Marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités Taille et part 2026-2035

Taille du marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités

Le marché mondial des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités était évalué à 920,5 millions de dollars (USD) en 2025 et devrait atteindre 4,7 milliards de dollars (USD) d'ici 2035, avec un taux de croissance annuel composé (TCAC) de 17,3 % entre 2026 et 2035. Selon le dernier rapport publié par Global Market Insights Inc., la valeur du marché atteindra 1,1 milliard de dollars (USD) en 2026.

Le marché se développe à mesure que les programmes de cybersécurité automobile passent d'une documentation périodique à un contrôle continu des composants logiciels, des vulnérabilités et des éléments probants relatifs à leur correction. Les architectures de véhicules définies par logiciel, les mises à jour logicielles OTA, les dépendances open source et les échanges entre fournisseurs de différents niveaux accroissent le volume et la fréquence des activités de gouvernance logicielle au sein des constructeurs (OEM) et des organisations de fournisseurs.

La croissance jusqu'en 2035 traduira la transformation de la traçabilité logicielle, qui passera d'un livrable de conformité à une exigence opérationnelle pour les programmes de véhicules connectés. Les constructeurs ont besoin d'inventaires actualisés des composants, car les déploiements OTA, les mises à jour des fournisseurs et les divulgations de vulnérabilités modifient l'état des logiciels des véhicules. La demande s'étend donc au-delà de la mise en œuvre initiale et couvre la surveillance récurrente, la validation des données fournisseurs, la hiérarchisation des risques et la production de rapports prêts pour les audits. Le marché bénéficie également de l'essor des programmes de véhicules électriques et de véhicules définis par logiciel (SDV), qui ajoutent des couches logicielles liées aux batteries, à la télématique, au cloud et aux communications véhicule-à-tout, nécessitant une gouvernance sur l'ensemble du cycle de vie.

Principaux facteurs de croissance

Conformité réglementaire obligatoire

Le Règlement n° 155 de la CEE-ONU WP.29 est devenu obligatoire pour toutes les nouvelles homologations de type de véhicules dans l’UE, au Royaume-Uni, au Japon et en Corée du Sud en juillet 2024, faisant de la gouvernance de la cybersécurité une exigence d’accès au marché automobile.^{[1]CEE-ONU, « Règlement ONU n° 155 – Cybersécurité et système de management de la cybersécurité », unece.org} La norme ISO/SAE 21434, le décret présidentiel américain 14028 et le cadre chinois GB/T 44464-2024 imposent ou encouragent également la traçabilité structurée des logiciels, la gestion des vulnérabilités, l’attestation des fournisseurs et la fourniture de preuves d’audit.^{[2]ISO, « ISO/SAE 21434 Véhicules routiers – Ingénierie de la cybersécurité », iso.org Traduction :} Ces exigences créent une demande récurrente de surveillance du cycle de vie des SBOM, plutôt que de documentation ponctuelle.

Croissance exponentielle de la complexité logicielle des véhicules

Un véhicule haut de gamme moderne peut contenir entre 100 et 300 millions de lignes de code réparties sur des centaines de calculateurs électroniques (ECU) et plus de 150 organisations fournissant des logiciels.^{[3]NIST, « National Vulnerability Database », nist.gov Traduction :} Les programmes de véhicules définis par logiciel ajoutent des dépendances entre les systèmes ADAS, les systèmes d’infodivertissement, les services cloud, l’infrastructure OTA et les systèmes de commande intégrés. Stellantis a réalisé plus de 25 millions de mises à jour OTA en 2024, démontrant à quelle vitesse les configurations logicielles des véhicules et les inventaires de composants associés peuvent évoluer.

Fréquence et sophistication croissantes des cyberattaques

La Base de données nationale des vulnérabilités du NIST a enregistré plus de 29 000 nouvelles divulgations de CVE en 2024. Les rançongiciels ciblant les véhicules connectés, l’exploitation des ECU, la compromission des systèmes télématiques, les vecteurs d’attaque liés aux mises à jour OTA et les faiblesses de la chaîne d’approvisionnement logicielle accroissent la nécessité de mettre en corrélation les données brutes sur les vulnérabilités avec les logiciels et l’architecture réels de chaque programme automobile. La surveillance continue réduit l’écart opérationnel entre la divulgation, la priorisation, la remédiation et les éléments probants de conformité.

