Marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités Taille et part 2026-2035

Taille du marché de la nomenclature des logiciels automobiles (SBOM) et de la gestion des vulnérabilités

Le marché mondial de la nomenclature des logiciels automobiles (SBOM) et de la gestion des vulnérabilités était évalué à 920,5 millions de dollars (USD) en 2025 et devrait atteindre 4,7 milliards de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 17,3 % entre 2026 et 2035. Selon le dernier rapport publié par Global Market Insights Inc., la valeur du marché atteint 1,1 milliard de dollars (USD) en 2026.

Le marché progresse à mesure que les programmes de cybersécurité automobile passent d’une documentation périodique à un contrôle continu des composants logiciels, des vulnérabilités et des éléments probants liés à leur remédiation. Les architectures de véhicules définis par logiciel, les mises à jour logicielles OTA, les dépendances open source et les échanges entre fournisseurs de différents niveaux accroissent le volume et la fréquence des activités de gouvernance logicielle au sein des constructeurs automobiles et des équipementiers.

La croissance enregistrée jusqu’en 2035 traduira la transformation de la traçabilité logicielle, qui passera d’un livrable de conformité à une exigence opérationnelle pour les programmes de véhicules connectés. Les constructeurs ont besoin d’inventaires actualisés des composants, car les mises à jour OTA, les évolutions fournies par les fournisseurs et les divulgations de vulnérabilités modifient l’état des logiciels embarqués dans les véhicules. La demande s’étend donc au-delà de la mise en œuvre initiale et englobe la surveillance récurrente, la validation des données fournisseurs, la priorisation des risques et l’établissement de rapports prêts pour les audits. Le marché bénéficie également de l’essor des programmes de véhicules électriques et de véhicules définis par logiciel (SDV), qui intègrent des couches logicielles liées aux batteries, à la télématique, au cloud et aux communications véhicule-tout (V2X), nécessitant une gouvernance sur l’ensemble de leur cycle de vie.

Principaux facteurs de croissance

Conformité réglementaire obligatoire

Le règlement n° 155 de l’UNECE WP.29 est devenu obligatoire pour toutes les nouvelles homologations de types de véhicules dans l’Union européenne, au Royaume-Uni, au Japon et en Corée du Sud en juillet 2024, faisant de la gouvernance de la cybersécurité une exigence d’accès au marché automobile.^{[1]UNECE, "UN Regulation No. 155 - Cyber Security and Cyber Security Management System". unece.org} ISO/SAE 21434, le décret exécutif américain 14028 et le cadre chinois GB/T 44464-2024 exigent ou encouragent davantage la traçabilité structurée des logiciels, la gestion des vulnérabilités, l'attestation des fournisseurs et les éléments probants d'audit.^{[2]ISO, "ISO/SAE 21434 Road Vehicles - Cybersecurity Engineering". iso.org} Ces exigences créent une demande récurrente de surveillance du cycle de vie des SBOM, plutôt que de simples documents ponctuels.

Complexité exponentielle des logiciels automobiles

Un véhicule haut de gamme moderne peut contenir de 100 millions à 300 millions de lignes de code réparties entre des centaines d'ECU et plus de 150 organisations fournissant des logiciels.^{[3]NIST, "National Vulnerability Database". nist.gov} Les programmes de véhicules définis par logiciel ajoutent des dépendances entre les systèmes ADAS, l'infodivertissement, les services cloud, l'infrastructure OTA et les systèmes de commande embarqués. Stellantis a réalisé plus de 25 millions de mises à jour OTA en 2024, démontrant à quelle vitesse l'état des logiciels des véhicules et les inventaires de composants associés peuvent évoluer.

Hausse de la fréquence et de la sophistication des cyberattaques

La National Vulnerability Database du NIST a recensé plus de 29 000 nouvelles divulgations de CVE en 2024. Les rançongiciels ciblant les véhicules connectés, l'exploitation des ECU, la compromission des systèmes télématiques, les vecteurs d'attaque OTA et les vulnérabilités de la chaîne d'approvisionnement logicielle renforcent la nécessité de mettre en relation les données brutes sur les vulnérabilités avec les logiciels et l'architecture réels de chaque programme automobile. La surveillance continue réduit l'écart opérationnel entre la divulgation, la hiérarchisation, la remédiation et les éléments probants de conformité.

