de crise.

Beaucoup d’experts techniques sous-estiment l’écart entre savoir-faire et savoir-transmettre. Une formation dédiée au métier de formateur vous fait gagner un temps précieux sur la conception pédagogique et l’animation. Découvrez à ce sujet notre formation pour devenir formateur, qui couvre l’ingénierie pédagogique et les obligations administratives, des fondamentaux applicables quel que soit votre domaine technique.

Lire aussi : Devenir formateur community manager →

Les obligations réglementaires propres au formateur en cybersécurité

Former à la cybersécurité implique quelques précautions spécifiques qui n’existent pas dans d’autres disciplines. Vous manipulez et enseignez des techniques sensibles, parfois offensives.

• Cadre légal du hacking éthique : en France, l’accès ou le maintien frauduleux dans un système est sanctionné (articles 323-1 et suivants du Code pénal). Vos travaux pratiques offensifs doivent se dérouler sur des environnements de lab isolés, des machines virtuelles ou des plateformes dédiées (type CTF), jamais sur des systèmes tiers sans autorisation écrite.
• RGPD et données : si vos exercices utilisent des données, veillez à n’employer que des jeux fictifs ou anonymisés.
• Clause de confidentialité : vous intervenez souvent au cœur des systèmes de vos clients. Un accord de confidentialité (NDA contractuel) est la norme.
• Mise à jour réglementaire : vos contenus doivent intégrer les cadres en vigueur (NIS 2 transposée, RGPD, DORA pour le secteur financier, directives ANSSI).

Attention à ne pas confondre le NDA juridique (accord de confidentialité) avec le NDA administratif (numéro de déclaration d’activité). Dans le secteur de la formation, le sigle NDA désigne le plus souvent ce dernier, que nous détaillons plus bas.

Les étapes pour se lancer : statut, NDA et Qualiopi

1. Choisir votre statut juridique

Avant de facturer, il vous faut une structure. Les options classiques :

• Micro-entreprise : simple et rapide, idéale pour démarrer en complément ou en test. Plafond de chiffre d’affaires à surveiller (environ 77 700 € pour les prestations de services), et pas de récupération de TVA.
• Entreprise individuelle ou EURL/SASU : adaptées dès que le volume grandit, permettent de déduire les charges et de gérer la TVA.
• Portage salarial : vous gardez le statut de salarié et la société de portage gère l’administratif. Pratique pour intervenir vite chez des organismes sans créer de structure, mais avec des frais de gestion.

Pour aller plus loin sur le choix du statut et les premières démarches, consultez notre guide comment devenir formateur indépendant.

2. Déposer votre déclaration d’activité (NDA)

Dès que vous signez votre première convention ou contrat de formation, vous devez obtenir un numéro de déclaration d’activité (NDA) auprès de la DREETS de votre région. La démarche est à effectuer dans les 3 mois suivant ce premier contrat. Le dossier comprend notamment la convention de formation, le programme pédagogique et un justificatif de votre première prestation.

Ce NDA fait de vous un organisme de formation officiel : il vous oblige à un bilan pédagogique et financier annuel, mais il ne suffit pas à lui seul pour mobiliser les financements publics.

3. Obtenir la certification Qualiopi

Pour que vos formations soient finançables par le CPF, les OPCO, France Travail ou les régions, vous devez détenir la certification Qualiopi. Elle atteste de la qualité de votre processus de formation selon le Référentiel National Qualité (7 critères, 32 indicateurs). C’est un audit réalisé par un organisme certificateur accrédité.

Concrètement, pour vos formations cybersécurité, Qualiopi exige de formaliser : l’analyse des besoins, des objectifs pédagogiques mesurables, le suivi des stagiaires, l’adaptation des moyens techniques (labs, plateformes), et une démarche d’amélioration continue intégrant la veille technologique, particulièrement scrutée dans un domaine aussi mouvant. La cybersécurité étant un marché tiré par les financements professionnels, Qualiopi est souvent ce qui sépare un formateur qui survit d’un formateur qui décolle.

Gérer conventions, émargements, suivi des stagiaires et preuves Qualiopi devient vite chronophage. Un outil comme Formiva centralise la gestion administrative de votre organisme de formation et vous aide à rester conforme au quotidien.

Lire aussi : Devenir formateur Python →

Où trouver des élèves quand on forme à la cybersécurité ?