Adoption accélérée des véhicules électriques et des véhicules définis par logiciel, élargissant la surface d’attaque

Les ventes mondiales de véhicules électriques ont atteint 17 millions d’unités en 2024. Les systèmes de gestion de batterie, les contrôleurs de domaine, les modules V2X, les unités de commande télématique et les plateformes de services connectées au cloud ajoutent des couches logicielles qui nécessitent une visibilité sur les composants et des processus définis de réponse aux vulnérabilités. L’adoption des véhicules définis par logiciel (SDV) élargit donc à la fois le nombre d’actifs logiciels nécessitant une gouvernance et le périmètre commercial des plateformes SBOM automobiles.

Complexité de l’intégration aux flux de travail existants

De nombreux programmes de constructeurs et de fournisseurs reposent encore sur des ECU basés sur AUTOSAR, de longs cycles de validation des véhicules et des chaînes d’outils de développement fragmentées, conçues autour d’une livraison axée sur le matériel. La génération rétrospective de SBOM peut nécessiter une analyse binaire de la composition logicielle lorsque le code source d’origine ou les environnements de compilation ne sont pas disponibles. Cette solution de contournement étend la couverture aux flottes existantes, mais accroît la complexité de mise en œuvre dans les environnements en C embarqué, les systèmes POSIX, les intergiciels propriétaires et les processus de validation hétérogènes.

Lacunes d’interopérabilité des formats SBOM

SPDX, normalisé sous la référence ISO/IEC 5962:2021, et CycloneDX sont tous deux utilisés dans les chaînes d’approvisionnement automobiles, ce qui crée des difficultés de normalisation et d’échange des formats. Moins de 30 % des fournisseurs de logiciels automobiles de niveau 2 disposaient de flux de travail automatisés pour la génération de SBOM en 2025, obligeant les constructeurs à combiner des soumissions lisibles par machine provenant de fournisseurs matures avec des attestations manuelles fournies par des organisations de plus petite taille. Les recommandations de la CISA relatives aux éléments minimaux fournissent une base opérationnelle, mais la mise en application des exigences auprès des fournisseurs dans différentes juridictions demeure incohérente.^{[4]CISA, « Guide sur la nomenclature logicielle », cisa.gov}

Pénurie de professionnels de la cybersécurité automobile

Les programmes SBOM automobiles nécessitent des professionnels combinant des connaissances en sûreté de fonctionnement, une expertise en ingénierie de la cybersécurité selon la norme ISO/SAE 21434, une pratique de l’DevSecOps et des compétences en analyse de la composition logicielle. Ce profil reste rare au regard de la demande des constructeurs et des fournisseurs. Cette contrainte est particulièrement forte en Inde, au Mexique et en Asie du Sud-Est, où l’activité nationale dans le domaine des logiciels automobiles et les exigences en matière de cybersécurité progressent plus rapidement que les filières de formation de spécialistes.

Coût élevé de mise en œuvre des cadres SBOM

Les programmes d’entreprise nécessitent des infrastructures d’analyse, des portails fournisseurs, des flux de veille sur les vulnérabilités, l’automatisation de la conformité, des opérations de surveillance, des formations et un accompagnement des audits. Ces coûts sont difficiles à absorber pour les fournisseurs de niveau 2 et de niveaux inférieurs, qui disposent de marges étroites. Le marché de la rechange et les gestionnaires de flottes sont également confrontés à des structures organisationnelles fragmentées et à des budgets de cybersécurité à court terme plus limités, ce qui ralentit l’adoption malgré l’augmentation des risques sur l’ensemble du cycle de vie.

Analyse des segments du marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités

Par solution

Les logiciels ont généré 635,5 millions de dollars (USD) en 2025, soit 69,0 % des revenus du marché, et devraient atteindre 3 359,5 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (TCAC) de 17,7 %. Le segment comprend la génération de SBOM, la cartographie des dépendances entre composants, la corrélation des CVE, les tableaux de bord de conformité, le suivi de la remédiation et les fonctionnalités intégrées de CSMS. Product Security Platform de Cybellum, AutoSPIN de C2A Security, Black Duck de Synopsys, ainsi que les écosystèmes d’outils d’ETAS et de Vector Informatik illustrent la structure commerciale centrée sur les plateformes.

