Recruter des profils cyber dans le secteur public

Une mairie, un département ou un établissement public qui recrute en cybersécurité fait face à une double difficulté : des besoins qui augmentent vite, et un cadre de recrutement moins souple que celui d'une entreprise privée. Les rançongiciels qui paralysent des services publics pendant des semaines ont rendu le sujet très concret pour les élus et les directions générales. Ce guide aide les DGS, les DSI et les RSSI du secteur public à choisir les bons profils, à les attirer malgré les contraintes et à les évaluer correctement.

Ce qui rend le secteur public particulier

Les principes de la cybersécurité sont les mêmes partout. Leur application dans une administration ou une collectivité obéit pourtant à des règles propres.

La continuité du service public. État civil, paie des agents, aides sociales, gestion de l'eau ou des transports : une interruption touche directement les usagers, souvent les plus fragiles.
Un système d'information très hétérogène. Une collectivité gère des dizaines de métiers différents (urbanisme, petite enfance, voirie, action sociale), chacun avec ses logiciels, ses éditeurs et parfois ses équipements techniques connectés.
Des ressources limitées. Beaucoup de structures n'ont qu'une petite équipe informatique, voire aucune, et s'appuient sur des prestataires ou des structures mutualisées.
Un cadre réglementaire spécifique. Le Référentiel général de sécurité (RGS) encadre la sécurité des téléservices des autorités administratives et impose leur homologation. Le RGPD s'applique pleinement, avec un délégué à la protection des données obligatoire pour les organismes publics.
Des règles de recrutement encadrées. Statut, grilles de rémunération, publicité des postes, circuits de validation : le recruteur public ne dispose pas des mêmes leviers qu'une entreprise.

Le cadre qui pousse à recruter

La directive (UE) 2022/2555, dite NIS2, consultable sur eur-lex.europa.eu, fait figurer l'administration publique parmi les secteurs hautement critiques de son annexe I. Le texte vise les administrations centrales et laisse aux États membres le soin de définir quelles entités régionales et, le cas échéant, locales entrent dans le périmètre. Le détail de la transposition française, et donc la liste des collectivités concernées, est à vérifier sur cyber.gouv.fr, où l'ANSSI publie les informations à jour. Notre article sur les profils à recruter pour NIS2 explique comment relier chaque obligation à une compétence.

Au-delà de NIS2, plusieurs dispositifs publics soutiennent les structures : les centres régionaux de réponse aux incidents (CSIRT régionaux), les ressources de l'ANSSI destinées aux collectivités et le dispositif Cybermalveillance.gouv.fr pour les plus petites communes. Ils aident, mais ils ne remplacent pas une compétence interne capable de piloter le sujet.

Les profils dont le secteur a besoin

Toutes les structures n'ont pas besoin de tous ces postes. Le tableau aide à repérer ce qui manque selon votre taille.

Profil	Rôle dans une administration ou une collectivité	Origine fréquente
RSSI (dédié ou mutualisé)	Porte la politique de sécurité, sensibilise les élus et la direction générale, pilote l'homologation RGS et la gestion de crise	RSSI d'un autre secteur, DSI adjoint, ingénieur sécurité confirmé
Ingénieur sécurité ou administrateur orienté sécurité	Durcissement, sauvegardes, Active Directory, segmentation, accès des prestataires	Administrateur système ou réseau de la collectivité ou d'un intégrateur
Analyste GRC	Analyses de risques, dossiers d'homologation, suivi des marchés et des prestataires, lien avec le DPO	GRC IT, contrôle interne, chef de projet informatique
Référent détection	Suivi des alertes, pilotage d'un SOC externalisé, premier niveau d'investigation	Analyste SOC, administrateur formé à la détection
Responsable sécurité d'une structure mutualisée	Accompagne plusieurs collectivités adhérentes, harmonise les pratiques, mutualise les outils	RSSI, consultant en sécurité, chef de projet d'un opérateur public de services numériques

Pour une petite commune, recruter un RSSI à temps plein est rarement réaliste. La mutualisation est alors la voie la plus courante : à l'échelle de l'intercommunalité, d'un centre de gestion ou d'un syndicat informatique. Notre article sur le RSSI à temps partagé ou à temps plein aide à trancher, et notre guide pour construire une équipe sécurité propose un ordre de recrutement.

Statut, contrat et rémunération : poser le cadre avant de publier

C'est souvent ici que se jouent les échecs. Avant de rédiger l'annonce, clarifiez trois points avec la direction des ressources humaines.

