CIR et cybersécurité : quels projets de sécurité informatique relèvent de la R&D ?

La cybersécurité est devenue un enjeu majeur pour les éditeurs de logiciels, les entreprises technologiques, les opérateurs d'infrastructures, les industriels et les fournisseurs de services numériques.

Les projets peuvent porter sur la détection d'attaques inédites, l'analyse de logiciels malveillants, la cryptographie, la sécurité des systèmes distribués, la protection des communications ou la conception de nouvelles méthodes de détection d'anomalies.

Certains de ces travaux peuvent relever du Crédit d'Impôt Recherche (CIR). Mais un projet de cybersécurité n'est pas automatiquement un projet de recherche.

Réaliser un audit de sécurité, effectuer un test d'intrusion, déployer un pare-feu, intégrer un outil de détection existant ou corriger des vulnérabilités connues ne suffit pas, en soi, à caractériser une opération de R&D.

Le critère central est la présence d'une incertitude scientifique ou technique que les connaissances et méthodes accessibles ne permettent pas de résoudre directement. L'entreprise doit pouvoir décrire le problème, l'état des connaissances, les hypothèses étudiées, les expérimentations et les résultats obtenus.

Le BOFiP consacré à la distinction entre R&D et activités connexes rappelle que la nouveauté commerciale d'une solution ou sa difficulté de réalisation ne suffit pas à démontrer l'existence de travaux de recherche.

Ce guide aide les entreprises à analyser leurs projets de cybersécurité et à préparer un dossier CIR cohérent avec les travaux réellement réalisés. Pour les critères applicables à tout projet logiciel, voir aussi le développement d'un logiciel est-il éligible au CIR ?

1. Quelles entreprises de cybersécurité peuvent être concernées ?

Les entreprises susceptibles de mener des opérations de R&D en cybersécurité comprennent notamment :

• les éditeurs de logiciels de sécurité ;
• les fournisseurs de solutions de détection et de réponse aux incidents ;
• les entreprises spécialisées dans la cryptographie ;
• les concepteurs de systèmes d'authentification ;
• les entreprises développant des outils d'analyse de logiciels malveillants ;
• les fabricants d'équipements intégrant des fonctions de sécurité ;
• les sociétés qui travaillent sur la protection des réseaux industriels ;
• les éditeurs de solutions de sécurité cloud ;
• les entreprises développant des méthodes d'analyse comportementale ;
• les startups qui recherchent de nouvelles méthodes de détection ou de prévention des attaques.

D'autres entreprises peuvent également être concernées lorsqu'elles développent leurs propres technologies de sécurité dans le cadre de leur activité.

La qualification dépend des opérations réalisées, et non du code NAF ou de la seule présence d'une équipe de sécurité informatique.

Une entreprise qui vend des prestations d'audit peut effectuer principalement des opérations courantes tout en menant, par ailleurs, un projet distinct de recherche sur une méthode nouvelle de détection. Les deux activités doivent alors être analysées séparément.

2. Le critère décisif : une incertitude technique non résolue

La première question à se poser est la suivante :

Quel problème de sécurité ne peut pas être résolu directement avec les connaissances, outils et méthodes déjà disponibles ?

Il faut aller au-delà de l'objectif commercial. « Développer un outil de cybersécurité plus performant » est trop général. « Améliorer la détection des attaques » ne suffit pas davantage.

Une description utile identifie les limites des approches existantes et explique pourquoi elles ne répondent pas au problème étudié — voir comment savoir si son projet est éligible au CIR.

Exemple : détecter des attaques inconnues

Une entreprise souhaite améliorer la détection d'attaques sur des systèmes industriels.

Situation A — intégration d'une solution existante

L'équipe déploie un moteur de détection commercial, configure des règles, connecte les journaux de sécurité et ajuste les seuils d'alerte selon les recommandations du fournisseur.

Ces travaux peuvent être techniquement importants, mais ils ne démontrent pas à eux seuls une opération de R&D.