Les services ont généré 285 millions de dollars (USD) en 2025, soit une part de 31,0 %, et devraient atteindre 1 343,1 millions de dollars (USD) d’ici 2035, avec un TCAC de 16,4 %. Les services professionnels couvrent la mise en œuvre et l’intégration des systèmes, le conseil, ainsi que la formation et la certification. Les services gérés comprennent la maintenance des SBOM et la surveillance des vulnérabilités, les portails fournisseurs dédiés aux SBOM et à l’assurance qualité, ainsi que l’établissement de rapports de conformité et l’assistance aux audits. DNV, AVL et LTTS répondent aux exigences en matière d’assurance, d’ingénierie et de déploiement associées aux programmes complexes des équipementiers et des fournisseurs. La demande de plateformes est façonnée par la consolidation de fonctions auparavant distinctes — découverte, surveillance, gestion des preuves et remédiation — au sein d’environnements opérationnels connectés. Les revenus récurrents des solutions SaaS gagnent en importance, car les clients ont besoin de renseignements actualisés sur les vulnérabilités et de mises à jour des inventaires, plutôt que d’analyses périodiques. L’intégration aux chaînes d’outils CSMS et DevSecOps modifie également les priorités d’achat : les équipementiers et les fournisseurs privilégient de plus en plus les solutions compatibles avec les processus établis de développement, de validation et de mise à jour à distance (OTA), tout en préservant la capacité de service nécessaire aux déploiements complexes sur les systèmes existants et auprès des fournisseurs. La croissance des logiciels est soutenue par les revenus récurrents issus des licences et des solutions SaaS, qui évoluent en fonction de la couverture des modèles de véhicules, du volume de composants et de la participation des fournisseurs.

Les services restent essentiels pour l’intégration des systèmes existants et l’intégration des fournisseurs, même si l’automatisation réorientera progressivement la composition des revenus vers les logiciels.

Par application fonctionnelle

La génération et la découverte des SBOM ont généré 269,3 millions de dollars (USD) en 2025 et détenaient la plus grande part fonctionnelle, à 29,3 %. Elles établissent l’inventaire des composants et la cartographie des dépendances nécessaires à la surveillance des vulnérabilités, aux rapports de conformité, à la gouvernance des licences et à l’analyse de la chaîne d’approvisionnement. La détection binaire et la génération au niveau du code source sont toutes deux pertinentes, notamment lorsque les équipementiers doivent prendre en compte des micrologiciels d’ECU existants qui ne disposent pas de flux de travail natifs pour la production de SBOM.

La gestion des vulnérabilités et des risques a généré 224,6 millions de dollars (USD) en 2025, soit une part de 24,4 %, et devrait atteindre 1 194,5 millions de dollars (USD) d’ici 2035, avec un TCAC de 17,8 %.

Gestion de la conformité et de la gouvernance, gestion de la conformité des licences et gestion des risques de la chaîne d’approvisionnement étendent la pile applicative grâce aux éléments probants CSMS, à la gouvernance des logiciels open source, à la validation des fournisseurs et aux flux de travail de gestion des risques à plusieurs niveaux ; les revenus et parts individuels. La demande fonctionnelle évolue, passant de la création initiale d’un inventaire à l’utilisation continue des données SBOM dans les flux de travail liés aux risques, à la conformité et aux fournisseurs. La hiérarchisation assistée par l’IA aide les équipes de sécurité à distinguer les expositions pertinentes sur le plan opérationnel des volumes importants de publications brutes de CVE. Parallèlement, la surveillance du cycle de vie et l’automatisation de la conformité relient les résultats de la découverte aux éléments probants de remédiation, tandis que les fonctions liées à la chaîne d’approvisionnement étendent ces contrôles aux organisations de niveau 1 et de niveaux inférieurs, qui utilisent des formats, des chaînes d’outils et des niveaux de maturité en cybersécurité différents. La découverte reste l’application fondamentale, car un inventaire incomplet des composants affaiblit tous les flux de travail de cybersécurité et de conformité en aval.

La hiérarchisation des vulnérabilités assistée par l’IA accroît la valeur des plateformes de gestion des risques en convertissant les volumes élevés de CVE en plans de remédiation spécifiques aux véhicules.