La demande existe, mais elle ne vient pas toute seule. Voici les canaux qui fonctionnent vraiment dans ce métier :

• La sous-traitance pour des organismes de formation : le moyen le plus rapide de remplir votre agenda sans avoir à prospecter. De nombreux centres et écoles (cybersécurité, informatique, alternance) cherchent des intervenants experts.
• Les entreprises en direct : sensibilisation des collaborateurs au phishing, formation des équipes IT, accompagnement à la conformité NIS 2 ou ISO 27001. C’est le segment le plus rémunérateur.
• Les écoles et le supérieur : BTS SIO, bachelors et masters cybersécurité, écoles d’ingénieurs recrutent des vacataires issus du terrain.
• Le CPF et la reconversion : énorme vivier de particuliers visant un métier en tension (analyste SOC, pentester), à condition d’être Qualiopi et référencé.
• LinkedIn et le contenu : publier des analyses de cyberattaques, des conseils, des retours d’expérience attire naturellement entreprises et candidats.
• Les communautés et événements : conférences (Le Hack, FIC), meetups OWASP, groupes spécialisés. La réputation se construit beaucoup par le bouche-à-oreille dans ce milieu.

Si votre profil est plus large que la seule cybersécurité, élargir votre offre peut accélérer votre remplissage. Nos guides pour devenir formateur informatique et devenir formateur numérique vous donnent des pistes de positionnement complémentaires.

Quelle rémunération pour un formateur en cybersécurité ?

La cybersécurité est l’un des domaines de formation les mieux payés, en raison de la rareté de l’expertise. Les fourchettes varient selon le canal, la spécialité et votre notoriété.

• En sous-traitance pour un organisme : généralement 300 à 600 € HT par jour, parfois moins en début de carrière. L’organisme prend sa marge mais vous apporte les stagiaires.
• Vacation en école ou université : souvent moins rémunérateur (de l’ordre de 40 à 80 € de l’heure), mais utile pour la visibilité et le réseau.
• En direct auprès des entreprises : de 700 à 1 200 € HT par jour, voire davantage sur des sujets pointus (pentest, forensic, gouvernance du risque, exercices de crise).
• Formations certifiantes et expertises rares : les meilleurs intervenants sur des certifications recherchées (OSCP, CISSP, ISO 27001) dépassent régulièrement 1 200 € HT par jour.

En pratique, un formateur cybersécurité indépendant bien établi, mêlant sous-traitance et clients directs, peut viser un chiffre d’affaires confortable dès qu’il atteint un bon taux de remplissage. Le levier principal pour augmenter vos tarifs : sortir de la simple sous-traitance pour aller chercher des clients directs et vous spécialiser sur un créneau où l’offre d’experts est rare.

Lire aussi : Devenir formateur informatique →

FAQ : devenir formateur cybersécurité

Faut-il un diplôme pour devenir formateur en cybersécurité ?

Non, aucun diplôme ni certification d’État n’est légalement obligatoire pour enseigner la cybersécurité. C’est votre expertise technique et votre expérience terrain qui comptent. Des certifications comme OSCP, CEH ou CISSP renforcent toutefois fortement votre crédibilité, surtout pour des formations certifiantes.

Le NDA et Qualiopi sont-ils obligatoires ?

Le numéro de déclaration d’activité (NDA) est obligatoire dès votre premier contrat de formation, à déposer sous 3 mois auprès de la DREETS. Qualiopi n’est pas obligatoire pour exercer, mais elle est indispensable pour que vos formations soient financées par le CPF, les OPCO ou France Travail.

Combien d’années d’expérience faut-il avoir ?

Il n’existe pas de minimum légal, mais 3 à 5 ans d’expérience opérationnelle dans votre spécialité sont généralement attendus pour être crédible. Une pratique récente est essentielle dans un domaine aussi mouvant que la cybersécurité, où les techniques et menaces évoluent en permanence.

Peut-on faire des travaux pratiques offensifs en formation ?

Oui, mais uniquement dans des environnements isolés et dédiés : machines virtuelles, labs cloisonnés, plateformes de type CTF. Toute intrusion sur un système tiers sans autorisation écrite est illégale en France. Vos TP doivent rester strictement encadrés et documentés.

Combien gagne un formateur en cybersécurité ?

Comptez 300 à 600 € HT par jour en sous-traitance pour un organisme, et de 700 à 1 200 € HT, voire davantage, en direct auprès des entreprises ou sur des sujets pointus comme le pentest ou la gouvernance du risque. La cybersécurité fait partie des domaines de formation les mieux rémunérés grâce à la rareté de l’expertise.

À lire ensuiteFiche de poste de formateur : modele et competences a inclureLire l’article →Tremplin Formateur · 529 € HTDécouvrir →