La cybersécurité est le sujet où j'ai vu le plus de freelances se planter en 2026. Pas parce que le marché est mauvais, il est excellent. Parce que les pages de vente racontent toutes la même chose et que personne ne dit ce qu'on achète vraiment.
J'ai passé plusieurs jours sur les huit organismes ci-dessous. Je n'ai suivi aucune de ces formations, et je ne vais pas te faire croire le contraire. Ce que j'ai fait, c'est lire les fiches produit, les grilles tarifaires, les fiches France Compétences des titres visés et les avis publics. Sur la pédagogie, je réserve mon jugement. Sur ce que tu paies, ce que tu obtiens et ce qu'on te demande en plus de l'argent, je peux t'éviter des erreurs coûteuses.
Trois choses m'ont surpris pendant cette recherche. La première, c'est que payer de sa poche au CNAM coûte cinq fois moins cher que d'utiliser son CPF. La deuxième, c'est que deux des formations les plus vendues exigent des centaines d'heures d'expérience professionnelle en plus du prix affiché, ce qui bloque un indépendant sans employeur. La troisième, c'est qu'un seul organisme sur huit m'a permis de tracer son éligibilité CPF jusqu'à la fiche officielle de la certification.
Qu'est-ce qu'une formation cybersécurité pour freelance ?
C'est un programme qui te donne soit un titre reconnu par l'État, soit une certification reconnue par le marché. Les deux ne servent pas à la même chose et c'est la première distinction à comprendre.
Un titre RNCP (Jedha, Studi, OpenClassrooms, ESD, CNAM) atteste d'un niveau de qualification. Il rassure sur un CV, il débloque les financements publics, il ouvre des portes en salariat. Une certification marché (CISSP, ISO 27001 Lead Implementer, EBIOS Risk Manager, chez Dawan et M2i) atteste d'une compétence précise reconnue par les acheteurs. C'est elle qui apparaît dans les grilles d'achat des grands comptes et des ESN.
Si tu vises le salariat ou une reconversion complète, prends un titre. Si tu es déjà indépendant et que tu veux ouvrir une ligne de facturation, prends une certification.
Comment ça fonctionne concrètement ?
Trois modèles coexistent sur ce marché, avec des conséquences très différentes sur ton planning.
Le bootcamp intensif. Jedha, avec 75 à 450 heures, en temps plein ou en temps partiel à deux heures par jour. Rythme soutenu, résultat rapide, mais tu ne factures pas pendant ce temps si tu prends le temps plein.
Le cursus diplômant asynchrone. Studi, ESD, le CNAM. Tu avances à ton rythme, entre deux missions, sur 9 à 24 mois. C'est le modèle le plus compatible avec une activité en cours, mais il demande une discipline réelle : sans cadre extérieur, la moitié des gens abandonnent.
La session courte certifiante. Dawan, M2i, Cegos. Deux à cinq jours, en présentiel ou en classe virtuelle, avec une certification au bout. Tu coupes une semaine, pas six mois. C'est le format des gens qui ont déjà le métier et qui veulent l'attester.
Quels avantages pour un freelance ?
Le marché cyber français manque de bras et ça se voit sur les TJM. Les missions de gouvernance, de mise en conformité et d'audit se facturent nettement au-dessus du support technique ou du développement.
Trois bénéfices concrets pour un indépendant.
- Une ligne de facturation en plus, sans changer de métier. Un dev qui ajoute de l'audit de sécurité à son offre ne se reconvertit pas, il élargit.
- Un accès aux grands comptes. Les grilles d'achat exigent souvent une certification nommée. Sans elle, tu ne passes pas le filtre, quel que soit ton niveau réel.
- Une dépendance moindre à un seul client. La conformité (RGPD, NIS 2, DORA) crée de la demande récurrente et contrainte par la loi, pas par un budget marketing.
Comment intégrer une formation cyber dans son activité freelance ?
La question n'est pas de trouver du temps, c'est de décider ce que tu arrêtes. Une formation de 450 heures, c'est un jour par semaine pendant un an.