Par utilisation finale

Les constructeurs automobiles (OEM) ont généré 367,8 millions de dollars (USD) en 2025, soit une part de 40,0 %, et devraient atteindre un montant estimé à 2 029,6 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (TCAC) de 18,2 %. Les OEM assument la responsabilité directe de l’homologation des types de véhicules, de la gouvernance des CSMS, de la couverture des gammes de modèles, de la coordination des fournisseurs et des éléments probants de cybersécurité sur l’ensemble du cycle de vie. Les activités de CARIAD au sein de Volkswagen Group ainsi que la gouvernance de la cybersécurité et des mises à jour OTA de Stellantis illustrent l’ampleur des programmes de sécurité logicielle des OEM.

Les fournisseurs de niveau 1 ont généré 313,3 millions de dollars (USD) en 2025, avec une part de 34,0 %, et devraient atteindre un montant estimé à 1 591,4 millions de dollars (USD) d’ici 2035, avec un TCAC de 17,2 %. Les fournisseurs de niveau 2 et de niveaux inférieurs ont généré 181,3 millions de dollars (USD), soit une part de 19,7 %, et devraient atteindre un montant estimé à 879,4 millions de dollars (USD) d’ici 2035, avec un TCAC de 16,7 %. Les opérateurs du marché secondaire et de flottes ont généré 58,0 millions de dollars (USD), soit une part de 6,3 %, et devraient atteindre un montant estimé à 202,2 millions de dollars (USD) d’ici 2035, avec un TCAC de 12,8 % ; une pression réglementaire moindre et des budgets limités maintiennent ce segment en dessous du taux de croissance de la demande portée par les OEM. La demande se propage à partir des programmes des OEM, car les exigences en matière de responsabilité d’homologation et de gouvernance de la cybersécurité sont transposées dans les contrats fournisseurs, les demandes d’éléments probants et les flux de travail d’intégration. Les organisations de niveau 1 agissent donc à la fois comme acheteurs et comme coordinatrices des données logicielles des fournisseurs de niveaux inférieurs. L’adoption par les flottes et le marché secondaire reste plus lente, car les budgets, les structures organisationnelles et la pression immédiate liée à la conformité sont moins favorables, mais la gestion des flottes connectées et l’extension des obligations relatives au cycle de vie accroîtront progressivement la pertinence de la surveillance des vulnérabilités et des services gérés. Les exigences des OEM créent une demande récurrente, car les fournisseurs de niveau 1 et de niveaux inférieurs doivent fournir des inventaires de composants et des éléments probants de cybersécurité pour conserver leur admissibilité aux programmes.

Les offres cloud gérées sont essentielles à l’adoption par les fournisseurs de niveaux inférieurs, car elles réduisent les besoins initiaux en technologies et en personnel spécialisé.

Par type de véhicule

Les voitures particulières comprennent les programmes de modèles à hayon, de berlines et de SUV, pour lesquels les systèmes d’infodivertissement connectés, les systèmes avancés d’aide à la conduite (ADAS), les services cloud, les logiciels OTA et le grand nombre d’unités de commande électroniques (ECU) accroissent les exigences en matière de couverture SBOM. Les véhicules particuliers haut de gamme peuvent intégrer de 100 à 300 millions de lignes de code réparties entre des centaines d’ECU, ce qui rend nécessaires la découverte automatisée des composants et la mise en corrélation des vulnérabilités à l’échelle des programmes.

Les architectures EV et SDV renforcent les exigences de gouvernance logicielle dans les deux catégories de véhicules, car les fonctions connectées s’étendent au-delà des seuls ECU pour couvrir les systèmes de gestion de la batterie, la télématique, les interfaces V2X, les services cloud et les processus de mise à jour OTA. Les véhicules particuliers accroissent les volumes grâce au déploiement généralisé de fonctionnalités connectées, tandis que les programmes de véhicules commerciaux gagnent en importance opérationnelle grâce à la connectivité des flottes et à une utilisation prolongée sur le terrain. Dans les deux cas, la gestion des SBOM prend davantage de valeur lorsque les modifications des composants doivent être associées à l’état logiciel spécifique utilisé dans le véhicule. La demande pour les véhicules particuliers est façonnée par l’intensité logicielle des architectures de véhicules connectés et haut de gamme.

La demande de véhicules commerciaux reflétera de plus en plus les exigences de surveillance au niveau des flottes et de sécurité des opérations connectées.

