CV Cybersécurité 2026 : SOC, Pentest ou GRC, Trois CV Distincts

HelloWork affichait 12 643 offres cybersécurité ouvertes en France le 31 août 2026, et l'ANSSI a traité 1 366 incidents de sécurité confirmés en 2025, un niveau stable par rapport à 2024 (Panorama de la cybermenace 2025, CERT-FR, mars 2026). Le marché recrute, les équipes sont sous tension, et le tri des candidatures se joue pourtant en quelques secondes.

Ce qui départage : un CV cybersécurité se lit par filière, pas par métier. SOC, pentest et GRC n'attendent ni le même vocabulaire, ni les mêmes certifications, ni les mêmes preuves. Le recruteur identifie la filière visée en cinq secondes, et un dossier qui les mélange ne se rattache à aucune des trois.

Ce guide couvre ce que lisent réellement les recruteurs en 2026, le format attendu en France, le vocabulaire propre à chaque filière, la séquence de certifications qui a un retour réel, les mots-clés ATS, les erreurs éliminatoires et un exemple annoté.

Que regardent les recruteurs sur un CV cybersécurité en 2026 ?

Trois signaux décident du tri : la filière visée annoncée dès le titre, la preuve d'une pratique réelle plutôt qu'une liste d'outils, et un vocabulaire aligné sur les référentiels en vigueur. Chez Orange, la recruteuse cybersécurité scanne d'abord des mots précis, SOC, pentest, forensic, CERT et ISO 27001, avant de lire la première ligne d'expérience.

Ce scan initial explique pourquoi le CV généraliste échoue. Un dossier qui empile « SIEM, pentest, ISO 27001, EDR, RGPD » sur une seule ligne de compétences signale une exposition, pas une spécialité. Le recruteur cherche à savoir dans quelle équipe vous poser, et cette question se tranche sur trois familles distinctes.

La règle qui découle de ce tableau est mécanique : le titre du CV et les quatre premières lignes doivent placer le lecteur dans une seule de ces trois colonnes. Les compétences des deux autres filières restent utiles, en second rideau, jamais en tête.

Quel format attendu pour un CV cybersécurité ?

Une page jusqu'à dix ans d'expérience, un titre qui nomme la filière et l'environnement, un bloc compétences groupé par famille dans le premier tiers, puis les expériences en antichronologique. Tout en texte brut : ni logo d'éditeur, ni barre de niveau, ni note sur cinq. Le parseur indexe des mots, pas des images.

Le bloc compétences est la seule section lue intégralement. Il se groupe par famille et non par ordre alphabétique : détection, analyse offensive, gouvernance, systèmes et réseaux, cloud, langages. Chaque famille cite deux à quatre outils réellement pratiqués en production, et un outil vu en laboratoire se signale comme tel.

Le marché français ajoute une contrainte que les guides anglo-saxons ignorent : l'habilitation. Sur les postes de la base industrielle et technologique de défense, du secteur public ou des opérateurs d'importance vitale, le recruteur cherche un candidat éligible et non déjà habilité, la procédure étant portée par l'employeur. Écrivez « éligible à une habilitation » sans détailler vos accès, et vérifiez le vocabulaire : l'instruction générale interministérielle 1300 du 9 août 2021 a remplacé les trois anciens niveaux par deux mentions, Secret et Très Secret. « Confidentiel Défense » n'existe plus.

Pour les profils en formation qui visent une première ligne en centre opérationnel, le guide du CV alternance informatique détaille comment présenter des projets école et des laboratoires personnels en attendant la première expérience en production.

Quelles compétences mettre selon votre filière : SOC, pentest ou GRC ?

Chaque filière attend un vocabulaire propre et une preuve d'un type différent. Le SOC se prouve en volumes et en délais, le pentest en vulnérabilités et en criticité, le GRC en périmètres et en référentiels. Une ligne d'expérience qui ne contient ni chiffre ni nom de référentiel appartient à la catégorie que le recruteur saute.

Filière SOC et réponse à incident

Le vocabulaire attendu tourne autour de la chaîne de détection : SIEM (Splunk, Microsoft Sentinel, IBM QRadar, Elastic), EDR et XDR, règles de corrélation, playbooks SOAR, qualification de niveau 1, 2 ou 3, escalade, forensic, CERT et CSIRT.