Situation B — recherche d'une nouvelle méthode

Les méthodes disponibles ne permettent pas de distinguer correctement certains comportements malveillants de variations normales du système. L'équipe étudie les limites des approches existantes, formule des hypothèses, développe une méthode expérimentale, évalue ses performances sur des scénarios contrôlés et analyse les résultats pour comprendre les erreurs observées.

Cette seconde situation peut justifier une analyse CIR si elle répond aux critères de R&D.

La différence ne réside donc pas dans le caractère sensible ou complexe du projet, mais dans la nature des travaux et dans la connaissance nouvelle recherchée.

3. Les principaux projets de cybersécurité à examiner

3.1. Détection d'attaques et analyse comportementale

Les projets de détection peuvent viser à reconnaître des comportements malveillants, à repérer des anomalies ou à identifier des attaques qui échappent aux méthodes existantes.

Des travaux peuvent être éligibles lorsqu'ils cherchent notamment à :

• concevoir une méthode de détection nouvelle ;
• résoudre une difficulté de discrimination entre comportements légitimes et malveillants ;
• améliorer la robustesse d'une méthode dans des environnements où les approches existantes échouent ;
• développer une méthode permettant de traiter un problème technique non résolu lié aux données rares ou déséquilibrées ;
• étudier un comportement complexe que les outils disponibles ne permettent pas d'expliquer ou de détecter.

En revanche, configurer des règles de détection, ajouter des signatures connues, mettre à jour une base de menaces ou paramétrer un produit existant ne suffit pas à caractériser de la R&D.

Lorsque la détection repose sur l'apprentissage automatique, les critères propres à ces travaux s'appliquent également — voir CIR et intelligence artificielle.

3.2. Analyse de logiciels malveillants

L'analyse de malwares peut recouvrir plusieurs types d'activités.

L'analyse classique d'un échantillon, la recherche d'indicateurs de compromission, la mise à jour de signatures ou l'application de techniques connues correspondent souvent à des opérations de sécurité courantes.

Des travaux plus avancés peuvent relever de la R&D lorsqu'ils cherchent à résoudre une incertitude technique réelle, par exemple :

• développer une méthode nouvelle d'analyse d'un comportement difficile à caractériser ;
• étudier des mécanismes d'évasion qui mettent en échec les méthodes existantes ;
• concevoir une méthode nouvelle d'analyse de comportements inconnus ;
• résoudre une difficulté d'analyse liée à des transformations qui empêchent les outils accessibles de produire des résultats fiables.

L'entreprise doit établir que les travaux dépassent l'application de techniques connues et qu'ils visent à produire des connaissances nouvelles.

Les expérimentations doivent être réalisées dans un environnement légalement autorisé et sécurisé, avec des procédures adaptées aux risques associés aux échantillons étudiés.

3.3. Cryptographie et protocoles de sécurité

La cryptographie peut donner lieu à des travaux de recherche portant sur des propriétés mathématiques, des protocoles, des méthodes de preuve ou des mécanismes de sécurité.

Les projets à examiner peuvent notamment concerner :

• la conception d'un nouveau protocole cryptographique ;
• la recherche de propriétés de sécurité nouvelles ;
• l'analyse de limites d'un protocole dans des conditions spécifiques ;
• la conception d'une méthode permettant de répondre à une contrainte technique non résolue ;
• l'étude de méthodes nouvelles de protection des communications ou de gestion des clés.

Il faut distinguer ces travaux de l'intégration d'algorithmes cryptographiques connus, de la mise en œuvre d'une bibliothèque existante ou de la configuration standard d'un mécanisme de chiffrement.

Le simple fait de manipuler des algorithmes complexes ne suffit pas à établir l'existence de R&D.

3.4. Authentification et gestion des identités

Les projets d'authentification peuvent porter sur la vérification d'identité, la gestion des droits, les mécanismes d'authentification multifactorielle ou la sécurisation des accès.