Par modèle de déploiement

Le déploiement cloud (SaaS) a généré 632,2 millions de dollars (USD) en 2025, soit une part de 68,7 %, et devrait atteindre environ 3 314,5 millions de dollars (USD) d’ici 2035, avec un taux de croissance annuel composé (TCAC) de 17,6 %. Les plateformes SaaS permettent des mises à jour continues, une veille centralisée sur les vulnérabilités, un accès évolutif aux fournisseurs et un coût initial d’infrastructure moindre. Cybellum, C2A Security, VicOne et Upstream Security illustrent des approches connectées au cloud pour la surveillance du cycle de vie, la corrélation des risques, la mobilisation des fournisseurs et la veille sur les flottes.

Le déploiement sur site a généré 288,3 millions de dollars (USD) en 2025 et représentait une part de 31,3 %. Il demeure pertinent pour les constructeurs et les fournisseurs qui exigent un contrôle direct de leur infrastructure interne, une intégration aux systèmes existants ou des environnements de développement sensibles.

Le déploiement cloud est en tête, car la collaboration entre fournisseurs de plusieurs niveaux et les mises à jour continues de la veille sont plus faciles à mettre à l’échelle au moyen de plateformes centralisées.

Les déploiements sur site restent pertinents lorsque les flux de travail existants, les contrôles internes ou les exigences d’architecture propres à certains programmes limitent l’adoption du cloud.

Analyse régionale du marché des nomenclatures logicielles (SBOM) et de la gestion des vulnérabilités dans le secteur automobile

Amérique du Nord

L’Amérique du Nord a généré 244,4 millions de dollars (USD) en 2025, soit 26,6 % des revenus mondiaux, et devrait atteindre environ 1 422,5 millions de dollars (USD) d’ici 2035, avec un TCAC de 18,8 %, le taux régional le plus élevé. Les États-Unis constituent le principal marché, soutenu par le décret présidentiel 14028, les recommandations de la CISA relatives aux éléments minimaux des SBOM et les pratiques de cybersécurité de la NHTSA, qui influencent la qualification des fournisseurs des constructeurs ainsi que les processus de gestion des risques. Une enquête menée au troisième trimestre 2025 auprès de 95 fournisseurs nord-américains de logiciels automobiles a révélé que 71 % d’entre eux avaient reçu de leur principal constructeur des exigences formelles de soumission de SBOM au cours des 18 mois précédents, contre 38 % dans la cohorte de 2023. La politique fédérale est de plus en plus renforcée par les programmes de qualification des fournisseurs des constructeurs, transformant les soumissions de SBOM en une condition récurrente de participation plutôt qu’en un exercice isolé de cybersécurité.Cette structure privilégie les services gérés, les portails cloud et l’accompagnement en matière de conformité, qui aident les fournisseurs à maintenir à jour leur inventaire et leurs éléments probants sans constituer de grandes équipes internes. La trajectoire de croissance de l’Amérique du Nord reflète cette combinaison entre les orientations politiques, la rigueur des processus d’approvisionnement des entreprises et les investissements dans les logiciels pour véhicules connectés au sein des écosystèmes des constructeurs et des fournisseurs. Les politiques fédérales et les contrats conclus avec les constructeurs se conjuguent pour faire de l’Amérique du Nord le marché à la croissance la plus rapide, malgré une base de revenus actuellement plus importante en Asie-Pacifique.

Les exigences de soumission des fournisseurs soutiendront la demande de portails cloud, de validation des formats et de services gérés de conformité.

Europe

L’Europe a généré 251,5 millions de dollars (USD) en 2025, soit une part de marché de 27,3 %, et devrait atteindre environ 1 313,0 millions de dollars (USD) d’ici 2035, avec un TCAC de 17,6 %. L’Allemagne constitue le centre technologique régional, car Volkswagen, BMW, Mercedes-Benz, ETAS, Vector Informatik et leurs réseaux de fournisseurs de rang 1 concentrent les activités liées aux outils de développement automobile et à la cybersécurité. Le règlement n° 155 de la réglementation WP.29 de la CEE-ONU est devenu obligatoire pour les nouvelles homologations de type de véhicules dans l’Union européenne et au Royaume-Uni en juillet 2024, tandis que la mise à jour de janvier 2025 des bonnes pratiques de cybersécurité automobile de l’ENISA a ajouté des recommandations explicites concernant la gestion des SBOM et l’attestation des fournisseurs.

