Photo par Pierre Châtel-Innocenti via Unsplash
Alors que la cybersécurité est devenue un enjeu majeur pour les entreprises, quels que soient leur taille ou leur secteur, la France ne compte pas encore de leader mondial sur le sujet, à la différence des Etats-Unis ou d’Israël, notamment. BIG 2021 a été l’occasion de se pencher sur les pistes qui permettraient de favoriser l’émergence de champions de la cybersécurité en France, avec un panel d’experts du sujet réunis par Bpifrance Large Venture.
Après une première partie de table-ronde consacrée aux nouvelles menaces “cyber” qui pèsent sur les entreprises du monde entier, les participants se sont penchés sur les freins à l’expansion internationale des startups françaises de la cybersécurité. En effet, si celles-ci constituent déjà un vivier de 150 entreprises, elles peinent encore à passer à l’échelle de la “scale-up” et a fortiori de la licorne. Ce n’est pas faute de talents et de compétences : des entreprises françaises comme Sqreen, Alsid ou Sentryo ont été rachetées par des américains juste avant de devenir scale-ups…
La question centrale : la stratégie US
Pour Olivier Breittmayer, le fondateur d’Exclusive Networks, spécialiste de la cybersécurité récemment introduit en bourse, la France n’a en effet pas à rougir en matière de talents et de compétences dans le domaine cyber : “On a un savoir-faire, avec des gens qui sont bons,” explique-t-il. Pour autant, cela n’est pas encore suffisant pour faire émerger depuis l’hexagone des poids lourds mondiaux.
Le nœud du problème réside principalement dans la stratégie de conquête du marché américain : ce marché représente entre 40% et 50% des budgets mondiaux en cybersécurité, avec des niveaux de maturité des clients plus élevés qu’en Europe. Ces clients attendent des solutions hyper-spécialisées alors que leurs homologues européens allouent des budgets moindres au sujet et recherchent plutôt des solutions “couteau-suisse”.
La faute aux investisseurs ? Plus aujourd’hui !
Pendant longtemps, “les investisseurs en capitaux ont [eu] tendance à demander aux sociétés qui développent des produits en France de démontrer que ça fonctionne déjà sur le marché français”, selon Olivier Breittmayer. Ce n’était qu’une fois la traction validée en France que des investissements plus conséquents étaient consentis pour partir à la conquête de l’international. Or, la France représente moins de 5% du marché mondial de la cybersécurité, avec, qui plus est, un rythme d’adoption des technologies plus lent que sur d’autres marchés.
Bonne nouvelle : ces dernières années, l’écosystème VC a considérablement changé, avec une appétence plus forte pour l’hypercroissance et l’agressivité commerciale.
L’enjeu de l’internationalisation au plus tôt est également un facteur clé de succès mis en avant par Gérôme Billois, partner chez Wavestone : “il faut très rapidement que notre écosystème se tourne vers l’étranger et réfléchisse tout de suite à s’internationaliser. Parce que même si on vend extrêmement bien en France, on arrivera seulement à faire des PME de la cyber qui seront certes rentables, qui pourront faire vivre 25, 50 personnes, mais on n’arrivera pas à créer ces champions, ces licornes qu’on appelle de nos vœux.”
“Si vous allez voir une banque américaine en disant ‘voici une solution de gestion de logs”, elle veut que ce soit la meilleure solution de logs et de gestion d’événement. Elle ne veut pas d’une solution qui fasse un petit peu de gestion d’événements et un petit peu de détection d’intrusions, etc.,” explique Renaud Deraison, fondateur et CTO de Tenable, une licorne de la cybersécurité américaine cotée au Nasdaq. Or, trop de startups françaises tombent encore dans le piège de l’approche généraliste, difficile à maintenir dans le temps. “Tant que les entreprises continuent d’opérer comme ça, on restera bloqué,” alerte-t-il.
Cette différence structurelle oblige les entrepreneurs à décider très tôt d’aller ou non aux Etats-Unis : aller trop tard sur ce marché fait courir à la société le risque de développer un produit trop généraliste, qui ne sera pas pertinent pour les clients américains. A contrario, partir à la conquête des Etats-Unis nécessite des capitaux importants pour recruter une équipe commerciale capable de toucher les entreprises du Fortune 500, qui représentent le gros du marché. Cela suppose aussi d’investir massivement et très tôt dans son produit et son infrastructure pour être capable de répondre très rapidement aux enjeux d’échelle de tels clients.
