Crédit d’impôt recherche pour les entreprises de cybersécurité : CIR, CII et rattrapage sur 3 ans
Quels travaux sont éligibles, combien ils rapportent et comment récupérer le crédit des trois dernières années : le CIR et le CII appliqués à la réalité du secteur, chiffres à l’appui.
Estimer mon CIR Étude gratuite
Mis à jour le 16 octobre 2026Lecture 7 minExemple chiffré 2026
La cybersécurité est une course permanente entre attaquants et défenseurs. Les éditeurs du secteur doivent détecter des menaces que personne n’a encore décrites, chiffrer sans ralentir, prouver la sûreté de leurs systèmes. Ces travaux comportent par nature une part importante d’incertitude, ce qui en fait un secteur naturel pour le CIR.
- Taux du CIR
- 30 %
- CIR / an (exemple)
- 117 906 €
- CII / an (exemple)
- 10 972 €
- Rattrapage 3 ans
- 386 634 €
Le CIR pour les entreprises de cybersécurité : un levier sous-utilisé
Le crédit d’impôt recherche reste sous-utilisé pour les entreprises de cybersécurité. Beaucoup d’entreprises du secteur pensent que leurs travaux sont trop appliqués, trop proches du produit ou trop modestes pour être de la « recherche ». C’est rarement exact : le critère n’est pas la taille du projet ni le prestige du laboratoire, mais l’existence d’une incertitude technique que les connaissances disponibles ne permettaient pas de lever.
Les éditeurs de cybersécurité emploient des ingénieurs très spécialisés, souvent issus de la recherche, dans des équipes de taille réduite. Leurs salaires chargés, majorés du forfait de fonctionnement de 40 %, forment l’essentiel de la base du crédit.
Les travaux éligibles au CIR pour les entreprises de cybersécurité
Les projets suivants présentent, dans le secteur, les caractéristiques de la recherche au sens fiscal :
- Concevoir des méthodes de détection de comportements malveillants inconnus avec un taux de faux positifs que les approches existantes n’atteignent pas.
- Développer des schémas cryptographiques ou des implémentations résistantes à des attaques nouvelles.
- Mettre au point des techniques de vérification formelle pour des composants critiques.
- Analyser des familles de menaces nouvelles pour en tirer des méthodes de défense généralisables.
Ces exemples ont un point commun : un verrou technique, c’est-à-dire une difficulté que l’état de l’art ne permettait pas de résoudre au début des travaux. C’est ce verrou, documenté et daté, qui fonde le crédit, et c’est lui que l’expert du ministère de la Recherche examine en premier. Le guide travaux éligibles au CIR détaille les cinq critères appliqués par l’administration.
Ce qui n’est pas de la recherche
Ne pas confondre l’effort de développement et la recherche évite l’essentiel des redressements. Les travaux suivants, fréquents dans le secteur, n’ouvrent pas droit au CIR, même s’ils mobilisent des ingénieurs :
- L’intégration de produits de sécurité du marché.
- Les audits et tests d’intrusion réalisés pour des clients.
- La mise à jour des signatures selon des procédures établies.
Un même projet comporte souvent une phase de recherche et des phases qui n’en relèvent pas. Bien les découper, en datant le début et la fin de chacune et en n’y rattachant que les temps correspondants, est la meilleure protection en cas de contrôle.
Combien rapporte le CIR pour les entreprises de cybersécurité ?
Pour fixer les ordres de grandeur, voici le calcul complet pour une entreprise représentative du secteur, avec les taux et forfaits de 2026.
Un éditeur de cybersécurité de 30 salariés affecte cinq ingénieurs, payés 60 000 € brut en moyenne, à 55 % de leur temps à un moteur de détection comportementale, avec 30 000 € de travaux confiés à un laboratoire public. Un ingénieur conçoit le prototype d’un nouveau boîtier de sécurité, avec dépôt de brevet, éligible au CII.
| Étape du calcul | Montant |
|---|---|
| Dépenses de personnel : 5 personnes à 60 000 € brut, charges comprises, 55 % du temps | 234 300 € |
| Dotations aux amortissements du matériel de recherche | 20 000 € |
| Forfait de fonctionnement : 40 % du personnel et 75 % des amortissements | 108 720 € |
| Sous-traitance à des organismes agréés ou publics | 30 000 € |
| Subventions reçues pour ces travaux, déduites | 0 € |
| Base du crédit d’impôt recherche | 393 020 € |
| Crédit d’impôt recherche à 30 % | 117 906 € |
| Dépenses d’innovation (prototypes, CII) | 54 860 € |
| Crédit d’impôt innovation à 20 % | 10 972 € |
| Total des crédits d’impôt sur l’année | 128 878 € |
| Rattrapage possible sur les 3 dernières années, à dépenses comparables | 386 634 € |
L’entreprise obtient 117 906 € de crédit d’impôt recherche et 10 972 € de crédit d’impôt innovation, soit 128 878 € par an. Pour une PME, ce montant est remboursé immédiatement si l’entreprise n’a pas d’impôt à payer. L’effet de la taille de l’équipe est direct :
| Scénario | Effectif de recherche | CIR par an | Rattrapage sur 3 ans |
|---|---|---|---|
| Équipe deux fois plus petite | 3 personnes | 78 544 € | 235 631 € |
| Équipe de l’exemple | 5 personnes | 117 906 € | 353 718 € |
| Équipe deux fois plus grande | 10 personnes | 216 312 € | 648 936 € |
Faites le calcul avec votre propre équipe :
Récupérez le CIR des 3 dernières années
Beaucoup d’entreprises du secteur découvrent le CIR après plusieurs années de travaux. Les trois dernières années restent récupérables par réclamation : dans l’exemple de cette page, l’enjeu approche 386 634 €.