Les programmes européens passent de la préparation initiale à l’homologation de type à la gestion continue du cycle de vie, car les mises à jour logicielles, les changements de fournisseurs et la divulgation des vulnérabilités nécessitent la production récurrente d’éléments probants. La concentration des activités d’ingénierie des constructeurs en Allemagne et la maturité des outils de développement établis favorisent l’adoption de plateformes intégrées plutôt que de produits d’analyse isolés. Les recommandations de l’ENISA renforcent une référence opérationnelle commune pour les autorités nationales et les fournisseurs, tandis que les exigences d’attestation des fournisseurs élargissent le marché au-delà des équipes centrales de cybersécurité des constructeurs, vers les fonctions décentralisées de développement et d’approvisionnement. La demande européenne repose sur l’application des exigences d’homologation de type et sur des environnements de développement matures chez les constructeurs, plutôt que sur des dépenses discrétionnaires en cybersécurité.

L’écosystème allemand d’outils établi favorise les fournisseurs capables d’intégrer les fonctions SBOM aux flux de travail existants d’ingénierie et de diagnostic.

Asie-Pacifique

L’Asie-Pacifique était le plus grand marché régional, avec un chiffre d’affaires de 318,5 millions de dollars (USD) en 2025, soit une part de marché de 34,6 % ; elle devrait atteindre 1 528,3 millions de dollars (USD) d’ici 2035, avec un TCAC de 16,6 %. La Chine est le premier marché national, les exigences nationales de cybersécurité automobile définies par la norme GB/T 44464-2024 structurant les exigences relatives aux SBOM, à la gestion des vulnérabilités, à l’attestation de la chaîne d’approvisionnement et à la localisation des données. Le Japon et la Corée du Sud appliquent les exigences de cybersécurité de la réglementation WP.29 de la CEE-ONU, tandis que les orientations provisoires de l’Inde en matière de cybersécurité des véhicules connectés soutiennent une opportunité de conformité pour 2026–2028 ; l’Inde et la Corée du Sud sont les principaux marchés émergents de la région. La demande régionale se différencie davantage à mesure que la Chine applique des exigences nationales de conformité et de localisation des données, tandis que le Japon et la Corée du Sud alignent leur application des règles sur les processus de la réglementation WP.29 de la CEE-ONU. La période de mise en conformité en développement en Inde constitue une source supplémentaire de demande, à mesure que la production locale et les activités liées aux véhicules connectés se développent. Les programmes de véhicules électriques et de véhicules définis par logiciel (SDV) renforcent le besoin de visibilité sur les composants des batteries, des systèmes télématiques et des systèmes connectés au cloud, ce qui accroît la valeur des plateformes capables de prendre en charge les environnements de fournisseurs nationaux et transfrontaliers. L’ampleur du marché de l’Asie-Pacifique est portée par la production automobile, le déploiement de véhicules électriques et de SDV, ainsi que par un ensemble croissant d’exigences nationales en matière de cybersécurité.

Les exigences propres à la Chine en matière de conformité et de localisation des données créent une demande pour des plateformes adaptées aux conditions nationales de la chaîne d’approvisionnement et de la gouvernance.

Amérique latine

L’Amérique latine représentait une partie des 6,7 % restants du chiffre d’affaires mondial en 2025, après l’Asie-Pacifique, l’Europe et l’Amérique du Nord. Le Brésil constitue l’opportunité la plus prometteuse parmi les pays émergents, porté par la production automobile, le développement des véhicules connectés et les exigences de gouvernance des données, notamment la loi générale brésilienne sur la protection des données. Le rôle du Mexique dans la chaîne d’approvisionnement automobile élargit la base adressable, bien que les contraintes liées aux talents en cybersécurité et aux coûts de mise en œuvre limitent la vitesse de déploiement. L’adoption régionale devrait suivre les chaînes de production automobile et d’exportation plutôt qu’une modernisation générale et autonome de la cybersécurité. Le Brésil offre le meilleur point d’entrée, car le développement des véhicules connectés peut être associé aux exigences locales de gouvernance des données, tandis que le Mexique offre un accès aux fournisseurs liés aux réseaux de production nord-américains. Les solutions SaaS gérées, l’intégration progressive et les services de conformité ciblés sont mieux adaptés à la structure de coûts de la région que les déploiements de grande envergure et entièrement intégrés nécessitant d’importantes équipes internes de cybersécurité. Le Brésil sera le principal point d’entrée en Amérique latine pour les fournisseurs à la recherche d’une demande émergente en cybersécurité automobile.