VOUS SOUHAITEZ ENTRER EN CONTACT AVEC DES STARTUPS INNOVANTES ?
Développer la culture du produit
Pour Renaud Deraison, l’absence de licorne française dans la cybersécurité tient aussi au manque de culture “produit” des ingénieurs français. “Un programme ou un logiciel, ce n’est pas un produit. On a le savoir-faire ici en France, on a de très bons ingénieurs, mais autour, pour transformer un logiciel en produit, il faut une équipe marketing et une équipe de vente. Il y a un millier de variables qui transforment un logiciel en produit. C’est important, parce qu’on n’a pas les talents pour tout. Et du talent en France, pour ce qui s’appelle Product Marketing Manager, c’est très difficile à trouver.”
Ce constat est partagé aussi par Gérôme Billois : “très souvent, on a des profils très techniques, très ingénieurs, qui vont concevoir des solutions et qui, parfois, quand on pose la question ‘Mais à quoi ça sert et comment vous le vendez ?’ considèrent que ce n’est pas leur question, alors que ça devrait l’être. C’est vraiment un point clé d’arriver à changer cet état d’esprit.”
Autre travers français : la difficulté des fondateurs à passer la main lorsque l’entreprise croit. “Aux Etats-Unis, le fondateur d’une startup en général, c’est lui qui a l’idée de la techno. Très vite, il arrive qu’il se mette en retrait avec un job de CTO – founder et qu’il embauche un CEO pour développer la boîte et la faire grossir. Ils n’ont aucun problème à lâcher leur poste de direction pour mettre quelqu’un de plus compétent,” souligne Olivier Breittmayer.
S’appuyer sur les atouts français, en adoptant un modèle proche du modèle israélien
Pour réussir, le fondateur d’Exclusive Networks conseille plutôt de s’inspirer des startups israéliennes : “elles gardent la R&D en Israël et vont très vite aux US. Quand elles commencent à vendre sur le marché américain, elles se présentent comme des entreprises américaines. Une fois que ça marche aux Etats-Unis, qui est toujours un marché plus en avance, elles reviennent en Europe, sur l’ensemble des pays, avec des moyens très importants pour pénétrer le marché.”
Cette ouverture rapide à l’international n’est pas nécessairement un frein dans un contexte de patriotisme économique et de recherche de souveraineté numérique, selon Olivier Breittmayer : “on peut être un acteur local, devenir mondial et continuer à être une société d’origine française. Ce n’est pas parce que vous partez aux US que vous perdez ce label français. L’un n’empêche pas l’autre. Même pour les gouvernements et les entreprises un peu sensibles, avoir un produit vendu dans le monde entier, donc avec une expérience utilisateur beaucoup plus large et un produit qui va évoluer beaucoup plus, permettra d’avoir des produits de meilleure qualité.”
En outre, dans leur conquête de l’international, les startups françaises peuvent s’appuyer sur de nombreux atouts propres à la France : le nombre important d’ingénieurs formés chaque année, leur niveau technique élevé, les écosystèmes d’innovation sur le territoire ou encore la réputation et les actions de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) reconnue comme l’agence la plus sophistiquée d’Europe.
Pour valoriser ces nombreux atouts et accélérer le développement d’un écosystème cyber en France et en Europe, un programme a été lancé : la stratégie d’accélération cyber. Le Campus Cyber qui s’inscrit dans cette stratégie va d’ailleurs ouvrir ses portes début 2022 à la Défense,. L’ANSSI est fortement impliquée dans le projet, même si la priorité est laissée aux acteurs du privé.
Emmanuel Naegelen, DGA de l’ANSSI, explique ainsi que ce projet “privé-public” repose sur une conviction : “si on veut développer l’écosystème d’entreprises, faire en sorte qu’il y ait des startups qui se développent, des grands groupes qui en profitent, bref, que l’écosystème, globalement, en profite, peut-être qu’il faut faire appel un peu plus à des gens dont c’est le métier.”
L’ambition est claire pour l’ANSSI : trouver la bonne recette pour s’assurer que les entreprises et les organismes publics français disposent de technologies suffisamment souveraines, sans pour autant les enfermer dans le seul marché français.
