Crédit impôt recherche cybersécurité : le guide complet pour les entreprises

Une filière sous pression constante, qui innove par obligation

En 2025, l'ANSSI a traité 1 366 incidents de sécurité en France, un chiffre stable par rapport à 2024 (1 361) mais en forte hausse sur cinq ans : ils n'étaient que 831 en 2022. Plus frappant encore, les incidents liés à des exfiltrations de données ont augmenté de 51 % en un an, passant de 130 à 196 cas portés à la connaissance de l'agence, dont 80 ont pu être effectivement confirmés à l'issue des investigations.

Dans ce contexte, les entreprises de cybersécurité n'innovent pas par choix stratégique. Elles innovent par nécessité. Les attaquants renouvellent leurs techniques en permanence : plus d'une dizaine de nouvelles souches de rançongiciels ont fait leur apparition en 2025 selon le Panorama de la cybermenace de l'ANSSI, dont Nova, Warlock et Sinobi. Face à cette évolution constante, les équipes R&D des acteurs de la sécurité informatique travaillent sur des problèmes en évolution continue et pour lesquels les approches classiques sont limitées, et dans certaines situations obsolètes. L’acquisition de nouvelles connaissances non adressées dans l’état de l’art est donc quasi certaine et le crédit d'impôt recherche est dédié à financer le développement de ces nouvelles approches.

Le marché cybersécurité en France : des investissements R&D massifs

Selon Mordor Intelligence, le marché de la cybersécurité en France est évalué à 9,1 milliards de dollars en 2025. Il devrait atteindre 17,09 milliards de dollars d'ici 2031, avec un taux de croissance annuel de 11,3 %. C'est l'un des secteurs technologiques les plus dynamiques de l'économie française.

Cette croissance s'accompagne d'une pression inédite sur les recrutements. Les offres d'emploi dans la cybersécurité ont progressé de 49 % entre 2019 et 2024 selon l'Observatoire des métiers de l'ANSSI, avec plus de 23 000 postes publiés entre juin 2023 et juin 2024. Environ 15 000 postes restent non pourvus faute de candidats qualifiés. Les salaires suivent la même trajectoire : selon le baromètre Expectra 2025, le profil de consultant en cybersécurité a enregistré la plus forte progression salariale du secteur IT, avec une hausse de 9,5 % pour un salaire médian de 49 000 euros.

Ces données ont une conséquence directe sur le CIR : puisque les salaires des ingénieurs R&D constituent le premier poste de calcul du crédit d'impôt recherche, les entreprises de cybersécurité qui emploient des profils techniques qualifiés, et travaillant sur des projets complexes, disposent mécaniquement d'une assiette CIR potentiellement plus élevée.

Pourquoi les PME et startups cyber font de la R&D

Les attaques par rançongiciel visent en priorité les structures les moins protégées. En 2025, les PME, TPE et ETI représentaient 48 % des victimes de ransomware recensées par l'ANSSI. Le coût d'une telle attaque pour une PME s'établit entre 50 000 et 300 000 euros de coûts directs, hors rançon, avec une durée moyenne d'indisponibilité de 23 jours selon les données Coveware (T4 2024). Résultat : les entreprises qui développent des solutions pour protéger ces cibles font face à une demande d'innovation technique permanente et documentable.

Or une grande majorité des PME françaises consacrent moins de 1 000 euros par an à leur cybersécurité selon une étude IFOP pour F-Secure. Cette sous-protection massive crée un besoin d'outils accessibles, efficaces et adaptés aux PME que les solutions existantes ne couvrent pas encore. Développer ces outils, concevoir ces logiciels, tester ces architectures de protection : voilà des travaux qui relèvent du développement expérimental au sens du crédit d'impôt recherche CIR.

A ce titre, il est à noter que la majorité des dirigeants de startups et PME de cybersécurité ne se reconnaissent pas dans l'image du chercheur en blouse blanche associée au CIR. Leurs ingénieurs font de la R&D au sens fiscal du terme, mais ils appellent ça « développement de produit ». Il y a une réelle invisibilité de ce qu’une démarche expérimentale dans ce domaine, bien que cette dernière soit pratiquée pleinement pour la mise en place de solutions à ces problèmes complexes.