L'intégration d'un fournisseur d'identité, la configuration d'un protocole connu ou le déploiement d'une authentification multifactorielle correspondent généralement à de l'ingénierie.

En revanche, un projet peut justifier une analyse CIR lorsqu'il cherche à résoudre une difficulté technique non maîtrisée par les méthodes accessibles, par exemple dans la conception d'un mécanisme nouveau ou dans la résolution d'un problème complexe de sécurité sous contraintes particulières.

La description du projet doit préciser la nouveauté recherchée et les limites des solutions existantes.

3.5. Sécurité des réseaux et systèmes distribués

Les réseaux distribués, les architectures cloud et les infrastructures industrielles peuvent soulever des difficultés de sécurité particulières.

Des travaux de R&D peuvent être envisageables lorsque l'entreprise cherche à résoudre un problème non résolu lié, par exemple, à la détection de comportements complexes dans un système distribué, à la cohérence de mécanismes de sécurité ou à la robustesse d'une méthode face à des conditions que les approches connues ne permettent pas de traiter.

En revanche, la configuration habituelle d'un réseau, le déploiement d'un système de supervision ou la mise en place d'une architecture de sécurité standard ne constituent pas automatiquement des opérations de R&D.

3.6. Sécurité des systèmes industriels et objets connectés

Les systèmes industriels et les objets connectés peuvent combiner des contraintes de temps réel, des équipements anciens, des ressources limitées et des exigences de disponibilité élevées.

Ces contraintes peuvent rendre un problème intéressant à examiner, mais elles ne prouvent pas, à elles seules, l'existence de R&D. Le projet doit démontrer qu'une difficulté scientifique ou technique demeure non résolue par les méthodes disponibles.

Par exemple, une entreprise peut chercher à concevoir une méthode de détection qui respecte simultanément des contraintes strictes de latence, de ressources et de robustesse, lorsque les approches existantes ne permettent pas de répondre au besoin.

L'analyse doit ensuite distinguer la recherche des opérations ordinaires de déploiement, de configuration et de maintenance — voir aussi CIR et entreprise industrielle.

4. Audits, tests d'intrusion et réponse aux incidents : sont-ils éligibles ?

Ces activités peuvent être indispensables à la sécurité d'une organisation, mais elles ne sont pas automatiquement des opérations de R&D.

Activité	Orientation générale
Audit de sécurité selon une méthodologie connue	Généralement hors R&D en tant que tel
Test d'intrusion visant à identifier des vulnérabilités connues	Généralement hors R&D en tant que tel
Déploiement et configuration d'un outil de sécurité existant	Pas de R&D automatique
Correction de vulnérabilités connues	Généralement du développement ou de la maintenance
Investigation d'un incident selon des procédures établies	Généralement une opération de sécurité courante
Développement d'une méthode nouvelle pour résoudre un problème technique non maîtrisé	Peut relever de la R&D
Expérimentation visant à comprendre une limitation des méthodes de détection disponibles	À examiner au regard des critères de R&D

Il faut faire attention à une confusion fréquente : découvrir une vulnérabilité inconnue pour l'entreprise ne signifie pas nécessairement découvrir une connaissance nouvelle pour le domaine.

Une vulnérabilité peut être inédite dans un système donné tout en étant détectable par des techniques connues. À l'inverse, la recherche d'une méthode nouvelle pour analyser une classe de vulnérabilités peut constituer une opération de R&D si les critères requis sont satisfaits.

Le dossier doit donc exposer la difficulté technique réelle, les connaissances accessibles et la démarche engagée.

5. Comment construire le dossier technique CIR ?

Le dossier doit démontrer le contenu scientifique ou technique des travaux. Une présentation commerciale du produit de sécurité ne suffit pas — voir comment justifier les travaux de recherche éligibles au CIR ?