L'accélération de l'adoption des VE et des SDV élargit la surface d'attaque

Les ventes mondiales de VE ont atteint 17 millions d'unités en 2024. Les systèmes de gestion de batterie, les contrôleurs de domaine, les modules V2X, les unités de commande télématique et les plateformes de services connectées au cloud ajoutent des couches logicielles qui nécessitent une visibilité sur les composants et des processus définis de réponse aux vulnérabilités. L'adoption des SDV accroît donc à la fois le nombre d'actifs logiciels nécessitant une gouvernance et le périmètre commercial des plateformes SBOM pour l'automobile.

Complexité de l'intégration aux flux de travail existants

De nombreux programmes de constructeurs et de fournisseurs fonctionnent encore avec des ECU fondés sur AUTOSAR, de longs cycles de validation des véhicules et des chaînes d'outils de développement fragmentées conçues autour d'une livraison axée sur le matériel. La génération rétrospective de SBOM peut nécessiter une analyse de la composition logicielle des binaires lorsque le code source d'origine ou les environnements de compilation ne sont pas disponibles. Cette solution de contournement étend la couverture aux flottes existantes, mais accroît la complexité de mise en œuvre dans les environnements C embarqués, les systèmes POSIX, les intergiciels propriétaires et les processus de validation hétérogènes.

Lacunes d'interopérabilité des formats SBOM

SPDX, normalisé sous la référence ISO/IEC 5962:2021, et CycloneDX sont tous deux utilisés dans les chaînes d’approvisionnement automobiles, ce qui crée des difficultés de normalisation des formats et d’échange. En 2025, moins de 30 % des fournisseurs de logiciels automobiles de niveau 2 disposaient de flux de travail automatisés pour générer des SBOM, obligeant les constructeurs (OEM) à combiner des soumissions lisibles par machine provenant de fournisseurs matures avec des attestations manuelles fournies par des organisations de plus petite taille. Les recommandations de la CISA relatives aux éléments minimaux fournissent une base opérationnelle, mais l’application des exigences aux fournisseurs relevant de plusieurs juridictions demeure incohérente.^{[4]CISA, "Software Bill of Materials Guidance". cisa.gov}

Pénurie de professionnels de la cybersécurité automobile

Les programmes de SBOM automobiles nécessitent des collaborateurs réunissant des compétences en sécurité fonctionnelle, en ingénierie de la cybersécurité selon la norme ISO/SAE 21434, dans la pratique du DevSecOps et dans l’analyse de la composition logicielle. Ce profil reste rare au regard de la demande des constructeurs et des fournisseurs. La contrainte est particulièrement forte en Inde, au Mexique et en Asie du Sud-Est, où l’activité nationale dans le domaine des logiciels automobiles et les exigences en matière de cybersécurité progressent plus rapidement que les filières de formation de spécialistes.

Coût élevé de mise en œuvre des cadres SBOM

Les programmes d’entreprise nécessitent une infrastructure d’analyse, des portails fournisseurs, des flux de renseignement sur les vulnérabilités, l’automatisation de la conformité, des opérations de surveillance, des formations et un accompagnement des audits. Ces coûts sont difficiles à absorber pour les fournisseurs de niveau 2 et de niveaux inférieurs, qui fonctionnent avec des marges étroites. Le marché de l’après-vente et les gestionnaires de flottes sont également confrontés à des structures organisationnelles fragmentées et à des budgets de cybersécurité plus faibles à court terme, ce qui ralentit l’adoption malgré l’augmentation des risques sur l’ensemble du cycle de vie.

Analyse par segment du marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités

Par solution

Les logiciels ont généré 635,5 millions de dollars (USD) en 2025, soit 69,0 % des revenus du marché, et devraient atteindre 3 359,5 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 17,7 %. Le segment comprend la génération de SBOM, la cartographie des dépendances entre composants, la corrélation des CVE, les tableaux de bord de conformité, le suivi de la remédiation et les fonctionnalités intégrées de CSMS. La Product Security Platform de Cybellum, AutoSPIN de C2A Security, Black Duck de Synopsys, ainsi que les écosystèmes d’outils d’ETAS et de Vector Informatik illustrent la structure commerciale centrée sur les plateformes.

