Gartner Security Awareness Training : où en sont les leaders

Les rapports Gartner et Forrester sur le Security Awareness Training (SAT) sont des références que tout acheteur de solution de sensibilisation au phishing finit par croiser. Un DSI qui prépare un appel d’offres, un RSSI qui justifie un budget devant son comité de direction, un responsable IT qui compare trois éditeurs : tous tombent tôt ou tard sur un Magic Quadrant ou une Forrester Wave. Et tous se posent la même question : ces classements sont-ils un bon guide d’achat pour mon entreprise ?

La réponse courte : oui, à condition de comprendre ce qu’ils mesurent et ce qu’ils ne mesurent pas. Pour une multinationale de 10 000 salariés basée à New York, le Magic Quadrant Gartner est un outil d’aide à la décision fiable. Pour une PME française de 80 collaborateurs basée à Lyon, c’est un point de départ, pas une conclusion.

Cet article décortique les rapports analystes, identifie les leaders actuels, analyse les tendances qu’ils révèlent et explique pourquoi une PME française doit compléter cette lecture par des critères que ni Gartner ni Forrester ne pondèrent suffisamment.

Le Magic Quadrant Gartner : histoire et évolution du cadre d’analyse

Un cadre qui a changé de nom et de périmètre

Gartner a commencé à évaluer le marché de la sensibilisation à la sécurité sous le nom Magic Quadrant for Security Awareness Computer-Based Training (CBT). Ce rapport, publié annuellement entre 2018 et 2021, évaluait spécifiquement les plateformes de formation et de simulation de phishing.

En 2022, Gartner a abandonné le Magic Quadrant spécifique au profit d’un Market Guide for Security Awareness Tools, un format différent qui identifie les tendances et les acteurs représentatifs sans les positionner sur un quadrant. Ce changement reflétait la vision de Gartner selon laquelle le marché SAT n’était plus suffisamment différencié pour justifier un classement en quatre quadrants : les fonctionnalités de base (simulation, micro-learning, reporting) s’étaient banalisées.

Depuis 2024, Gartner évalue la sensibilisation dans le cadre du Magic Quadrant for Email Security Platforms, un périmètre plus large qui couvre la protection email, la détection des menaces et la formation des utilisateurs. Ce regroupement a une conséquence directe : les éditeurs SAT purs (ceux qui ne font que de la sensibilisation) sont désormais évalués aux côtés de plateformes de sécurité email complètes. KnowBe4, qui a acquis Egress en 2024 pour ajouter une couche de sécurité email, a explicitement suivi cette convergence.

Comment fonctionne l’évaluation Gartner

Le Magic Quadrant positionne les éditeurs sur deux axes :

Complétude de vision (axe horizontal) : stratégie produit, innovation, compréhension du marché, modèle commercial, portée géographique.
Capacité d’exécution (axe vertical) : qualité du produit, viabilité financière, satisfaction client, expérience de déploiement, support.

Les éditeurs sont classés dans quatre catégories : Leaders (haute vision, haute exécution), Challengers (haute exécution, vision limitée), Visionaries (haute vision, exécution limitée) et Niche Players (les deux dimensions limitées).

Un point que les acheteurs oublient souvent : Gartner évalue la capacité à servir le marché tel qu’il le définit. Et Gartner définit son marché cible comme les entreprises de 1 000 employés et plus, principalement nord-américaines et européennes de l’Ouest. Les critères de pondération reflètent ce biais : la capacité de déploiement multi-pays, l’intégration avec des SIEM et SOAR enterprise, le support 24/7 multilingue et la capacité à gérer des populations de 10 000+ utilisateurs comptent lourdement. La capacité à servir une PME de 40 personnes avec un budget de 2 000 euros par an ne fait pas partie de l’équation.

Les leaders actuels : qui domine les classements

KnowBe4 : le leader incontesté

KnowBe4 est le mastodonte du marché SAT. Nommé Leader dans le Magic Quadrant Gartner for Email Security Platforms 2025 pour la deuxième année consécutive, l’entreprise cumule les indicateurs de domination : 70 000 clients dans le monde, plus de 25 000 templates de phishing, 1 300 modules de formation, 35 langues, 2 400 employés. Sur G2, la note est de 4,6/5 avec près de 3 000 avis. Sur Gartner Peer Insights, même note avec 2 443 avis.