| Dépenses de l’année | Déclaration normale | Réclamation jusqu’au | Crédit à dépenses comparables |
|---|---|---|---|
| 2023 | mai 2024 | 31 décembre 2026 | 128 878 € |
| 2024 | mai 2025 | 31 décembre 2027 | 128 878 € |
| 2025 | mai 2026 | 31 décembre 2028 | 128 878 € |
Chaque 31 décembre, une année sort du délai : les dépenses de 2023 ne pourront plus être réclamées après le 31 décembre 2026. Les années antérieures au 15 février 2025 bénéficient en outre d’un forfait de fonctionnement de 43 % et, pour le CII, d’un taux de 30 %, plus favorable que les règles actuelles. Voir CIR rétroactif.
Le crédit d’impôt innovation dans le secteur
Entre la recherche et la production, il y a la conception. C’est cette étape que finance le crédit d’impôt innovation, à 20 % des dépenses de prototypes des PME, avec un plafond de 400 000 € de dépenses par an et les mêmes règles de remboursement que le CIR.
Dans l’exemple de cette page, 54 860 € de dépenses de conception donnent 10 972 € de CII par an. Une même dépense ne peut pas figurer à la fois dans la base du CIR et dans celle du CII : les temps doivent être ventilés projet par projet. Voir le crédit d’impôt innovation et CIR ou CII.
Les pièges du CIR pour les entreprises de cybersécurité
Trois erreurs reviennent dans les dossiers du secteur, et suffisent à fragiliser tout le crédit :
- Déclarer les prestations de tests d’intrusion facturées aux clients.
- Oublier que les travaux confidentiels doivent malgré tout être décrits avec assez de précision dans le dossier.
- Négliger l’état de l’art académique, très riche dans le domaine.
Les preuves à réunir
Un dossier justificatif solide repose sur des traces produites pendant les travaux. Dans le secteur, les plus probantes sont :
- Les jeux de tests et taux de détection mesurés ;
- Les analyses de vulnérabilités et rapports techniques internes ;
- Les publications et communications en conférence.
À ces pièces s’ajoutent, comme pour toute entreprise, les feuilles de temps par projet, les éléments de paie, le tableau des immobilisations affectées à la recherche, les contrats de sous-traitance avec la preuve de l’agrément des prestataires, et la liste des aides reçues. Le guide dossier justificatif donne le plan attendu.
Après le CIR : l’IP box sur vos revenus
Les logiciels de sécurité développés en interne sont éligibles à l’IP box pour la part logicielle de leurs licences et abonnements. Le CIR et l’IP box se cumulent : le premier porte sur les dépenses de recherche, le second sur les revenus de l’actif qui en est issu. Une entreprise qui n’a jamais déclaré de CIR peut d’ailleurs être éligible à l’IP box : les deux régimes sont indépendants. Voir l’IP box pour les entreprises de cybersécurité et cumuler CIR et IP box.
Se faire accompagner
La démarche se mène avec un professionnel habitué au secteur et à ses verrous typiques. Il interroge les équipes, délimite les projets, chiffre le crédit de l’année et celui des années encore réclamables, puis rédige un dossier qui tient en contrôle.
- Diagnostic : un échange avec vos équipes techniques pour repérer les projets éligibles des trois dernières années et de l’année en cours.
- Chiffrage : calcul du CIR et du CII, année par année, avec les règles applicables à chacune.
- Dossier : rédaction du dossier justificatif et reconstitution des temps.
- Déclaration : dépôt des formulaires 2069-A-SD et, pour les années passées, des réclamations.
Demander une étude gratuite Simuler mon CIR
Questions fréquentes
Les tests d’intrusion sont-ils éligibles au CIR ?
Non lorsqu’ils sont réalisés pour un client selon des méthodes connues. La mise au point de nouvelles méthodes d’attaque ou de défense peut en revanche relever de la recherche.
Comment décrire des travaux confidentiels ?
Le dossier doit permettre à l’expert d’apprécier les verrous et la démarche. Il peut être rédigé sans divulguer les éléments les plus sensibles, et il reste couvert par le secret professionnel de l’administration.
Combien rapporte le CIR pour les entreprises de cybersécurité ?
Dans l’exemple de cette page, 117 906 € par an de CIR et 10 972 € de CII, pour 5 personnes consacrant 55 % de leur temps aux travaux. Le crédit représente environ 42 % du coût salarial chargé consacré à la recherche.
Peut-on récupérer le CIR des années passées ?
Oui. Les dépenses non déclarées des années 2023, 2024 et 2025 peuvent encore être réclamées ; celles de 2023 jusqu’au 31 décembre 2026. Sur l’exemple de cette page, l’enjeu est d’environ 386 634 €.
Faut-il des docteurs pour avoir droit au CIR ?
Non. Les ingénieurs et techniciens qui conduisent des travaux de recherche ouvrent droit au crédit, quel que soit leur diplôme.