Les services ont généré 285 millions de dollars (USD) en 2025, soit une part de marché de 31,0 %, et devraient atteindre 1 343,1 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 16,4 %.

Les services professionnels couvrent la mise en œuvre et l’intégration des systèmes, le conseil, ainsi que la formation et la certification, tandis que les services gérés comprennent la maintenance des SBOM et la surveillance des vulnérabilités, le portail SBOM des fournisseurs et l’assurance qualité, ainsi que l’établissement de rapports de conformité et le soutien aux audits. DNV, AVL et LTTS répondent aux exigences d’assurance, d’ingénierie et de déploiement associées aux programmes complexes des équipementiers et des fournisseurs. La demande de plateformes est façonnée par le regroupement de fonctions auparavant distinctes de découverte, de surveillance, de collecte d’éléments probants et de remédiation au sein d’environnements opérationnels connectés. Les revenus SaaS récurrents gagnent en importance, car les clients ont besoin d’informations actualisées sur les vulnérabilités et de mises à jour des inventaires plutôt que d’analyses périodiques. L’intégration aux chaînes d’outils CSMS et DevSecOps modifie également les priorités d’achat : les équipementiers et les fournisseurs privilégient de plus en plus les solutions compatibles avec les processus établis de développement, de validation et de mise à jour OTA, tout en préservant une capacité de service pour les déploiements complexes sur les systèmes existants et chez les fournisseurs. La croissance des logiciels est soutenue par les revenus récurrents issus des licences et du SaaS, qui augmentent avec la couverture des modèles de véhicules, le volume de composants et la participation des fournisseurs.

Les services restent essentiels pour l’intégration des systèmes existants et l’intégration des fournisseurs, bien que l’automatisation oriente progressivement la composition des revenus vers les logiciels.

Par application fonctionnelle

La génération et la découverte des SBOM ont généré 269,3 millions de dollars (USD) en 2025 et détenaient la plus grande part de marché fonctionnelle, à 29,3 %. Elles établissent l’inventaire des composants et la cartographie des dépendances nécessaires à la surveillance des vulnérabilités, aux rapports de conformité, à la gouvernance des licences et à l’analyse de la chaîne d’approvisionnement. La détection binaire et la génération au niveau du code source sont toutes deux pertinentes, notamment lorsque les équipementiers doivent inventorier les micrologiciels d’ECU existants qui ne disposent pas de flux de travail natifs pour produire des SBOM.

La gestion des vulnérabilités et des risques a généré 224,6 millions de dollars (USD) en 2025, représentait une part de marché de 24,4 % et devrait atteindre 1 194,5 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 17,8 %. La gestion de la conformité et de la gouvernance, la gestion de la conformité des licences et la gestion des risques liés à la chaîne d’approvisionnement étendent la gamme d’applications grâce aux éléments probants CSMS, à la gouvernance des logiciels open source, à la validation des fournisseurs et aux flux de travail de gestion des risques multiniveaux. La demande fonctionnelle évolue : elle ne porte plus seulement sur la création initiale de l’inventaire, mais de plus en plus sur l’utilisation continue des données SBOM dans les processus de gestion des risques, de conformité et de collaboration avec les fournisseurs. La priorisation assistée par l’IA aide les équipes de sécurité à distinguer les vulnérabilités pertinentes sur le plan opérationnel des volumes importants de signalements CVE bruts. Parallèlement, la surveillance du cycle de vie et l’automatisation de la conformité relient les résultats de la découverte aux éléments probants de remédiation, tandis que les fonctions de gestion de la chaîne d’approvisionnement étendent ces contrôles aux organisations de rang 1 et de rang inférieur, qui utilisent des formats, des chaînes d’outils et des niveaux de maturité en cybersécurité différents. La découverte reste l’application fondamentale, car un inventaire incomplet des composants affaiblit l’ensemble des processus ultérieurs de cybersécurité et de conformité.

La priorisation des vulnérabilités par l’IA accroît la valeur des plateformes de gestion des risques en transformant les volumes élevés de CVE en plans de remédiation spécifiques aux véhicules.