Le rachat par Vista Equity Partners pour 4,6 milliards de dollars en 2023, suivi de l’acquisition d’Egress en 2024 (sécurité email adaptative), a transformé KnowBe4 d’un pure player SAT en une plateforme de sécurité email complète, alignée avec la convergence que Gartner identifie. Le lancement du système AIDA en 2026 (huit agents IA qui automatisent la génération de templates, le scoring de risque et l’orchestration des campagnes) renforce ce positionnement premium.

Pourquoi Gartner le classe Leader : catalogue le plus vaste du marché, base installée massive, innovation continue (IA, automatisation), viabilité financière (backing PE), réseau de partenaires étendu. Pour une analyse détaillée de ce que KnowBe4 offre concrètement aux PME françaises, consultez notre comparatif KnowBe4.

Ce que Gartner ne dit pas : sur Trustpilot, KnowBe4 affiche 1,8/5 avec 85 % d’avis à une étoile, les utilisateurs finaux (les employés, pas les admins IT) jugent les formations « pire que terrible ». Sur G2, 26 mentions négatives pointent un setup initial jugé « overwhelming » pour les petites structures. Le contenu francophone représente moins de 2 % du catalogue total. Et le pricing, lisible en entrée de gamme (1,90 $/siège/mois au Silver), peut doubler avec les add-ons et les augmentations au renouvellement. Pour un comparatif complet avec les alternatives françaises : KnowBe4 vs solutions françaises pour les PME.

Proofpoint : la force enterprise

Proofpoint est l’autre Leader du Magic Quadrant Gartner for Email Security Platforms 2025. Historiquement un acteur de la sécurité email (filtrage, protection contre les menaces avancées, DLP), Proofpoint a développé une composante SAT forte via Proofpoint Security Awareness Training, qui inclut simulation de phishing, modules de micro-learning, évaluation des connaissances et reporting intégré à la plateforme de threat intelligence Proofpoint.

Pourquoi Gartner le classe Leader : intégration native entre la protection email et la sensibilisation (les simulations sont alimentées par les menaces réelles détectées par Proofpoint), capacité de déploiement enterprise, threat intelligence propriétaire, et une base installée massive dans les grandes entreprises. Le rapport State of the Phish, publié annuellement, est devenu une référence du secteur.

Ce que cela signifie pour les PME : Proofpoint ne publie pas de grille tarifaire pour sa composante SAT. La tarification se fait par devis, avec des tickets d’entrée qui dépassent généralement ce qu’une PME de 50 à 200 salariés est prête à investir. La plateforme est conçue pour être déployée et administrée par des équipes sécurité à temps plein, pas par un responsable IT polyvalent. Pour comprendre l’offre Proofpoint dans le détail : comparatif Proofpoint.

Cofense : le spécialiste phishing

Cofense (anciennement PhishMe) s’est construit une réputation sur un positionnement précis : la simulation de phishing et le signalement. Contrairement à KnowBe4 et Proofpoint qui couvrent un périmètre large, Cofense se concentre sur la chaîne complète du phishing : simulation, formation contextuelle post-clic, bouton de signalement (Cofense Reporter), triage des emails signalés (Cofense Triage) et threat intelligence issue des signalements agrégés.

Position analystes : Cofense est régulièrement bien positionné dans les évaluations Gartner et Forrester, reconnu pour la qualité de son approche « phishing-first ». L’entreprise a été identifiée comme Representative Vendor dans les Market Guides successifs de Gartner.

Ce que cela signifie pour les PME : le modèle Cofense est pertinent pour les organisations qui veulent se concentrer sur la simulation de phishing plutôt que sur la formation généraliste. Mais le déploiement et la tarification restent orientés entreprises de taille intermédiaire et grandes comptes. Pour les détails : comparatif Cofense.

Les challengers et visionnaires à surveiller

Hoxhunt (Helsinki, Finlande) est le challenger européen le plus visible. Sa plateforme mise sur la gamification poussée et l’IA adaptive : les simulations s’ajustent automatiquement au niveau de chaque employé, augmentant la difficulté au fil du temps. Gartner et Forrester l’identifient comme un acteur montant. Hoxhunt revendique une approche « behavior change first » qui dépasse la simple mesure du taux de clic. Détails dans notre comparatif Hoxhunt.