Un point de vocabulaire date immédiatement un CV en 2026. La version 19 de MITRE ATT&CK, publiée le 28 avril 2026, compte 15 tactiques, 222 techniques et 475 sous-techniques, et scinde l'ancienne tactique Defense Evasion en deux tactiques distinctes, Stealth et Defense Impairment. Un CV qui cartographie encore ses détections sur « Defense Evasion » indique que la veille s'est arrêtée avant avril.

Filière pentest et audit offensif

Le vocabulaire attendu est celui du rapport d'audit : CVE, score CVSS, OWASP Top 10, Burp Suite, Cobalt Strike, élévation de privilèges, mouvement latéral, et surtout les cinq portées de la qualification PASSI de l'ANSSI, qui structurent le marché français de l'audit : architecture, configuration, code source, test d'intrusion, organisationnel et physique. Un candidat qui nomme les portées sur lesquelles il a produit des rapports parle la langue des cabinets qualifiés.

Le référentiel applicatif a bougé lui aussi. L'OWASP Top 10:2025, finalisé en janvier 2026, ajoute deux catégories, Software Supply Chain Failures en A03 et Mishandling of Exceptional Conditions en A10, fait remonter Security Misconfiguration de la cinquième à la deuxième place et absorbe SSRF dans Broken Access Control. Citer « OWASP Top 10 2021 » sur un CV pentest en 2026 se remarque.

Filière GRC et conformité

Le vocabulaire attendu est réglementaire : ISO 27001:2022, EBIOS Risk Manager, PSSI, analyse de risque, déclaration d'applicabilité, homologation, PCA et PRA, NIS2, DORA, RGPD.

Trois dates structurent le calendrier réglementaire. La transition vers ISO 27001:2022 s'est achevée le 31 octobre 2025 : les certificats émis sous la version 2013 ne sont plus valides, et la norme compte 93 mesures en quatre thèmes, 37 organisationnelles, 8 humaines, 14 physiques et 34 technologiques. Le règlement DORA s'applique au secteur financier depuis le 17 janvier 2025. La directive NIS2 attend encore sa transposition française via la loi résilience, pour un périmètre estimé par l'ANSSI à environ 15 000 entités sur 18 secteurs. Savoir situer un client dans ce calendrier vaut plus que réciter les acronymes.

L'écart entre un CV qui passe et un CV qui reste dans la pile tient presque toujours à la formulation, à parcours identique.

Les postes voisins partagent une partie de cette grille sans la lire de la même façon. Les profils qui glissent vers la sécurité des plateformes trouveront la lecture attendue dans le guide du CV DevOps, et ceux qui travaillent au contact des équipes données ou produit dans le CV data scientist et le CV product manager.

Quelles certifications comptent vraiment sur un CV cybersécurité ?

La certification utile est celle qui correspond à la filière visée et au niveau réellement atteint. Une certification passée sans la pratique correspondante se retourne contre le candidat dès le premier entretien technique. Elles se placent en bas du CV, avec l'année d'obtention et l'échéance quand elle approche.

Les tarifs et conditions ci-dessous sont relevés chez les organismes certificateurs en août 2026.

La séquence compte autant que la liste. En entrée de carrière, le Security+ et une certification éditeur alignée sur le SIEM du futur employeur donnent un retour immédiat pour un coût contenu. En pentest, l'OSCP reste la preuve pratique de référence. En GRC, l'ISO 27001 Lead Implementer puis l'EBIOS Risk Manager de l'ANSSI ouvrent les missions de conseil françaises. Le CISSP arrive en fin de parcours, pas en début.

Deux pièges de séquencement produisent des CV incohérents que le premier entretien démonte.

Le CISSP exige cinq années cumulées d'expérience à temps plein dans au moins deux des huit domaines du CBK. Une seule année peut être remise, soit par un diplôme post-secondaire, soit par une certification figurant sur la liste ISC2, jamais les deux cumulées. Cette liste a été resserrée le 1er avril 2026 : une certification n'y figure désormais que si elle dispose d'un référentiel d'examen public, d'une accréditation ANAB ISO/IEC 17024 ou d'un examen surveillé équivalent, et d'un alignement d'au moins 90 % sur deux domaines CISSP ou plus. Sans les cinq ans, la réussite de l'examen donne le statut d'Associate of ISC2, valable six ans, et ce statut s'écrit tel quel sur le CV.

L'OSCP a changé de forme depuis novembre 2024 : réussir le cursus PEN-200 délivre deux titres, l'OSCP historique valable à vie et l'OSCP+ valable trois ans, renouvelable par examen de recertification ou par 120 crédits de formation continue. Les deux mentions ne se valent pas sur un CV, et l'échéance de l'OSCP+ se lit immédiatement.