Par utilisation finale

Les équipementiers automobiles ont généré 367,8 millions de dollars (USD) en 2025, soit une part de marché de 40,0 %, et devraient atteindre 2 029,6 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 18,2 %. Les équipementiers assument la responsabilité directe de l’homologation de type des véhicules, de la gouvernance CSMS, de la couverture des gammes de modèles, de la coordination des fournisseurs et des éléments probants de cybersécurité sur l’ensemble du cycle de vie. Les activités CARIAD du groupe Volkswagen ainsi que la gouvernance de la cybersécurité et des mises à jour OTA de Stellantis illustrent l’ampleur des programmes de sécurité logicielle des équipementiers.

Les fournisseurs de niveau 1 ont généré 313,3 millions de dollars (USD) en 2025, soit une part de marché de 34,0 %, et devraient atteindre une valeur estimée à 1 591,4 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 17,2 %. Les fournisseurs de niveau 2 et de niveaux inférieurs ont généré 181,3 millions de dollars (USD), soit une part de marché de 19,7 %, et devraient atteindre une valeur estimée à 879,4 millions de dollars (USD) d’ici 2035, avec un CAGR de 16,7 %. Les acteurs de l’après-vente et les exploitants de flottes ont généré 58,0 millions de dollars (USD), soit une part de marché de 6,3 %, et devraient atteindre une valeur estimée à 202,2 millions de dollars (USD) d’ici 2035, avec un CAGR de 12,8 % ; une pression réglementaire moindre et des budgets limités maintiennent ce segment sous le rythme de croissance de la demande portée par les OEM. La demande découle en cascade des programmes des OEM, car les exigences en matière de responsabilité liée à l’homologation et de gouvernance de la cybersécurité sont transposées dans les contrats fournisseurs, les demandes de justificatifs et les processus d’intégration. Les organisations de niveau 1 agissent donc à la fois comme acheteurs et comme coordinatrices des données logicielles des fournisseurs de niveaux inférieurs. L’adoption par les flottes et le marché de l’après-vente reste plus lente, car les budgets, les structures organisationnelles et la pression immédiate liée à la conformité sont moins favorables. Toutefois, la gestion connectée des flottes et l’extension des obligations sur l’ensemble du cycle de vie renforceront progressivement la pertinence de la surveillance des vulnérabilités et des services gérés. Les exigences des OEM créent une demande récurrente, car les fournisseurs de niveau 1 et de niveaux inférieurs doivent fournir des inventaires de composants et des preuves de cybersécurité pour conserver leur admissibilité aux programmes.

Les offres cloud gérées jouent un rôle central dans l’adoption par les fournisseurs de niveaux inférieurs, car elles réduisent les besoins initiaux en technologies et en personnel spécialisé.

Par type de véhicule

Les voitures particulières regroupent les programmes de modèles à hayon, de berlines et de SUV, dans lesquels les systèmes d’infodivertissement connectés, les systèmes avancés d’aide à la conduite (ADAS), les services cloud, les logiciels OTA et le grand nombre d’unités de commande électroniques (ECU) accroissent les exigences de couverture des SBOM. Les véhicules particuliers haut de gamme peuvent intégrer de 100 à 300 millions de lignes de code réparties sur des centaines d’ECU, ce qui rend nécessaires la découverte automatisée des composants et la corrélation des vulnérabilités à l’échelle des programmes.

Les architectures de véhicules électriques (EV) et de véhicules définis par logiciel (SDV) renforcent les exigences de gouvernance logicielle dans les deux groupes de véhicules, car les fonctions connectées s’étendent au-delà des ECU individuels pour inclure les systèmes de gestion de batterie, la télématique, les interfaces V2X, les services cloud et les processus OTA. Les voitures particulières génèrent des volumes supplémentaires grâce au déploiement généralisé de fonctionnalités connectées, tandis que les programmes de véhicules commerciaux gagnent en importance opérationnelle grâce à la connectivité des flottes et à une utilisation prolongée sur le terrain. Dans les deux cas, la gestion des SBOM prend davantage de valeur lorsque les modifications des composants doivent être associées à l’état logiciel spécifique exécuté dans le véhicule. La demande de voitures particulières est influencée par l’intensité logicielle des architectures de véhicules connectés et haut de gamme.

La demande de véhicules commerciaux sera de plus en plus déterminée par les exigences de surveillance à l’échelle des flottes et de sécurité des opérations connectées.