SoSafe (Cologne, Allemagne) est le principal acteur européen du segment. Sa plateforme Human Risk OS combine simulation de phishing, micro-learning, culture meter (mesure de la culture sécurité) et un Human Risk Index. SoSafe est le seul acteur SAT européen à avoir franchi la barre des 100 millions d’euros de revenus récurrents. L’entreprise bénéficie d’un positionnement solide sur la conformité européenne (RGPD, NIS2) et la qualité du contenu en langues européennes. Voir le comparatif SoSafe.

Autres acteurs mentionnés : Terranova Security (acquis par Fortra), NINJIO, Arctic Wolf (via l’acquisition de Habitu8), Infosec IQ (Cengage), CyberReady. La liste s’allonge chaque année, signe d’un marché qui n’a pas encore consolidé.

La Forrester Wave : un regard complémentaire

Ce que Forrester évalue différemment

La Forrester Wave for Security Awareness and Training Solutions évalue un périmètre similaire au Magic Quadrant Gartner mais avec des pondérations différentes. Là où Gartner privilégie la complétude fonctionnelle et la capacité de déploiement à grande échelle, Forrester met davantage l’accent sur trois dimensions :

La science comportementale. Forrester évalue la rigueur scientifique derrière les approches de changement de comportement. Les éditeurs qui s’appuient sur des modèles validés (nudge theory, spaced repetition, adaptive learning) sont favorisés par rapport à ceux qui se contentent de multiplier les templates.

L’expérience employé. Forrester accorde un poids significatif à la perception de la formation par les utilisateurs finaux, pas seulement par les administrateurs IT. Un éditeur qui obtient des scores élevés de satisfaction admin mais des scores faibles côté employé sera pénalisé dans la Wave.

La mesure du changement de comportement. Au-delà du taux de clic sur les simulations (une métrique que Forrester considère insuffisante), les éditeurs sont évalués sur leur capacité à mesurer l’évolution réelle des comportements : signalement actif des emails suspects, adoption des bonnes pratiques au quotidien, réduction des incidents réels.

Les divergences entre Gartner et Forrester

Les classements Gartner et Forrester ne sont pas identiques, et c’est normal. Quelques divergences notables :

KnowBe4 est Leader chez Gartner mais n’est pas toujours classé au sommet de la Forrester Wave, où l’accent sur l’expérience employé pénalise sa note Trustpilot.
Hoxhunt tend à mieux performer chez Forrester que chez Gartner, grâce à son approche adaptive et sa gamification qui score bien sur les critères de science comportementale.
Proofpoint bénéficie de son intégration threat intelligence chez les deux cabinets, mais Forrester souligne les limites de son contenu de formation autonome par rapport à sa protection email.

Pour un acheteur, la leçon est claire : consulter les deux rapports donne une image plus complète qu’un seul. Les entreprises qui performent bien chez Gartner ET Forrester (KnowBe4, Proofpoint) sont des valeurs sûres pour le segment enterprise. Les divergences révèlent les arbitrages que chaque acheteur doit faire selon ses priorités.

Les tendances de marché identifiées par les analystes

Les rapports Gartner et Forrester ne se limitent pas aux classements. Ils identifient des tendances structurantes que tout acheteur devrait connaître, quelle que soit la taille de son entreprise.

Tendance 1 : du « checkbox compliance » au changement de comportement

Gartner le répète depuis 2022 : les programmes de sensibilisation qui se limitent à cocher la case « formation annuelle obligatoire » sont inefficaces. Le Market Guide 2023 recommande explicitement de passer d’une approche « awareness » (je sais que le phishing existe) à une approche « behavior » (je modifie mes comportements au quotidien).

Concrètement, cela signifie que les éditeurs qui proposent uniquement des modules e-learning passifs perdent du terrain face à ceux qui combinent simulation continue, micro-learning contextuel, gamification et mesure comportementale. Le taux de clic sur une simulation n’est plus la métrique reine : Gartner recommande de mesurer le taux de signalement (combien d’employés signalent activement un email suspect), le temps de signalement (combien de temps entre la réception et le signalement) et la récidive (combien d’employés cliquent à nouveau après une première erreur).