Quels mots-clés ATS pour un poste cybersécurité ?

Les mots-clés se placent dans les lignes d'expérience, pas seulement dans un bloc compétences isolé. Reprenez le vocabulaire exact de l'annonce, acronymes compris et sensibles à la casse. Un parseur compare des chaînes de caractères : « SIEM » et « Security Information and Event Management » ne sont pas le même mot-clé, et les deux formes méritent d'apparaître une fois chacune.

Les familles de vocabulaire attendues en France, à intégrer dans les phrases plutôt qu'en liste décorative :

• Détection et réponse : SOC, SIEM, Splunk, Microsoft Sentinel, QRadar, Elastic, EDR, XDR, SOAR, MITRE ATT&CK, threat hunting, forensic, CERT, CSIRT, réponse à incident
• Sécurité offensive : pentest, test d'intrusion, CVE, CVSS, OWASP, Burp Suite, Metasploit, Cobalt Strike, élévation de privilèges, mouvement latéral, red team, PASSI, bug bounty
• Gouvernance et conformité : ISO 27001, ISO 27005, EBIOS Risk Manager, PSSI, analyse de risque, déclaration d'applicabilité, homologation, PCA, PRA, NIS2, DORA, RGPD, audit
• Infrastructure et cloud : Active Directory, pare-feu, VPN, segmentation, IAM, PKI, chiffrement, zero trust, AWS, Azure, SecNumCloud, durcissement
• Systèmes et langages : Linux, Windows Server, Python, PowerShell, Bash, expressions régulières, automatisation

Le comportement des parseurs et les erreurs de mise en page qui font perdre des mots-clés sont détaillés dans le guide du passage des filtres ATS, et la méthode pour extraire le vocabulaire exact d'une annonce dans le guide d'extraction des mots-clés. Si vous candidatez cette semaine, vérifier les mots-clés de mon CV cybersécurité prend 30 secondes et signale ceux qui manquent avant l'envoi.

Quelles sont les 6 erreurs qui éliminent un CV cybersécurité ?

Six erreurs éliminent un dossier avant l'entretien technique : le CV qui ne choisit pas de filière, la liste d'outils sans résultat, le référentiel périmé, la certification affichée sans pratique, le vocabulaire d'habilitation obsolète, et la mise en page qui casse le parsing.

1. Ne pas choisir de filière. Un titre « Consultant cybersécurité » suivi d'un bloc qui mélange SIEM, pentest et ISO 27001 oblige le recruteur à deviner l'équipe cible. Nommez la filière dans le titre, et rangez les compétences des deux autres en second rideau.
2. Aligner les outils sans un seul résultat. « Splunk, Burp Suite, Nessus, Wireshark » occupe une ligne et ne prouve rien. Remplacez par une ligne par famille, chacune terminée par un volume, un délai ou un niveau de criticité.
3. Citer un référentiel périmé. « OWASP Top 10 2021 », « ISO 27001:2013 », « Defense Evasion » ou « Confidentiel Défense » sont quatre marqueurs de veille arrêtée, et le recruteur technique les repère tous les quatre.
4. Afficher une certification sans la pratique correspondante. Un CISSP revendiqué sans les cinq ans d'expérience requis, alors que le statut réel est Associate of ISC2, crée un écart que la vérification ISC2 rend visible. Écrivez le statut exact.
5. Détailler ses accès habilités. Le niveau d'habilitation détenu et le périmètre couvert ne s'écrivent pas sur un document publié en ligne. « Éligible à une habilitation » suffit et ouvre les mêmes portes.
6. Casser le parsing avec la mise en page. Colonnes imbriquées, icônes, barres de niveau et logos d'éditeurs font perdre les mots-clés qui déclenchent la lecture humaine. Une colonne, du texte brut, un export PDF texte.

À quoi ressemble un CV cybersécurité annoté ?

Un CV cybersécurité efficace tient en quatre blocs : un titre qui nomme la filière et l'environnement, un bloc compétences groupé par famille, trois à quatre expériences dont chaque ligne finit par un chiffre ou un référentiel, et une section formation et certifications réduite à quatre lignes. La structure ci-dessous applique ce modèle à un profil SOC.

Bloc 1, le titre. « Analyste SOC niveau 2, Microsoft Sentinel et EDR, secteur bancaire ». Trois informations en une ligne : la filière et le niveau, la stack de détection, le secteur. Le recruteur sait immédiatement s'il est dans le périmètre de son annonce.