Par modèle de déploiement

Le déploiement cloud (SaaS) a généré 632,2 millions de dollars (USD) en 2025, soit une part de marché de 68,7 %, et devrait atteindre une valeur estimée à 3 314,5 millions de dollars (USD) d’ici 2035, avec un CAGR de 17,6 %. Les plateformes SaaS prennent en charge les mises à jour continues, les informations centralisées sur les vulnérabilités, l’accès évolutif des fournisseurs et un coût initial d’infrastructure inférieur. Cybellum, C2A Security, VicOne et Upstream Security illustrent des approches connectées au cloud pour la surveillance du cycle de vie, la corrélation des risques, la mobilisation des fournisseurs et l’analyse des données des flottes.

Le déploiement sur site a généré 288,3 millions de dollars (USD) en 2025 et représentait une part de marché de 31,3 %. Il reste pertinent pour les organisations d’OEM et de fournisseurs qui exigent un contrôle direct de leur infrastructure interne, l’intégration de systèmes existants ou la protection d’environnements de développement sensibles.

Le déploiement cloud est dominant, car la collaboration entre fournisseurs de plusieurs niveaux et les mises à jour continues des informations sont plus faciles à faire évoluer au moyen de plateformes centralisées.

Les déploiements sur site restent pertinents lorsque les flux de travail existants, les contrôles internes ou les exigences d’architecture propres aux programmes limitent l’adoption du cloud.

Analyse régionale du marché de la nomenclature logicielle automobile (SBOM) et de la gestion des vulnérabilités

Amérique du Nord

L’Amérique du Nord a généré 244,4 millions de dollars (USD) en 2025, soit 26,6 % des revenus mondiaux, et devrait atteindre environ 1 422,5 millions de dollars (USD) d’ici à 2035, avec un taux de croissance annuel composé (CAGR) de 18,8 %, le plus élevé au niveau régional. Les États-Unis constituent le principal marché, soutenu par le décret présidentiel 14028, les recommandations de la CISA relatives aux éléments minimaux d’une SBOM et les pratiques de la NHTSA en matière de cybersécurité, qui influencent la qualification des fournisseurs des équipementiers et les processus de gestion des risques. Une enquête menée au troisième trimestre 2025 auprès de 95 fournisseurs nord-américains de logiciels automobiles a révélé que 71 % d’entre eux avaient reçu de leur équipementier principal des exigences formelles de soumission de SBOM au cours des 18 mois précédents, contre 38 % dans la cohorte de 2023. La politique fédérale est de plus en plus renforcée par les programmes de qualification des fournisseurs des équipementiers, faisant des soumissions de SBOM une condition de participation récurrente plutôt qu’un exercice isolé de cybersécurité. Cette structure favorise les services gérés, les portails cloud et l’assistance à la conformité, qui aident les fournisseurs à maintenir un inventaire et des preuves à jour sans constituer d’importantes équipes internes. La trajectoire de croissance de l’Amérique du Nord reflète cette combinaison d’orientations réglementaires, de rigueur des achats des entreprises et d’investissements dans les logiciels des véhicules connectés au sein des écosystèmes des équipementiers et des fournisseurs. Les politiques fédérales et les contrats des équipementiers se conjuguent pour faire de l’Amérique du Nord le marché affichant la croissance la plus rapide, malgré la base de revenus actuelle plus importante de l’Asie-Pacifique.

Les exigences de soumission des fournisseurs soutiendront la demande de portails cloud, de validation des formats et de services gérés de conformité.

Europe

L’Europe a généré 251,5 millions de dollars (USD) en 2025, soit 27,3 % du marché, et devrait atteindre environ 1 313,0 millions de dollars (USD) d’ici à 2035, avec un CAGR de 17,6 %. L’Allemagne est le centre technologique régional, car Volkswagen, BMW, Mercedes-Benz, ETAS, Vector Informatik et leurs réseaux de fournisseurs de rang 1 concentrent les activités liées aux outils de développement automobile et à la cybersécurité. Le règlement no 155 de la réglementation WP.29 de la CEE-ONU est devenu obligatoire pour les nouvelles homologations de types de véhicules dans l’Union européenne et au Royaume-Uni en juillet 2024, tandis que la mise à jour de janvier 2025 des bonnes pratiques de l’ENISA en matière de cybersécurité automobile a ajouté des recommandations explicites sur la gestion des SBOM et l’attestation des fournisseurs.