Tendance 2 : la personnalisation par l’IA

Gartner et Forrester identifient la personnalisation IA comme le principal axe d’innovation du marché. Les approches « one-size-fits-all » (le même programme pour tous les employés) cèdent la place à des parcours adaptatifs où la difficulté, la fréquence et le type de simulation s’ajustent au profil de risque de chaque utilisateur.

KnowBe4 a lancé AIDA (huit agents IA au niveau Diamond), Hoxhunt utilise l’IA adaptive depuis sa création, SoSafe intègre des parcours personnalisés dans son Human Risk OS. La tendance est claire, mais le niveau de maturité varie considérablement d’un éditeur à l’autre. Et le coût des fonctionnalités IA reste un frein : chez KnowBe4, l’IA n’est accessible qu’au niveau Diamond, le plus cher.

Tendance 3 : convergence SAT et sécurité email

C’est la tendance la plus structurante identifiée par Gartner et la raison pour laquelle le Magic Quadrant SAT a fusionné avec celui de la sécurité email. La vision de Gartner : la sensibilisation et la protection technique de l’email sont deux faces d’une même médaille, et les plateformes qui intègrent les deux auront un avantage.

KnowBe4 (acquisition d’Egress), Proofpoint (intégration native SAT + email security), Mimecast (modules de formation intégrés) suivent cette tendance. Pour les éditeurs SAT purs qui ne font pas de sécurité email, ce repositionnement de Gartner pose un défi de visibilité dans les rapports analystes.

Tendance 4 : la mesure de la culture sécurité

Au-delà du comportement individuel, Gartner pousse les éditeurs à mesurer la culture sécurité de l’organisation : l’ensemble des normes, attitudes et pratiques collectives qui déterminent comment les employés réagissent face aux menaces. SoSafe (Culture Meter), KnowBe4 (SecurityCulture) et Hoxhunt proposent des modules spécifiques. Forrester va dans le même sens en évaluant la capacité des éditeurs à produire des métriques exploitables par le COMEX, pas seulement par l’équipe sécurité.

Pourquoi les classements analystes ne suffisent pas pour une PME française

C’est le point central de cet article, et la raison pour laquelle copier-coller un classement Gartner dans un appel d’offres PME est une erreur.

Le biais de taille

Gartner évalue la capacité d’un éditeur à servir des organisations de 1 000 à 100 000+ employés. Les critères qui comptent à cette échelle — déploiement multi-pays, intégration SIEM/SOAR, API enterprise, support multi-fuseau, gestion de rôles granulaire — sont largement hors sujet pour une PME de 80 salariés. Inversement, les critères qui comptent pour une PME — simplicité de déploiement en moins d’une heure, absence de prérequis techniques, tarification sans ticket d’entrée minimum élevé, réactivité d’un support à taille humaine — ne sont pas pondérés par Gartner.

Un éditeur peut être classé Niche Player chez Gartner et être le meilleur choix pour votre PME. Un Leader Gartner peut être le pire choix pour votre contexte. Le classement mesure la taille et la maturité de l’éditeur sur le marché enterprise, pas son adéquation à votre situation.

Le biais géographique

Les rapports Gartner sont rédigés par des analystes basés majoritairement aux États-Unis, pour un lectorat majoritairement nord-américain. Les critères d’évaluation reflètent cette réalité :

La qualité du contenu francophone n’est pas un critère d’évaluation. Gartner vérifie que l’éditeur propose « plusieurs langues », mais ne différencie pas entre un contenu francophone natif et une traduction automatique retouchée. Or, pour une PME française, la différence entre un template de phishing écrit par un francophone et un template traduit de l’anglais est déterminante : un email de phishing mal traduit ne trompe personne, et la simulation perd toute valeur pédagogique.
La conformité RGPD est mentionnée comme un critère binaire (conforme ou non), mais la profondeur de mise en œuvre n’est pas évaluée. Un éditeur qui héberge en Europe avec un DPA standard et un éditeur qui propose un hébergement SecNumCloud avec un DPA conforme aux dernières recommandations CNIL reçoivent la même note. Pour une PME soumise à NIS2 ou à des obligations sectorielles (santé, finance), cette nuance compte.
Le support en français dans le fuseau CET/CEST n’est pas un critère. Or, quand un responsable IT a un problème de livraison de simulation un mardi matin à 9h, la capacité à joindre un support francophone dans l’heure fait la différence entre un outil utilisé et un outil abandonné.