Les contraintes économiques des fournisseurs de rang inférieur et la pénurie de talents spécialisés favorisent les solutions SaaS gérées et les offres de conformité déployées par étapes plutôt que les programmes nécessitant d’importants investissements initiaux.

Moyen-Orient et Afrique

Le Moyen-Orient et l’Afrique représentaient le solde des 4,7 % restants du chiffre d’affaires mondial en 2025, après l’Asie-Pacifique, l’Europe, l’Amérique du Nord et l’Amérique latine. Le cadre réglementaire de cybersécurité du CCG, les contrôles essentiels de cybersécurité de la NCA saoudienne, les règlements techniques de la SASO et les normes d’assurance de l’information des Émirats arabes unis constituent le contexte réglementaire régional. L’adoption des SBOM dans le secteur automobile reste limitée par les coûts de mise en œuvre, une demande fragmentée et la disponibilité restreinte de talents spécialisés en cybersécurité automobile. Les initiatives en matière de mobilité connectée créent la demande à court terme la plus claire lorsque les contrôles nationaux de cybersécurité imposent une gouvernance démontrable des logiciels et des données des véhicules. Les cadres du CCG ainsi que les orientations réglementaires de l’Arabie saoudite et des Émirats arabes unis rendent les programmes axés sur la conformité plus pertinents que les dépenses discrétionnaires générales consacrées aux plateformes. L’adoption devrait commencer par une supervision hébergée, des évaluations ciblées et des prestations de services pouvant s’adapter à la maturité inégale des fournisseurs, aux capacités limitées en spécialistes et à l’ampleur encore restreinte des programmes de déploiement régionaux. La demande dans la région du Moyen-Orient et de l’Afrique se développera de manière sélective là où les programmes de mobilité connectée et les contrôles nationaux de cybersécurité créeront des exigences explicites de conformité.

Les modèles fondés sur les services et fournis via le cloud sont mieux adaptés à la maturité actuelle du marché régional que les déploiements d’entreprise de grande envergure et entièrement intégrés.

Part de marché et paysage concurrentiel du marché des nomenclatures logicielles automobiles (SBOM) et de la gestion des vulnérabilités

Cybellum – part de 7,8 %

Cybellum, détenue par LG Electronics, est le leader du marché avec une part de 7,8 %. LG a acquis la société pour environ 240 millions de dollars (USD) en 2022, renforçant ainsi ses ressources et son accès aux canaux automobiles. La plateforme de sécurité produit de Cybellum combine la détection des composants basée sur les fichiers binaires, la cartographie des dépendances, la corrélation des CVE, les flux de travail de remédiation, des portails fournisseurs prenant en charge plus de 500 points de contact, ainsi que des rapports de conformité ; la plateforme est déployée dans plusieurs programmes de constructeurs automobiles mondiaux figurant parmi les 10 premiers.

ETAS – part de 4,9 %

ETAS, grâce aux capacités du groupe Bosch et d’ESCRYPT, détenait une part de marché de 4,9 %. La société intègre la TARA, la génération de SBOM, la surveillance des vulnérabilités et la conformité à la norme ISO/SAE 21434 aux environnements Bosch INCA, AUTOSAR, de diagnostic et de développement automobile. Cette position au sein de la chaîne d’outils réduit les difficultés d’intégration pour les constructeurs automobiles et les fournisseurs de rang 1 qui utilisent déjà des flux de travail d’ingénierie associés à Bosch.

Vector Informatik – part de 3,8 %

Vector Informatik détenait une part de 3,8 % et étend son écosystème CANalyzer, CANoe et VectorCAST à la cybersécurité automobile et à la génération de SBOM. En avril 2024, la société a lancé l’extension VectorCAST Security avec exportation de SBOM au format CycloneDX, permettant aux fournisseurs de créer des inventaires de composants à partir de flux de travail existants de test et de validation. La génération native au sein de la chaîne d’outils différencie Vector des plateformes autonomes qui doivent mettre en place de nouveaux circuits de collecte de données.