Les programmes européens passent de la préparation initiale à l’homologation à une gestion continue du cycle de vie, car les mises à jour logicielles, les changements de fournisseurs et la divulgation des vulnérabilités nécessitent des preuves récurrentes. La concentration des activités d’ingénierie des équipementiers en Allemagne et la maturité des outils de développement établis favorisent l’adoption de plateformes intégrées plutôt que de produits d’analyse isolés. Les recommandations de l’ENISA renforcent une référence opérationnelle commune pour les autorités nationales et les fournisseurs, tandis que les exigences d’attestation des fournisseurs élargissent le marché au-delà des équipes centrales de cybersécurité des équipementiers, vers les fonctions décentralisées de développement et d’approvisionnement. La demande européenne repose sur l’application des exigences d’homologation et sur la maturité des environnements de développement des équipementiers, plutôt que sur des dépenses discrétionnaires en cybersécurité.

L’écosystème allemand d’outils établis favorise les fournisseurs capables d’intégrer les fonctions SBOM aux flux de travail existants d’ingénierie et de diagnostic.

Asie-Pacifique

L’Asie-Pacifique constituait le plus grand marché régional, avec un chiffre d’affaires de 318,5 millions de dollars (USD) en 2025 et une part de 34,6 % ; il atteindra 1 528,3 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (CAGR) de 16,6 %. La Chine est le principal marché national, les exigences nationales en matière de cybersécurité automobile prévues par la norme GB/T 44464-2024 définissant les exigences relatives aux SBOM, à la gestion des vulnérabilités, à l’attestation de la chaîne d’approvisionnement et à la localisation des données. Le Japon et la Corée du Sud appliquent les exigences de cybersécurité de l’UNECE WP.29, tandis que les orientations en cours d’élaboration en Inde concernant la cybersécurité des véhicules connectés ouvrent une possibilité de mise en conformité sur la période 2026–2028 ; l’Inde et la Corée du Sud sont les principaux marchés émergents de la région. La demande régionale se différencie davantage à mesure que la Chine applique des exigences nationales de conformité et de localisation des données, tandis que le Japon et la Corée du Sud alignent l’application de ces exigences sur les processus de l’UNECE. La période de mise en conformité qui se dessine en Inde constitue une source supplémentaire de demande, alors que la fabrication locale et l’activité dans le domaine des véhicules connectés se développent. Les programmes liés aux véhicules électriques et aux véhicules définis par logiciel (SDV) renforcent le besoin de visibilité sur les composants des batteries, des systèmes télématiques et des systèmes connectés au cloud, ce qui accroît la valeur des plateformes capables de prendre en charge les environnements de fournisseurs nationaux et transfrontaliers. L’ampleur du marché de l’Asie-Pacifique s’explique par la production automobile, le déploiement des véhicules électriques et des SDV, ainsi que par l’essor des exigences nationales en matière de cybersécurité.

Les exigences propres à la Chine en matière de conformité et de localisation des données créent une demande pour des plateformes adaptées aux conditions nationales de la chaîne d’approvisionnement et de la gouvernance.

Amérique latine

L’Amérique latine représentait une partie du reliquat de 6,7 % des revenus mondiaux après l’Asie-Pacifique, l’Europe et l’Amérique du Nord en 2025. Le Brésil constitue la principale opportunité parmi les pays émergents, grâce à sa production automobile, à l’activité dans le domaine des véhicules connectés et aux exigences de gouvernance des données, notamment la loi générale brésilienne sur la protection des données. Le rôle du Mexique dans la chaîne d’approvisionnement automobile élargit le marché adressable, bien que les contraintes liées aux compétences en cybersécurité et les coûts de mise en œuvre limitent la vitesse de déploiement. L’adoption régionale devrait suivre les chaînes de production automobile et d’exportation plutôt qu’une modernisation générale et autonome de la cybersécurité. Le Brésil offre le meilleur point d’entrée, car l’activité dans le domaine des véhicules connectés peut être associée aux exigences locales de gouvernance des données, tandis que le Mexique donne accès à des fournisseurs intégrés aux réseaux de production nord-américains. Les solutions SaaS gérées, l’intégration progressive et les services de mise en conformité ciblés correspondent davantage à la structure de coûts de la région que les déploiements vastes et entièrement intégrés nécessitant d’importantes équipes internes de cybersécurité. Le Brésil sera le principal point d’entrée en Amérique latine pour les fournisseurs ciblant la demande émergente en cybersécurité automobile.