Les 5 critères d'éligibilité au crédit d'impôt recherche

Pour être éligibles au CIR, les projets de recherche et développement doivent répondre à cinq critères précis, définis par les lignes directrices de Frascati. Ces critères s'appliquent dans tous les domaines, y compris la cybersécurité.

Un projet éligible doit être nouveau : il apporte une solution marquant une certaine différence par rapport aux solutions existantes, en apportant une certaine contribution technique que l’existant n’adresse pas.

Il doit être créatif, fondé sur l'utilisation de nouvelles idées, approches ou méthodologies pour résoudre des problèmes scientifiques ou techniques non résolus.

Il doit être incertain : l'incertitude se réfère à l'existence de questions techniques ou scientifiques pour lesquelles les solutions ou résultats ne sont pas connus à l'avance, même par des experts du domaine. Si le résultat est garanti dès le départ, il n'y a pas de R&D.

Il doit être systématique, c'est-à-dire mené de façon planifiée et documentée en suivant un plan méthodique et structuré.

Il doit être transférable : désigne la capacité des connaissances, résultats, ou technologies développés au cours d'un projet de recherche et développement à être appliqués, réutilisés ou adaptés dans d'autres contextes, applications ou secteurs industriels.

En cybersécurité, ces cinq critères se retrouvent naturellement dans les projets qui cherchent à détecter des menaces encore inconnues, à contrer des techniques d'attaque jamais observées, ou à concevoir des architectures de sécurité que les logiciels existants ne proposent pas encore.

Quelles activités cybersécurité sont éligibles au CIR ? Exemples concrets

La frontière entre R&D et activité opérationnelle est essentielle à comprendre. Voici une liste non exhaustive d’activités qui entrent dans le périmètre du crédit d'impôt recherche CIR dans le domaine de la sécurité informatique.

Le développement d'algorithmes de détection comportementale visant à identifier des menaces zero-day à partir de signaux faibles dans des flux réseau massifs est un exemple classique. Ces travaux impliquent des verrous technologiques réels : comment distinguer un comportement malveillant d'une activité légitime dans un volume de données où les faux positifs ont un coût opérationnel élevé ? Aucun outil standard ne répond encore à cette question de façon satisfaisante, ce qui en fait un terrain fertile pour la R&D éligible.

La conception de systèmes de détection et de réponse automatisée aux incidents (EDR, XDR) qui intègrent des modèles d'IA pour anticiper les techniques d'attaque est également éligible, à condition que les méthodes de modélisation développées dépassent l'état de l'art disponible. De même, la recherche sur des architectures cryptographiques résistantes à l'informatique quantique, les travaux sur la sécurisation des environnements OT (technologies opérationnelles) dans l'industrie, ou la conception de solutions de protection des données dans des contextes d'IA générative constituent autant de domaines où les verrous technologiques sont réels et documentables.

Le développement logiciel entre dans l'assiette du CIR dès lors qu'il lève un problème technique que les outils existants ne savent pas encore résoudre. Un logiciel de détection d'intrusion qui met en œuvre une méthode d'analyse comportementale inédite n'est pas un développement informatique classique : c'est de la R&D. La mise à jour d'un produit peut également être éligible si elle implique de lever de nouveaux verrous techniques face à des techniques d'attaque émergentes.

Travaux de développement de méthodes ou systèmes de sécurisation des IoT (Internet des objets) : Élaboration et test de méthodes pour renforcer la sécurité des dispositifs IoT, en rendant plus robustes les communications et la gestion des données.

Certaines activités, même très techniques, restent hors périmètre du crédit d'impôt recherche. La maintenance corrective de logiciels de sécurité existants, le déploiement de solutions chez des clients, les audits de sécurité standards, les tests de pénétration récurrents sur des systèmes déjà connus, et les mises à jour de conformité réglementaire ne constituent pas de la R&D au sens fiscal.

La règle de fond est simple : si la solution était prévisible avant de commencer les travaux, il n'y a pas de R&D éligible. Les verrous à lever doivent représenter une incertitude scientifique ou technique réelle, pas un problème d'ingénierie dont l'issue est connue d'avance.

Le crédit d'impôt recherche (CIR) et crédit d'impôt innovation (CII) : quelle différence pour les PME et startups cyber ?