Étape 1 — Décrire le problème de sécurité

Précisez le contexte technique, les objectifs et les contraintes, par exemple :

• reconnaître certains comportements malveillants ;
• maintenir une faible latence ;
• limiter les faux positifs ;
• fonctionner sur des équipements aux ressources limitées ;
• analyser des données incomplètes ou hétérogènes ;
• détecter des comportements que les méthodes existantes ne permettent pas de distinguer.

Il faut éviter de commencer uniquement par la description des fonctionnalités finales.

Étape 2 — Établir l'état de l'art

Présentez les connaissances et méthodes accessibles au début du projet :

• publications scientifiques ;
• travaux présentés dans des conférences spécialisées ;
• méthodes de détection existantes ;
• protocoles et algorithmes connus ;
• outils accessibles ;
• résultats de référence ;
• travaux antérieurs de l'entreprise.

Dans le numérique, l'état des connaissances repose notamment sur les publications scientifiques et les conférences spécialisées. Le Guide du CIR 2025 du ministère chargé de la Recherche insiste sur la nécessité de décrire les limites des approches disponibles et de documenter la démarche de recherche.

Étape 3 — Formuler le verrou scientifique ou technique

Le verrou doit être spécifique et compréhensible. Une formulation comme « renforcer la cybersécurité de notre plateforme » est trop vague.

Une formulation plus précise pourrait être :

« Les méthodes de détection évaluées ne permettent pas de distinguer de manière suffisamment fiable certains comportements malveillants de variations légitimes de l'activité dans l'environnement étudié. Les travaux cherchent à comprendre les limites de ces méthodes et à évaluer une nouvelle approche de détection. »

Cette formulation doit correspondre aux travaux réels et être étayée par l'état de l'art.

Étape 4 — Définir les hypothèses

Expliquez les différentes pistes étudiées, les raisons qui les motivent et les critères permettant d'évaluer leur pertinence.

Chaque hypothèse doit être liée à un protocole d'expérimentation et à des résultats observables.

Étape 5 — Décrire les expérimentations

Le dossier doit préciser :

• les environnements d'essai ;
• les jeux de données ou scénarios utilisés ;
• les versions des outils ou prototypes ;
• les méthodes de comparaison ;
• les métriques d'évaluation ;
• les résultats intermédiaires ;
• les limites et les erreurs observées.

Les données sensibles doivent être traitées conformément aux obligations de sécurité et de confidentialité applicables.

Étape 6 — Analyser les résultats

Il faut expliquer ce que les travaux ont permis de comprendre, quelles hypothèses ont été abandonnées et quelles connaissances ont été obtenues.

Une recherche peut ne pas produire le résultat industriel espéré tout en contribuant à la connaissance. L'échec ne suffit donc pas à exclure l'éligibilité.

Étape 7 — Distinguer recherche et exploitation

Un projet de cybersécurité peut comporter une phase de recherche, une phase de développement produit, une phase d'intégration et une phase d'exploitation.

Il faut identifier les opérations relevant effectivement de la R&D et distinguer les travaux courants de déploiement, de support, de maintenance et de réponse aux incidents.

Le BOFiP précise que, lorsqu'une opération est qualifiée de R&D, les travaux scientifiques et techniques indispensables à sa réalisation sont eux aussi traités comme de la R&D, dès lors qu'ils participent à la création de connaissances et sont réalisés par des personnels de recherche.

6. Quelles dépenses peuvent être examinées ?

Une fois l'opération de R&D identifiée, l'entreprise doit analyser les dépenses au regard des catégories et des règles fiscales applicables à l'année déclarée — le détail : quelles dépenses sont éligibles au CIR ?

6.1. Personnel

Les dépenses de personnel peuvent concerner les chercheurs, ingénieurs et techniciens participant directement aux opérations de R&D éligibles.

Dans un projet de cybersécurité, les profils concernés peuvent notamment être des spécialistes en cryptographie, des chercheurs en sécurité informatique, des ingénieurs travaillant sur des méthodes nouvelles ou des techniciens participant directement aux expérimentations.