Titulaire ou contractuel

Les emplois permanents ont vocation à être occupés par des fonctionnaires, mais le Code général de la fonction publique permet de recruter des agents contractuels dans certains cas, notamment lorsque les fonctions demandent des compétences spécialisées ou lorsqu'aucun titulaire n'a pu être recruté. Les profils cyber expérimentés viennent souvent du privé et ne sont pas titulaires : vérifiez dès le départ que le poste peut leur être ouvert, et sur quelle durée de contrat.

La rémunération

Les grilles et les régimes indemnitaires limitent la marge de négociation, surtout face aux offres du privé. Soyez transparent dès le premier échange : un candidat qui découvre l'écart au troisième entretien part, et il n'oublie pas l'expérience. Identifiez ce qui peut compenser : stabilité, périmètre, autonomie, formation, organisation du travail.

Le calendrier

Publicité obligatoire de la vacance de poste, jury, validation par l'autorité territoriale : chaque étape prend du temps. Un candidat sollicité ailleurs n'attendra pas plusieurs semaines entre deux entretiens. Fixez à l'avance les dates des jurys et réduisez le nombre de tours. Notre article sur le délai de recrutement en cybersécurité montre où se perdent les semaines.

Où trouver les candidats

Attendre un candidat qui connaît à la fois la sécurité, le fonctionnement d'une collectivité et vos logiciels métiers rallonge la recherche. Trois viviers méritent votre attention.

Les équipes informatiques publiques. Les administrateurs systèmes et réseaux des collectivités connaissent l'environnement, les élus et les usages. Avec un plan de formation et un référent, plusieurs peuvent évoluer vers la sécurité. Notre guide pour recruter des profils en reconversion s'applique largement.
Les professionnels du privé en quête de sens. Certains ingénieurs et analystes recherchent un poste utile à la collectivité, plus stable, avec moins de déplacements. Ils apportent la méthode et l'outillage.
Les intégrateurs et éditeurs du secteur public. Leurs ingénieurs connaissent les architectures, les logiciels métiers et les contraintes des marchés publics.

Évaluer sans se tromper de cible

Un jury mesure souvent la motivation et la connaissance de l'environnement public. Pour un poste cyber, ajoutez une vraie évaluation technique, conduite avec quelqu'un capable de juger les réponses. Quelques mises en situation utiles :

Le rançongiciel un lundi matin. Les postes de l'accueil et de l'état civil sont chiffrés. Quelles sont vos premières décisions, qui prévenez-vous, comment maintenez-vous le service aux usagers ? On attend de l'isolement, des procédures dégradées, de la communication avec la direction générale et les élus, et le recours aux dispositifs de signalement.
L'homologation d'un téléservice. Un nouveau portail citoyen doit ouvrir dans deux mois. Comment conduisez-vous l'analyse de risques et le dossier d'homologation avec les moyens disponibles ?
Le prestataire. Un éditeur demande un accès distant permanent pour maintenir un logiciel métier. Comment l'encadrez-vous, y compris dans le marché ?
La sensibilisation des élus. Expliquez en cinq minutes à un conseil municipal pourquoi la sécurité mérite un budget. Ce test révèle la capacité à vulgariser, essentielle dans ce contexte.

Notre article pour structurer un entretien technique cyber donne la méthode pour construire ces exercices sans être expert.

Les erreurs à éviter

Publier une fiche de poste générique. Une annonce qui reprend un modèle administratif sans décrire le périmètre réel, les outils et le rattachement n'attire pas les profils cyber.
Rattacher le poste trop bas. Un RSSI qui n'a pas accès à la direction générale obtient difficilement les arbitrages budgétaires.
Tout exiger à la fois. Gouvernance, homologation, détection, réseau et dix ans d'expérience publique : ce profil n'existe presque pas.
Oublier la gestion de crise. Les exercices et les procédures dégradées comptent autant que les outils.
Recruter une personne seule sans appui. Prévoyez un budget de formation, un accès à un réseau de pairs et des prestataires pour les sujets spécialisés.

En résumé

Recruter en cybersécurité dans le secteur public demande de clarifier le cadre (statut, rémunération, calendrier) avant de chercher, de viser les profils qui correspondent à votre taille, et d'évaluer sur des scénarios proches de votre quotidien. La mutualisation et les contractuels sont souvent les deux leviers qui débloquent la situation.

Vous devez renforcer la cybersécurité de votre collectivité ou de votre établissement public ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques adaptés au poste. Découvrez notre méthode ou partagez votre besoin.