Le crédit d'impôt innovation (CII) est un dispositif complémentaire réservé aux PME au sens communautaire (moins de 250 salariés, chiffre d'affaires inférieur à 50 millions d'euros). Là où le CIR couvre les travaux de R&D au sens strict, le CII finance la conception de prototypes et d'installations pilotes de nouveaux produits (sous forme de bien ou de service). Depuis la loi de finances 2025, son taux est fixé à 20 % dans la limite de 400 000 euros de dépenses éligibles, soit un crédit maximum de 80 000 euros par an. Le dispositif est prorogé jusqu'au 31 décembre 2027.

Une startup cyber qui développe une première version d'un produit de protection innovant peut mobiliser le CII avant même d'atteindre le niveau de R&D exigé pour le CIR. Les deux dispositifs sont cumulables, ce qui permet aux PME et aux startups de maximiser leur crédit global sur l'ensemble de leurs projets d'innovation.

Le poids des salaires dans l'assiette CIR : un avantage structurel pour la filière

Les entreprises de cybersécurité ont une caractéristique qui les rend particulièrement bien positionnées pour le CIR : leurs équipes sont composées en grande majorité d'ingénieurs hautement qualifiés, dont les salaires sont élevés et en forte hausse. Or les dépenses de R&D éligibles incluent les salaires des chercheurs et techniciens de R&D, majorés forfaitairement de 40 % pour couvrir les frais de fonctionnement.

Concrètement, pour une équipe de dix ingénieurs R&D rémunérés en moyenne 65 000 euros par an, l'assiette CIR dépasse 900 000 euros avant prise en compte des équipements et de la sous-traitance. Le crédit d'impôt correspondant approche les 280 000 euros. C'est une somme qui finance un recrutement supplémentaire, un serveur de tests, une année entière de développement logiciel.

Les dépenses de R&D doivent être justifiées de manière détaillée. Des suivis de temps passés par les collaborateurs sur chaque projet R&D sont nécessaires. Il est important de mettre en place des moyens de traçabilité des informations (techniques ou de suivi d’activité) permettant de justifier chaque poste de dépenses en cas de vérification fiscale.

Comment constituer un dossier CIR solide dans le contexte cybersécurité

Un dossier CIR doit démontrer l'existence de verrous scientifiques et techniques. Dans le domaine de la cybersécurité, cette démonstration est généralement plus intuitive qu'on ne le croit : les équipes gardent naturellement des traces de leurs travaux, des bugs non résolus, des méthodes d'attaque identifiées mais pas encore contrées. La documentation doit simplement être formalisée et établie tout au long des projets.

En pratique, cela signifie tenir un journal de bord des travaux de R&D, formaliser les hypothèses testées et les problèmes rencontrés, et conserver les preuves des avancées obtenues. Un dossier technique complet est essentiel pour maximiser le CIR et sécuriser la position de l'entreprise en cas de contrôle. Les entreprises qui souhaitent sécuriser leur périmètre en amont peuvent recourir au rescrit fiscal, une procédure qui permet d'interroger l'administration fiscale sur l'éligibilité des travaux avant de déposer la demande. Un premier rendez-vous de diagnostic permet généralement d'évaluer le potentiel CIR d'une entreprise en moins d'une heure. Des cabinets spécialisés comme Leyton accompagnent les entreprises dans l'identification des projets éligibles, la constitution du dossier et la défense de la demande en cas de contrôle. Un second rendez-vous suffit souvent à cadrer les travaux éligibles et à lancer le processus de déclaration.

La filière cybersécurité française est à la fois l'une des plus exposées aux menaces et l'une des plus innovantes dans ses réponses. Le marché croît à un rythme de plus de 11 % par an, les équipes R&D sont qualifiées et bien rémunérées, et les problèmes techniques à résoudre sont réels et documentables. Toutes les conditions sont réunies pour exploiter pleinement le crédit d'impôt recherche cybersécurité.

Si votre entreprise développe des outils de protection innovants, conçoit de nouveaux systèmes de détection ou travaille sur des technologies de sécurité inédites, une partie significative de vos activités est probablement éligible au CIR. Un premier diagnostic permet d'évaluer votre potentiel en moins d'une heure.