Le titre du poste ne suffit pas : il faut documenter la nature des tâches réellement effectuées et leur rattachement aux opérations de recherche — voir les salaires des ingénieurs et chercheurs dans le CIR.

6.2. Infrastructure de calcul et environnements de test

Certains projets utilisent des environnements de calcul, des infrastructures de test ou des ressources cloud.

Dans le CIR, les frais de fonctionnement des opérations de recherche sont pris en compte de manière forfaitaire, en proportion des dépenses de personnel concernées (40 % pour les dépenses exposées à compter du 15 février 2025, 43 % auparavant). Une facture d'hébergement cloud ou de location de serveurs ne s'ajoute donc pas, en principe, à l'assiette. Le matériel acquis et affecté aux expérimentations (serveurs, plateformes de test) peut en revanche y entrer par le biais de ses dotations aux amortissements, sous conditions.

Il faut également distinguer les ressources utilisées pour les expérimentations de recherche de celles consacrées à l'hébergement du produit, à la supervision courante ou aux services fournis aux clients.

6.3. Sous-traitance

Les travaux confiés à un laboratoire ou à un prestataire spécialisé peuvent être examinés lorsque les conditions applicables à la recherche externalisée sont remplies.

Il faut vérifier la nature des travaux, leur lien avec l'opération de R&D, les exigences d'agrément lorsqu'elles s'appliquent, les plafonds et les justificatifs disponibles — voir comment traiter la sous-traitance dans le calcul du CIR.

Une prestation d'audit, de test d'intrusion ou de conseil ne devient pas automatiquement une dépense de recherche éligible.

6.4. Règles fiscales actualisées

La loi de finances pour 2025 a modifié l'assiette du CIR pour les dépenses exposées à compter du 15 février 2025 : le forfait de fonctionnement est passé de 43 % à 40 % des dépenses de personnel, et la veille technologique ainsi que les frais de brevets ont été exclus. Le calcul doit être effectué en fonction de la période concernée, et non en reprenant mécaniquement un dossier antérieur — voir comment calculer le montant du CIR.

L'analyse scientifique du projet et l'analyse fiscale des dépenses sont deux étapes distinctes.

7. Exemple pratique : une PME développe une nouvelle méthode de détection

Une PME technologique souhaite développer un moteur capable de détecter certains comportements malveillants dans des systèmes distribués.

Les solutions évaluées présentent deux limites dans l'environnement étudié : elles produisent trop de faux positifs et détectent mal certains comportements lorsque les données disponibles sont incomplètes.

Phase 1 — Analyse des méthodes disponibles

L'équipe examine les publications, les approches de détection existantes et les résultats accessibles. Elle documente les raisons pour lesquelles les méthodes étudiées ne répondent pas suffisamment aux contraintes du projet.

Phase 2 — Formulation des hypothèses

Les ingénieurs définissent plusieurs hypothèses concernant la représentation des événements, l'analyse des relations entre comportements et les critères de détection.

Phase 3 — Expérimentation

L'équipe développe des prototypes expérimentaux et les évalue sur des scénarios contrôlés. Elle conserve les résultats, les écarts observés et les limites des méthodes testées.

Phase 4 — Analyse

Les résultats permettent de mieux comprendre certaines limites des méthodes disponibles et d'évaluer une nouvelle approche.

Analyse CIR

Ces travaux peuvent relever de la R&D si l'entreprise démontre une incertitude scientifique ou technique réelle, une démarche expérimentale rigoureuse et une production de connaissances nouvelles.

En revanche, la connexion du moteur à un système de supervision, la création des tableaux de bord, le déploiement chez les clients et la maintenance habituelle doivent être distingués des travaux de recherche.

L'éligibilité n'est jamais garantie par la seule description du projet : elle dépend des travaux réellement réalisés et des conditions fiscales applicables.

8. CIR ou CII pour un projet de cybersécurité ?

Le CIR et le crédit d'impôt innovation (CII) ne couvrent pas les mêmes opérations.