Le biais de prix : la « Gartner tax »

Il existe un phénomène que les acheteurs du marché IT connaissent bien : la « Gartner tax ». Les éditeurs classés Leaders investissent massivement pour maintenir leur position (participation aux conférences Gartner, réponses aux questionnaires analystes, démonstrations sur mesure). Ces coûts sont répercutés dans les tarifs. Plus un éditeur grimpe dans le quadrant, plus ses prix augmentent, alimentés par la demande des grandes entreprises qui exigent d’acheter un « Leader Gartner ».

Pour une PME, le résultat concret est le suivant : les solutions les mieux classées par Gartner sont systématiquement les plus chères. KnowBe4 Diamond (le niveau qui inclut l’IA) coûte 3,25 $/siège/mois avant add-ons. Proofpoint ne communique pas ses tarifs mais se positionne sur le segment premium. Ces tarifs sont calibrés pour des entreprises qui achètent 5 000 ou 10 000 sièges et négocient des remises volume. À 50 sièges, vous payez plein tarif pour des fonctionnalités dont vous n’utiliserez qu’une fraction.

Ce n’est pas un défaut de ces solutions : elles sont conçues pour un autre segment. Le défaut serait de les acheter parce qu’elles sont classées Leaders sans vérifier qu’elles correspondent à votre contexte.

Ce que les analystes ne voient pas

Plusieurs critères déterminants pour une PME française sont absents des grilles d’évaluation Gartner et Forrester :

Le temps de déploiement réel pour un non-spécialiste. Un responsable IT de PME ne dispose pas de trois semaines pour configurer une plateforme SAT. Il a besoin d’un outil opérationnel en une heure.
La qualité des templates de phishing en français local. Pas le nombre de templates au catalogue, mais la qualité de ceux qui imitent les emails que vos collaborateurs reçoivent réellement : Chronopost, Ameli, impots.gouv.fr, Doctolib, La Banque Postale.
Le coût total de possession rapporté à 50-200 utilisateurs. Pas le prix unitaire dégressif à 10 000 sièges.
La capacité à produire les preuves de conformité exigées par un auditeur NIS2, ISO 27001 ou RGPD, sans expertise interne spécialisée.
L’hébergement en France ou en Europe avec une qualification SecNumCloud ou un engagement contractuel sur la localisation des données, au-delà d’un simple « nous avons des serveurs en Irlande ».

Pour structurer votre évaluation sur ces critères concrets, notre cahier des charges anti-phishing propose une grille prête à l’emploi.

Comment utiliser les rapports analystes intelligemment

Les rapports Gartner et Forrester ne sont pas inutiles pour une PME, à condition de les lire comme des sources d’intelligence marché et non comme des recommandations d’achat directes.

Ce qu’il faut en retenir

La shortlist de départ. Les éditeurs évalués par Gartner et Forrester ont passé un filtre de viabilité : ils sont financièrement stables, leur produit est mature, ils ont une base installée significative. Utilisez cette information pour éliminer les acteurs trop jeunes ou trop fragiles.

Les tendances technologiques. Quand Gartner identifie la personnalisation IA et la convergence SAT/email comme des tendances structurantes, c’est une information précieuse. Même si vous n’achetez pas un Leader Gartner, demandez à votre éditeur comment il se positionne sur ces tendances. Un éditeur qui n’a pas de roadmap IA en 2026 prend du retard.

Les critères de différenciation. La grille d’évaluation Gartner (même si ses pondérations ne correspondent pas à votre contexte) liste les bonnes questions à poser : capacité de personnalisation, qualité du reporting, profondeur du catalogue, intégration avec votre environnement technique. Récupérez les critères, changez les pondérations.

Ce qu’il faut ignorer ou compléter

Le positionnement dans le quadrant. Un Leader n’est pas meilleur qu’un Niche Player dans l’absolu. Il est meilleur pour le segment enterprise. Votre PME n’est pas dans ce segment.