Les contraintes économiques des fournisseurs de rang inférieur et la pénurie de spécialistes favorisent les solutions SaaS gérées et les offres de mise en conformité progressive plutôt que les programmes de grande ampleur nécessitant un investissement initial élevé.

Moyen-Orient et Afrique

Le Moyen-Orient et l’Afrique (MEA) représentaient le reliquat des 4,7 % de revenus mondiaux après l’Asie-Pacifique, l’Europe, l’Amérique du Nord et l’Amérique latine en 2025. Le cadre réglementaire du Conseil de coopération du Golfe en matière de cybersécurité, les contrôles essentiels de cybersécurité de la NCA saoudienne, les règlements techniques de la SASO et les normes d’assurance de l’information des Émirats arabes unis définissent le contexte réglementaire régional. L’adoption des SBOM dans le secteur automobile reste limitée par les coûts de mise en œuvre, une demande fragmentée et la disponibilité restreinte de spécialistes de la cybersécurité automobile. Les initiatives en matière de mobilité connectée créent la demande à court terme la plus nette lorsque les contrôles nationaux de cybersécurité exigent une gouvernance démontrable des logiciels et des données des véhicules.

Les cadres du Conseil de coopération du Golfe (GCC) et l’orientation des politiques publiques en Arabie saoudite et aux Émirats arabes unis rendent les programmes axés sur la conformité plus pertinents que les dépenses discrétionnaires générales consacrées aux plateformes. L’adoption devrait commencer par une surveillance hébergée, des évaluations ciblées et des missions axées sur les services, capables de s’adapter à la maturité inégale des fournisseurs, à la capacité limitée en spécialistes et à l’ampleur encore restreinte des programmes régionaux actuels de déploiement. La demande dans la région du Moyen-Orient et de l’Afrique (MEA) se développera de manière sélective là où les programmes de mobilité connectée et les contrôles nationaux de cybersécurité créeront des exigences explicites de conformité.

Les modèles axés sur les services et fournis via le cloud correspondent mieux à la maturité actuelle du marché régional que les grands déploiements d’entreprise entièrement intégrés.

Taille et part du marché de la nomenclature des logiciels automobiles (SBOM) et de la gestion des vulnérabilités, et paysage concurrentiel

Cybellum — part de marché de 7,8 %

Cybellum, détenue par LG Electronics, est le leader du marché avec une part de 7,8 %. LG a acquis la société pour environ 240 millions de dollars (USD) en 2022, renforçant ainsi ses ressources et son accès aux canaux automobiles. La Product Security Platform de Cybellum associe la détection des composants basée sur les fichiers binaires, la cartographie des dépendances, la corrélation des CVE, les processus de remédiation, des portails fournisseurs prenant en charge plus de 500 points de contact et des rapports de conformité ; la plateforme est déployée dans plusieurs programmes de constructeurs automobiles mondiaux figurant parmi les 10 premiers.

ETAS — part de marché de 4,9 %

Grâce aux capacités du groupe Bosch et d’ESCRYPT, ETAS détenait une part de marché de 4,9 %. La société intègre la TARA, la génération de nomenclatures logicielles, la surveillance des vulnérabilités et la conformité à la norme ISO/SAE 21434 avec Bosch INCA, AUTOSAR ainsi qu’avec des environnements de diagnostic et de développement automobile. Cette position au sein de la chaîne d’outils réduit les difficultés d’intégration pour les constructeurs automobiles et les fournisseurs de niveau 1 qui utilisent déjà des processus d’ingénierie liés à Bosch.

Vector Informatik — part de marché de 3,8 %

Vector Informatik détenait une part de marché de 3,8 % et étend son écosystème CANalyzer, CANoe et VectorCAST à la cybersécurité automobile et à la génération de nomenclatures logicielles. En avril 2024, la société a lancé l’extension VectorCAST Security avec exportation de nomenclatures SBOM au format CycloneDX, permettant aux fournisseurs de créer des inventaires de composants à partir de leurs processus existants de test et de validation. La génération native dans la chaîne d’outils différencie Vector des plateformes autonomes qui doivent mettre en place de nouvelles voies de collecte des données.