Le CIR concerne les opérations de R&D qui satisfont aux critères scientifiques et techniques requis.

Le CII est réservé aux PME au sens européen : il peut concerner certaines dépenses de conception de prototypes ou d'installations pilotes de produits nouveaux, sous réserve des conditions applicables (taux de 20 % pour les dépenses exposées à compter du 1er janvier 2025, dans la limite de 400 000 € de dépenses par an).

Le caractère nouveau d'un logiciel de sécurité ne suffit pas à lui seul à rendre le projet éligible au CII.

Situation	Orientation à examiner
Recherche d'une nouvelle méthode de détection	CIR potentiel
Conception d'un protocole cryptographique nouveau	CIR potentiel
Développement d'une méthode originale face à un problème non résolu	CIR potentiel
Prototype d'un nouveau produit de cybersécurité par une PME	CII potentiel, sous conditions
Audit de sécurité selon une méthode connue	Généralement hors R&D en tant que tel
Intégration d'une bibliothèque de chiffrement existante	Pas de CIR automatique
Correction d'une vulnérabilité connue	Généralement développement ou maintenance

Il faut analyser séparément les opérations : une même dépense ne peut pas être retenue à la fois au CIR et au CII. Les aides publiques reçues pour ces travaux se déduisent par ailleurs de l'assiette — voir peut-on cumuler le CIR avec des subventions ? et le guide complet du CIR et du CII.

9. Les erreurs fréquentes dans les dossiers CIR cybersécurité

Erreur 1 — Considérer tout audit comme de la R&D

Un audit peut être complexe et nécessiter une expertise pointue sans constituer une opération de recherche. Il faut identifier une véritable incertitude scientifique ou technique.

Erreur 2 — Confondre une vulnérabilité inconnue en interne avec une connaissance nouvelle

Le fait de découvrir un problème dans son propre système ne signifie pas nécessairement que le domaine ne dispose pas déjà de méthodes pour le résoudre.

Erreur 3 — Déclarer toutes les activités d'une équipe SOC

La supervision, le tri des alertes, l'application des procédures et la réponse courante aux incidents doivent être distingués des travaux de recherche éventuellement réalisés par ailleurs.

Erreur 4 — Ne pas établir l'état de l'art

Sans analyse des connaissances disponibles, il est difficile de démontrer pourquoi le problème nécessite une démarche de recherche.

Erreur 5 — Confondre performance et recherche

Réduire les faux positifs ou accélérer un moteur de détection peut relever d'un travail courant lorsque les méthodes d'amélioration sont connues. Il faut expliquer le verrou réellement rencontré.

Erreur 6 — Oublier les traces expérimentales

Les protocoles, versions, résultats, hypothèses abandonnées et conclusions sont indispensables pour expliquer la démarche scientifique suivie — et pour répondre à un contrôle fiscal.

Erreur 7 — Reprendre les règles fiscales d'une année précédente

Les dépenses admissibles et les modalités de calcul doivent être vérifiées pour le millésime déclaré, notamment au regard des changements applicables depuis le 15 février 2025.

10. FAQ — CIR et cybersécurité

Un éditeur de logiciels de cybersécurité peut-il bénéficier du CIR ?

Oui, potentiellement. Il doit réaliser des opérations de R&D répondant aux critères requis. Le fait de développer un logiciel de sécurité ne suffit pas à rendre toutes ses dépenses éligibles.

Les tests d'intrusion sont-ils éligibles au CIR ?

Les tests d'intrusion fondés sur des méthodes connues et destinés à identifier des vulnérabilités ne constituent généralement pas, à eux seuls, des opérations de R&D. Des travaux de recherche distincts peuvent être examinés s'ils cherchent à lever un véritable verrou scientifique ou technique.

La recherche de vulnérabilités inédites peut-elle relever du CIR ?