Argus Cyber Security / PlaxidityX – part de 3,0 %

Argus Cyber Security, intégrée sous la marque PlaxidityX de Continental, détenait une part de 3,0 %. Continental a acquis Argus en 2017 et a combiné son expertise historique en matière de sécurité des calculateurs électroniques et de la télématique avec les capacités d’Elektrobit en sécurité logicielle. L’accès de Continental à la chaîne d’approvisionnement des fournisseurs de rang 1 confère à PlaxidityX un canal commercial intégré dans les programmes mondiaux de fabrication automobile.

Synopsys – part de 2,5 %

Synopsys détenait une part de 2,5 % grâce à sa plateforme Black Duck. La plateforme fournit aux entreprises des fonctions d’analyse de la composition logicielle, de détection des logiciels libres, de conformité des licences et de notation de l’exploitabilité enrichie par le CVSS, pour les organisations automobiles qui gèrent des piles logicielles combinant des composants propriétaires et libres. Sa position établie dans le domaine du DevSecOps offre aux constructeurs automobiles et aux fournisseurs une voie d’adoption moins risquée pour étendre les pratiques d’analyse de la composition logicielle des entreprises à la gouvernance des véhicules.

VicOne – part de 2,0 %

VicOne, issue d’une scission de Trend Micro et créée en 2021, détenait une part de 2,0 %. Ses plateformes xNexus et xCarbon associent l’analyse des SBOM automobiles aux renseignements de Trend Micro, qui couvrent plus de 250 milliards de requêtes liées aux menaces par jour. En mars 2025, VicOne a lancé xNexus 2.0 avec une hiérarchisation des CVE pilotée par l’IA et a fait état d’une réduction pouvant atteindre 70 % du volume d’alertes pour les opérateurs de flottes de véhicules connectés.

C2A Security – part de 1,8 %

C2A Security détenait une part de marché de 1,8 % et propose la plateforme DevSecOps AutoSPIN. AutoSPIN intègre la génération de SBOM, la gestion des CVE et les rapports de conformité aux flux de travail CI/CD, comblant ainsi l’écart entre le développement des logiciels automobiles et la gouvernance de la sécurité. En avril 2025, AutoSPIN 3.0 a été rendu généralement disponible avec une conversion bidirectionnelle SPDX/CycloneDX et un portail fournisseurs destiné à la collecte de SBOM à plusieurs niveaux.

Les principaux acteurs du marché de la gestion des SBOM et des vulnérabilités automobiles comprennent AUTOCRYPT, AVL, DNV, Harman International, LTTS, Upstream Security, CYMOTIVE Technologies, Finite State, Karamba Security, Secure Elements, Ag­nile Technologies et VxLabs (ThreatZ).

Évolutions récentes du secteur

• Avril 2025 : C2A Security a annoncé la disponibilité générale d’AutoSPIN 3.0, avec l’ajout d’une conversion bidirectionnelle SPDX/CycloneDX et d’un portail fournisseurs destiné à la collecte de SBOM à plusieurs niveaux. Cette version répond à une contrainte centrale en matière d’interopérabilité et d’intégration des fournisseurs.

• Mars 2025 : VicOne a lancé xNexus 2.0 avec une priorisation des CVE pilotée par l’IA, qui combine les renseignements sur les menaces de Trend Micro avec une notation contextuelle de l’architecture des véhicules. Les premières données de déploiement ont fait état d’une réduction pouvant atteindre 70 % du volume d’alertes pour les exploitants de flottes de véhicules connectés.

• Janvier 2025 : l’ENISA a publié une version actualisée des bonnes pratiques en matière de cybersécurité automobile, avec des cadres explicites de gestion des SBOM et d’attestation des fournisseurs, conformes au règlement n° 155 de la CEE-ONU WP.29.

• Novembre 2024 : Cybellum a étendu sa plateforme de sécurité des produits avec un portail SBOM fournisseurs qui automatise la collecte, la validation des formats et l’intégration aux systèmes à partir de 500 points de contact fournisseurs au maximum. Ce module a fait suite à des déploiements auprès de deux constructeurs automobiles européens figurant parmi les dix premiers.

• Octobre 2024 : la CISA a publié des orientations actualisées sur les SBOM pour les infrastructures de transport, désignant le secteur automobile comme un secteur prioritaire des infrastructures critiques et alignant les éléments minimaux sur le cadre de la NTIA.