Argus Cyber Security / PlaxidityX — part de marché de 3,0 %

Argus Cyber Security, regroupée sous la marque PlaxidityX de Continental, détenait une part de marché de 3,0 %. Continental a acquis Argus en 2017 et a combiné son expertise historique en matière de sécurité des calculateurs électroniques et de la télématique avec les capacités d’Elektrobit dans le domaine de la sécurité des logiciels. L’accès de Continental à la chaîne d’approvisionnement de niveau 1 offre à PlaxidityX un canal commercial intégré dans les programmes mondiaux de fabrication automobile.

Synopsys — part de marché de 2,5 %

Synopsys détenait une part de marché de 2,5 % grâce à sa plateforme Black Duck. La plateforme fournit aux organisations automobiles une analyse de la composition des logiciels d’entreprise, la détection des logiciels open source, la conformité des licences et une évaluation de l’exploitabilité enrichie par le CVSS pour la gestion de piles logicielles mêlant logiciels propriétaires et open source. Sa position établie dans le domaine du DevSecOps offre une voie d’adoption moins risquée aux constructeurs automobiles et aux fournisseurs qui étendent les pratiques SCA d’entreprise à la gouvernance des véhicules.

VicOne – part de marché de 2,0 %

VicOne, une entreprise issue d'une scission de Trend Micro créée en 2021, détenait une part de marché de 2,0 %. Ses plateformes xNexus et xCarbon associent l'analyse des SBOM automobiles aux renseignements de Trend Micro, qui couvrent plus de 250 milliards de requêtes de menaces par jour. En mars 2025, VicOne a lancé xNexus 2.0 avec une priorisation des CVE pilotée par l'IA et a fait état d'une réduction pouvant atteindre 70 % du volume d'alertes pour les exploitants de flottes de véhicules connectés.

C2A Security – part de marché de 1,8 %

C2A Security détenait une part de marché de 1,8 % et propose la plateforme DevSecOps AutoSPIN. AutoSPIN intègre la génération de SBOM, la gestion des CVE et les rapports de conformité aux flux de travail CI/CD, comblant ainsi l'écart entre le développement des logiciels automobiles et la gouvernance de la sécurité. En avril 2025, AutoSPIN 3.0 a été mis à disposition de manière générale avec une conversion bidirectionnelle SPDX/CycloneDX et un portail fournisseurs destiné à la collecte multiniveaux des SBOM.

Les principaux acteurs présents sur le marché des SBOM automobiles et de la gestion des vulnérabilités comprennent AUTOCRYPT, AVL, DNV, Harman International, LTTS, Upstream Security, CYMOTIVE Technologies, Finite State, Karamba Security, Secure Elements, Agnile Technologies et VxLabs (ThreatZ).

Évolutions récentes du secteur

• Avril 2025 : C2A Security a annoncé la disponibilité générale d'AutoSPIN 3.0, avec l'ajout d'une conversion bidirectionnelle SPDX/CycloneDX et d'un portail fournisseurs destiné à la collecte multiniveaux des SBOM. Cette version répond à une contrainte majeure d'interopérabilité et d'intégration des fournisseurs.

• Mars 2025 : VicOne a lancé xNexus 2.0 avec une priorisation des CVE pilotée par l'IA, qui combine les renseignements sur les menaces de Trend Micro avec une notation contextuelle de l'architecture des véhicules. Les données des premiers déploiements ont fait état d'une réduction pouvant atteindre 70 % du volume d'alertes pour les exploitants de flottes de véhicules connectés.

• Janvier 2025 : l'ENISA a publié une mise à jour des bonnes pratiques de cybersécurité automobile, intégrant explicitement des cadres de gestion des SBOM et d'attestation des fournisseurs conformes au règlement n° 155 de la CEE-ONU, groupe de travail WP.29.

• Novembre 2024 : Cybellum a étendu sa plateforme de sécurité des produits avec un portail SBOM fournisseurs qui automatise la collecte, la validation des formats et l'ingestion dans les systèmes à partir de 500 points de contact fournisseurs au maximum. Ce module a fait suite à des déploiements auprès de deux OEM européens classés parmi les dix premiers.

• Octobre 2024 : la CISA a publié une mise à jour des recommandations relatives aux SBOM pour les infrastructures de transport, désignant le secteur automobile comme un secteur prioritaire des infrastructures critiques et alignant les éléments minimaux sur le cadre de la NTIA.