Cela dépend de la nature des travaux. Découvrir une vulnérabilité nouvelle pour l'entreprise ne suffit pas nécessairement. Il faut démontrer la démarche de recherche et l'incertitude qui ne peut pas être résolue par les méthodes accessibles.

Le développement d'un moteur de détection est-il éligible ?

Il peut l'être si les travaux visent à résoudre un problème non résolu par les méthodes existantes. L'intégration de règles connues ou le paramétrage d'un moteur existant ne suffisent pas à établir l'éligibilité.

Les dépenses de cloud et de calcul sont-elles éligibles ?

Pas en tant que telles : les frais de fonctionnement sont couverts par un forfait calculé sur les dépenses de personnel de recherche. Le matériel acquis et affecté aux expérimentations peut en revanche être retenu via ses amortissements, sous conditions.

Une entreprise qui réalise des audits peut-elle également déclarer du CIR ?

Oui, si elle mène par ailleurs des opérations de R&D éligibles. Les audits courants et les travaux de recherche doivent alors être identifiés et documentés séparément.

Faut-il déposer un brevet pour bénéficier du CIR ?

Non. Le brevet peut constituer un indicateur complémentaire, mais il ne garantit pas l'éligibilité. Inversement, l'absence de brevet n'exclut pas l'existence de travaux de R&D.

Une recherche peut-elle être éligible si elle n'aboutit pas ?

Oui. Un résultat négatif peut contribuer à lever une incertitude ou à améliorer les connaissances. Il faut pouvoir expliquer les hypothèses testées, les résultats obtenus et les conclusions tirées.

Comment sécuriser le dossier ?

Il faut documenter l'état de l'art, le verrou scientifique ou technique, les hypothèses, les expérimentations, les résultats et les dépenses retenues. En cas de doute, l'entreprise peut demander un rescrit fiscal CIR. Une PME peut aussi anticiper sa trésorerie grâce au remboursement immédiat du CIR.

11. Estimer votre crédit d'impôt

Estimez votre crédit d'impôt potentiel et identifiez les points à vérifier avec le calculateur CIR / CII de Capital OS. Le résultat est une simulation indicative, qui ne garantit ni l'éligibilité des travaux ni le montant ou le remboursement du crédit.

12. Sources officielles

• Guide du crédit d'impôt recherche 2025 — ministère chargé de la Recherche
• BOFiP — Distinction entre R&D et activités connexes
• BOFiP — Champ d'application du CIR
• BOFiP — Réforme du CIR et du CII par la loi de finances pour 2025
• Impots.gouv.fr — Puis-je prétendre au CIR ?
• Formulaire 2069-A-SD — crédit d'impôt recherche

Les textes et formulaires doivent être vérifiés pour l'année des dépenses concernées. Cet article fournit des repères généraux et ne constitue pas une garantie d'éligibilité.

13. Conclusion

La cybersécurité peut donner lieu à des opérations de R&D éligibles au CIR lorsque l'entreprise cherche à lever une incertitude scientifique ou technique et mène une démarche de recherche documentée.

Mais les audits, tests d'intrusion, déploiements de solutions existantes, corrections de vulnérabilités connues et opérations de sécurité courantes ne deviennent pas automatiquement de la R&D.

Pour sécuriser un dossier, il faut partir du problème technique, établir l'état de l'art, décrire les hypothèses et expérimentations, analyser les résultats et justifier les dépenses admissibles selon les règles de l'année concernée.

Le bon réflexe : démontrer les travaux de recherche avant de calculer le crédit d'impôt.

14. Articles complémentaires du dossier

• Guide général : CIR et CII — le guide complet
• Le développement d'un logiciel est-il éligible au CIR ?
• CIR et intelligence artificielle
• Quelles dépenses sont éligibles au CIR ?
• Comment justifier les travaux de recherche éligibles au CIR ?
• Comment traiter la sous-traitance dans le calcul du CIR ?
• Comment préparer un contrôle fiscal portant sur le CIR ?
• Une PME peut-elle obtenir le remboursement immédiat du CIR ?