Ce qui marche, d'après ce que j'observe : bloquer un jour fixe par semaine, non négociable, traité comme un client. Choisir un format asynchrone si ton planning de missions bouge (ESD, Studi, CNAM). Choisir une session datée si tu sais que tu ne tiens pas sans contrainte externe (Dawan, M2i, Jedha en présentiel).
Et surtout, vérifier avant de payer les contraintes annexes : le stage de 350 heures chez Studi, les heures d'expérience professionnelle chez Jedha, l'examen en présentiel dans quatre villes seulement. Ce sont ces clauses qui font échouer les parcours, pas le contenu.
Quelles limites connaître avant de choisir ?
Trois pièges que j'ai identifiés en creusant.
Le CPF n'est pas toujours là où on le croit. Presque tous ces organismes affichent une mention CPF quelque part sur leur site. Mais elle porte parfois sur l'organisme en général, pas sur la formation cyber précise. Chez OpenClassrooms, les pages cyber ne mentionnent que l'alternance. Chez Cegos, aucune page cyber ne parle de CPF. Chez M2i, seule une partie du catalogue est éligible. Vérifie sur ton compte, pas sur la page de vente.
Le prix affiché n'est pas le coût réel. Les prix des organismes B2B (Dawan, M2i, Cegos) sont hors taxes : si tu es en franchise de TVA, ajoute 20 %. Jedha facture des frais de certification en plus. Dawan et M2i n'incluent pas l'examen CISSP. Studi impose un déplacement pour l'examen.
Un titre n'est pas une compétence opérationnelle. OpenClassrooms publie honnêtement ses chiffres : 83 % de ses certifiés sont en emploi à six mois, mais 56 % seulement dans le métier visé. Le diplôme ouvre une porte, il ne remplit pas ton carnet de commandes.
Comment choisir la bonne formation ?
Trois questions, dans cet ordre.
Un : quel est ton point de départ ? Si tu as déjà un bac+2 informatique ou une expérience IT solide, le CNAM à 828 € en autofinancement est mécaniquement imbattable, à condition d'accepter dix-huit mois. Si tu pars d'un métier non technique, l'Essentials de Jedha à 1 500 € est la façon la moins chère de savoir si le sujet te parle.
Deux : tu vends à qui ? Si tes clients sont des grands comptes ou des ESN, il te faut une certification nommée : ISO 27001 Lead Implementer chez Dawan, CISSP chez M2i. Si tu vises des PME, un titre RNCP et des livrables concrets suffisent largement.
Trois : tu peux couper combien de temps ? Si tu ne peux pas arrêter de facturer, va vers l'asynchrone (ESD, Studi, CNAM). Si tu peux bloquer une semaine, prends une session courte certifiante (Dawan, M2i). Si tu peux couper trois mois, le Fullstack de Jedha te rend opérationnel le plus vite.
Une dernière chose : ne prends jamais deux formations en parallèle. Tu n'en finiras aucune.
Le classement en une phrase chacun :
- Jedha : le plus modulaire, avec du présentiel et le CPF annoncé sur les trois formations métiers.
- CNAM : le moins cher de très loin, à 828 € en autofinancement, mais dix-huit mois et un bac+2 informatique exigé.
- Dawan : la seule éligibilité CPF que j'ai pu tracer jusqu'à la fiche de certification, sur l'ISO 27001 Lead Implementer.
- ESD Cybersecurity Academy : un bloc RNCP de niveau 7 à 990 €, en asynchrone, le format le plus compatible avec des missions en cours.
- Studi : un titre RNCP complet à 105 € par mois, avec un stage de 350 heures à anticiper.
- M2i Formation : le catalogue le plus large et les certifications que les grands comptes reconnaissent, mais des sessions annulables sous quatre participants.
- OpenClassrooms : le seul mentorat individuel hebdomadaire, mais sans prix public ni CPF confirmé sur le parcours cyber.
- Cegos : de la gouvernance et du RGPD, aucune formation technique, CPF non confirmé.