Le nombre de langues ou de templates. 25 000 templates en 35 langues impressionnent dans un quadrant. Pour votre PME de 80 personnes, vous utiliserez 15 à 25 templates par an. La quantité compte moins que la qualité et la pertinence locale.

Le score Gartner Peer Insights sans filtre de taille. Les avis Gartner Peer Insights proviennent majoritairement d’entreprises de plus de 1 000 employés. Leur expérience (équipe IT en place, budget formation confortable, support premium négocié) n’est pas transposable à votre réalité.

La méthode recommandée pour une PME française

Lire les rapports analystes pour comprendre le marché, identifier les tendances et constituer une longue liste.
Ajouter les acteurs européens et français que Gartner ne couvre pas. Les PME françaises ont des besoins spécifiques que seuls des éditeurs locaux adressent correctement.
Évaluer sur vos propres critères. Utilisez notre guide pour choisir sa solution de sensibilisation en 2026 pour construire votre grille avec les pondérations adaptées à votre contexte.
Tester avant d’acheter. Aucun rapport analyste ne remplace un test en conditions réelles avec vos propres utilisateurs. Le taux de clic de vos collaborateurs sur un template francophone de qualité vous en dira plus qu’un quadrant.

Le marché SAT vu depuis la France : les angles morts des analystes

L’enjeu NIS2

La directive NIS2, transposée en droit français, impose aux entités essentielles et importantes de mettre en œuvre des mesures de gestion des risques cyber incluant « la sensibilisation et la formation du personnel » (article 21). Pour les PME concernées (et le périmètre est plus large que ne le pensent la plupart des dirigeants), la capacité de l’outil SAT à produire des preuves de conformité documentables est un critère d’achat de premier ordre, un critère que ni Gartner ni Forrester ne pondèrent spécifiquement.

Le facteur RGPD

Les plateformes SAT traitent des données personnelles des employés : adresses email, résultats de simulation, scores de formation, comportements de clic. Le traitement de ces données est soumis au RGPD, et la CNIL a publié des lignes directrices spécifiques sur le monitoring des employés. Un éditeur américain qui héberge les données sur AWS Dublin avec un DPA standard et un éditeur européen qui héberge en France avec un engagement contractuel de non-transfert hors UE ne présentent pas le même niveau de conformité. Gartner ne fait pas cette distinction.

Le contenu francophone : la différence entre « disponible » et « utilisable »

KnowBe4 propose 486 contenus en français (France). C’est une fraction de son catalogue total de 25 000+ contenus. Plus important : la qualité des traductions est inégale. Un template de phishing qui imite un email de Chronopost doit utiliser le bon format de numéro de suivi, la bonne mise en page, les bonnes formules. Une traduction littérale d’un template UPS américain ne trompe aucun collaborateur français.

Les éditeurs français et francophones natifs (nophi.sh, Mantra, Avant de Cliquer) produisent du contenu directement en français, calibré sur les marques et les contextes que vos collaborateurs rencontrent quotidiennement. Ce n’est pas un avantage marginal : c’est la différence entre une simulation qui teste la vigilance réelle et une simulation qui teste la capacité à reconnaître un email mal traduit.

Conclusion : Gartner comme boussole, pas comme GPS

Les rapports Gartner et Forrester sont des outils d’intelligence marché précieux. Ils cartographient un secteur en mouvement rapide, identifient les tendances qui façonneront les produits de demain et fournissent un premier filtre de viabilité des éditeurs. Pour une multinationale, ils constituent un guide d’achat fiable.

Pour une PME française, ils constituent un point de départ. La suite du travail consiste à appliquer vos propres critères : qualité du contenu francophone natif, conformité RGPD en profondeur, hébergement européen, tarification adaptée à votre volume, simplicité de déploiement, support réactif en français. Aucun de ces critères ne figure dans un Magic Quadrant. Tous sont déterminants pour le succès de votre programme de sensibilisation.

Avant de comparer les éditeurs, commencez par évaluer votre posture actuelle. Notre test de sécurité email vous donne en quelques minutes un état des lieux de votre exposition au phishing. C’est la première donnée à mettre sur la table avant d’ouvrir un rapport analyste.