Bloc 2, les compétences. Groupées par famille, en texte brut : détection (Microsoft Sentinel, Splunk, Defender for Endpoint), analyse (MITRE ATT&CK, forensic Windows), automatisation (KQL, Python, PowerShell, playbooks SOAR), systèmes (Windows Server, Active Directory, Linux).

Bloc 3, les expériences. Quatre à cinq lignes par poste, toutes sur le même moule : verbe d'action, périmètre, chiffre.

• Qualifié en moyenne 120 alertes par jour sur un périmètre de 8 500 postes, escalade en niveau 3 sur 4 % des cas
• Industrialisé 60 règles de corrélation couvrant 34 techniques MITRE ATT&CK, faux positifs réduits de 42 %
• Ramené le délai moyen de détection de 41 minutes à 12 minutes sur les scénarios de compromission de compte
• Conduit 14 investigations forensic post-incident, dont 3 compromissions confirmées documentées pour le CERT interne
• Rédigé 9 playbooks SOAR, temps de réponse de niveau 1 divisé par deux sur les alertes de phishing

Bloc 4, formation et certifications. Quatre lignes maximum : diplôme, école, année, puis les certifications avec leur année d'obtention. Une certification expirée se retire du CV, et un statut d'Associate se déclare comme tel.

La candidature complète se joue sur deux documents. Une fois le CV calibré sur une filière, le guide de la lettre de motivation tech traite la partie qui explique pourquoi cette équipe et ce périmètre précisément.

Questions fréquentes

Faut-il un CV différent pour un poste SOC, pentest ou GRC ?

Le format reste le même, le contenu change entièrement. Un CV SOC se lit sur des volumes et des délais : alertes qualifiées, temps moyen de détection, taux de faux positifs, techniques MITRE ATT&CK couvertes. Un CV pentest se lit sur des vulnérabilités et leur criticité : CVE, score CVSS, portées PASSI, rapports acceptés. Un CV GRC se lit sur des référentiels et des périmètres : ISO 27001:2022, EBIOS RM, échéances NIS2 ou DORA tenues.

Quelles certifications mettre sur un CV cybersécurité en 2026 ?

La certification suit la filière et la séniorité. En entrée, le CompTIA Security+ (425 dollars, trois ans) est la base généraliste et le SC-200 (165 dollars) cible les SOC sous Microsoft Sentinel. En pentest, l'OSCP d'OffSec (1 749 dollars, cours PEN-200 et une tentative incluse) reste la référence pratique. En GRC, l'ISO 27001 Lead Implementer et l'EBIOS Risk Manager sont attendus. Le CISSP se place en fin de parcours.

Faut-il mentionner une habilitation Défense sur un CV cybersécurité ?

Mentionnez votre éligibilité, jamais le détail de vos accès. « Éligible à une habilitation, procédure déjà menée » ouvre les postes de la base industrielle et technologique de défense sans exposer d'information sensible. Vérifiez la formulation : l'instruction générale interministérielle 1300 du 9 août 2021 a remplacé les trois anciens niveaux par deux mentions, Secret et Très Secret. « Confidentiel Défense » n'existe plus depuis 2021.

Les CTF et le bug bounty comptent-ils sur un CV cybersécurité ?

Oui, à condition d'être chiffrés. « Participation à des CTF » ne prouve rien. Un classement Root-Me, un nombre de machines résolues sur HackTheBox ou un nombre de rapports acceptés sur YesWeHack, plateforme française qui fédère plus de 135 000 chercheurs dans 130 pays, prouvent une capacité à trouver des vulnérabilités sur des cibles réelles. La recruteuse cybersécurité d'Orange cite explicitement les projets personnels, les CTF et les MOOC de l'ANSSI parmi ses signaux de lecture.

Combien gagne un professionnel de la cybersécurité en France en 2026 ?

L'écart entre filières est large. Un analyste SOC de niveau 1 démarre entre 32 000 et 40 000 euros bruts annuels en Île-de-France, primes d'astreinte comprises entre 3 000 et 6 000 euros en plus. Un pentester junior se situe entre 42 000 et 50 000 euros, un senior entre 70 000 et 95 000 euros. L'enquête du CESIN situe la rémunération moyenne d'un RSSI autour de 90 480 euros bruts annuels, médiane à 84 393 euros.

En résumé

Un CV cybersécurité se trie sur trois choses : une filière annoncée dès le titre plutôt qu'un profil généraliste, des lignes d'expérience chiffrées en volumes, en criticité ou en périmètre selon la filière, et un vocabulaire aligné sur les référentiels de 2026. Le reste consomme la place d'une ligne qui aurait prouvé quelque chose.

Les quatre marqueurs qui datent un dossier en 2026 sont identifiables en une relecture : « OWASP Top 10 2021 », « ISO 27001:2013 », « Defense Evasion » et « Confidentiel Défense ». La séquence de certifications qui tient debout part du Security+ et d'une certification éditeur, passe par l'OSCP en pentest ou l'ISO 27001 Lead Implementer en GRC, et garde le CISSP pour après cinq ans de pratique dans deux domaines au moins.

Si vous préparez une candidature en cybersécurité, l'écart le plus fréquent tient en une phrase : un CV qui expose une exposition à trois filières au lieu de prouver une pratique dans une seule. Analyser mon CV cybersécurité repère ces lignes en 30 secondes et propose la reformulation chiffrée, gratuitement et sans engagement.

Questions fréquentes

Faut-il un CV différent pour un poste SOC, pentest ou GRC ?

Le format reste le même, le contenu change entièrement. Un CV SOC se lit sur des volumes et des délais : alertes qualifiées par jour, temps moyen de détection, taux de faux positifs, techniques MITRE ATT&CK couvertes. Un CV pentest se lit sur des vulnérabilités trouvées et leur criticité : CVE, score CVSS, portées d'audit PASSI, rapports acceptés en bug bounty. Un CV GRC se lit sur des référentiels et des périmètres : ISO 27001:2022, EBIOS Risk Manager, nombre d'entités couvertes, échéances NIS2 ou DORA tenues. Un CV qui mélange les trois ne se rattache à aucune des trois.

Quelles certifications mettre sur un CV cybersécurité en 2026 ?

La certification suit la filière et la séniorité. En entrée de filière, le CompTIA Security+ (425 dollars, trois ans) est la base généraliste, et le SC-200 (165 dollars) cible les SOC sous Microsoft Sentinel. En pentest, l'OSCP d'OffSec (1 749 dollars avec le cours PEN-200 et une tentative d'examen) reste la référence pratique. En GRC, l'ISO 27001 Lead Implementer ou Lead Auditor et l'EBIOS Risk Manager de l'ANSSI sont attendus. Le CISSP (749 dollars, plus une cotisation annuelle de 125 à 135 dollars) exige cinq ans d'expérience dans au moins deux des huit domaines et se place en fin de parcours.

Faut-il mentionner une habilitation Défense sur un CV cybersécurité ?

Mentionnez votre éligibilité, pas le détail de vos accès. Écrire « éligible à une habilitation, procédure déjà menée » suffit à ouvrir les postes de la base industrielle et technologique de défense, sans exposer d'information sensible en ligne. Attention à la formulation : l'instruction générale interministérielle 1300 du 9 août 2021 a remplacé les trois anciens niveaux par deux mentions, Secret et Très Secret. Un CV qui affiche « Confidentiel Défense » utilise une classification supprimée depuis 2021 et se date immédiatement auprès d'un recruteur du secteur.

Les CTF et le bug bounty comptent-ils sur un CV cybersécurité ?

Oui, à condition d'être chiffrés. Une ligne « participation à des CTF » ne prouve rien. Un classement Root-Me, un nombre de machines résolues sur HackTheBox, ou un nombre de rapports acceptés sur YesWeHack, plateforme française qui fédère plus de 135 000 chercheurs dans 130 pays, prouvent une capacité à trouver des vulnérabilités sur des cibles réelles. Chez Orange, la recruteuse cybersécurité cite explicitement les projets personnels, les CTF et les MOOC de l'ANSSI parmi les signaux qu'elle cherche sur un CV.

Combien gagne un professionnel de la cybersécurité en France en 2026 ?

L'écart entre filières et entre niveaux est large. Un analyste SOC de niveau 1 démarre entre 32 000 et 40 000 euros bruts annuels en Île-de-France, avec des primes d'astreinte 24/7 qui ajoutent 3 000 à 6 000 euros. Un pentester junior se situe entre 42 000 et 50 000 euros, un senior entre 70 000 et 95 000 euros. Le RSSI reste le poste le mieux payé : l'enquête du CESIN situe la rémunération moyenne autour de 90 480 euros bruts annuels, avec une médiane à 84 393 euros. Un différentiel de 10 à 15 % persiste entre l'Île-de-France et la province.

Prestance

Outil d'analyse de CV sectoriel par IA. Score sur 100, mots-clés manquants, recommandations par section.