À l’instar du reste du secteur technologique, l’activité de fusions-acquisitions (F&A) des entreprises de cybersécurité est en berne cette année. Plusieurs raisons laissent penser que cela ne durera pas, mais le recul n’en reste pas moins notable.
Au cours des sept premiers mois de l’année, seules 34 startups ont été rachetées, selon les données de Crunchbase. Un niveau inédit depuis 2017, année qui avait vu 52 acquisitions.
Que se passe-t-il ? Plusieurs facteurs sont à l’œuvre. Face à la hausse vertigineuse des taux d’intérêt et aux craintes croissantes d’un ralentissement économique, les acteurs sont moins disposés à prendre des engagements financiers. Cela s’est également traduit par le recul des financements en capital-risque accordés aux startups et par l’essoufflement du marché des introductions en Bourse. Les startups et leurs investisseurs disposent ainsi de peu d’options pour céder leur entreprise ou lever des capitaux.
Les F&A peuvent être risquées, même dans les meilleurs contextes. Prenons les travaux de L.E.K. Consulting. Sur la base de 2 500 opérations, le cabinet a constaté que plus de 60 % détruisaient de la valeur pour les actionnaires. Parmi les raisons invoquées figurent les difficultés d’intégration, les problèmes liés à la due diligence, l’absence de justification stratégique claire, des projections trop optimistes et des valorisations d’acquisition élevées.
Mais les F&A sont un secteur où l’on passe rapidement de l’abondance à la pénurie. Et cela pourrait arriver plus tôt que prévu.
« Malgré le ralentissement du volume des opérations en 2023, l’intérêt pour les F&A dans la cybersécurité reste élevé et je m’attends à une reprise de l’activité plus tard cette année et en 2024 », a déclaré Chris Stafford, associé au sein de la practice F&A de West Monroe.
Voir les principales startups de la cybersécurité
4 moteurs de la reprise des F&A
Quatre raisons rendent une reprise des fusions-acquisitions presque certaine ; ces forces longtemps contenues finiront par se libérer.
- Les réserves financières des startups s’amenuisent
Un facteur clé qui devrait probablement stimuler l’activité de fusions-acquisitions est que les dirigeants des startups de cybersécurité n’auront peut-être pas vraiment le choix. Le deuxième trimestre a vu un plongeon de 63 % des financements en capital-risque pour les opérations du secteur, selon Crunchbase.
« À l’approche de la fin de l’année, alors que 18 mois environ se seront écoulés depuis que la levée de fonds est devenue plus difficile, nous devrions voir davantage d’entreprises arriver au bout de leurs réserves », a déclaré Seth Spergel, associé gérant chez Merlin Ventures. « Celles qui ne parviendront pas à démontrer une traction suffisante pour attirer de nouveaux capitaux ou à convaincre leurs investisseurs actuels de leur fournir des liquidités supplémentaires seront probablement davantage disposées à accepter des offres de rachat moins élevées. »
- Les sociétés de capital-investissement disposent de milliers de milliards à investir
De l’autre côté de l’équation, les acheteurs sont de plus en plus incités à intensifier leurs efforts. Les sociétés de capital-investissement disposent de réserves considérables à investir. S&P estime que celles-ci ont atteint un niveau record de 2,49 billions de dollars au milieu de l’année 2023. Ces milliers de milliards finiront par être investis si les valorisations et les opportunités deviennent suffisamment intéressantes.
- Les géants de la technologie croulent sous les liquidités
Les acheteurs stratégiques ont profité de la hausse des cours boursiers, et les plus grandes entreprises technologiques disposent de montagnes de liquidités. Microsoft, par exemple, détient 111 milliards de dollars à son bilan, contre 23 milliards de dollars pour Cisco. Cisco a déjà commencé à utiliser une partie de ces liquidités dans les F&A liées à la cybersécurité — nous y reviendrons dans un instant.
Entre-temps, l’optimisme grandit au sein des directions générales. Dans une enquête de Grant Thornton LLP, la quasi-totalité des répondants — des professionnels des F&A — ont déclaré que le volume des opérations augmenterait au second semestre. Environ 11 % prévoyaient une hausse significative.
- L’évolution des dépenses des clients pour harmoniser leurs stacks de sécurité
Autre facteur favorable à une reprise des F&A dans les startups de cybersécurité : l’évolution des priorités de dépenses des clients. « Il n’est pas surprenant que de nombreux RSSI d’entreprises souffrent d’une “fatigue des outils” — trop d’outils provenant de trop de fournisseurs compliquent un environnement de menaces déjà complexe », a déclaré Robert Watson, directeur de la practice Risk & Cyber Strategy Consulting de Tata Consultancy Services (TCS). « Les clients de la sécurité des entreprises cherchent à harmoniser leurs stacks de sécurité et à consolider leurs “écosystèmes d’outils” afin de pouvoir se concentrer sur les risques plus stratégiques à l’échelle de leurs collaborateurs, de leurs processus et de leur technologie. Les équipes de sécurité aux ressources limitées recherchent également des solutions d’automatisation pour soutenir leurs efforts de consolidation stratégique. Ces tendances poussent à leur tour les fournisseurs de solutions de cybersécurité à trouver des moyens de proposer des solutions plus intégrées pour répondre à la demande. »
Autrement dit, la consolidation devrait constituer une tendance majeure. L’une des façons d’y parvenir passe bien sûr par les F&A.
À lire également : Les acheteurs de solutions de sécurité consolident leurs fournisseurs : Gartner Security Summit
Quelques-unes des plus importantes acquisitions dans la sécurité en 2023
Cette année n’a pas été totalement dépourvue d’opérations de F&A majeures, et certaines ont été particulièrement remarquées. Examinons quelques-unes des opérations intéressantes observées cette année.
Rubrik rachète Laminar
En août, Rubrik a annoncé l’acquisition de Laminar, qui exploite une plateforme de gestion de la posture de sécurité des données (DSPM). L’entreprise est relativement récente, puisqu’elle a été lancée en 2021. Elle a levé environ 67 millions de dollars. Quant au montant de l’opération, il est estimé entre 200 et 250 millions de dollars.
Le système de Laminar permet aux clients de gérer le problème des données de sécurité réparties entre des clouds publics comme AWS, Azure, Google et Snowflake. Cette opération s’inscrit dans la transformation de Rubrik, qui souhaite aller au-delà des solutions de récupération de données.
La rumeur veut également que l’entreprise puisse entrer en Bourse au cours des 12 prochains mois environ.
À lire également : Certaines startups de cybersécurité continuent d’attirer des financements malgré les vents contraires
Check Point Software rachète le SASE de Check Point
Check Point Software a annoncé en août l’acquisition du SASE de Check Point. L’opération s’est élevée à 490 millions de dollars en numéraire.
Le SASE de Check Point, lancé en 2018, exploite une plateforme convergée de réseau et de sécurité pour gérer les effectifs travaillant au bureau et à distance. L’entreprise compte plus de 3 000 clients et plus de 200 employés.
En 2022, le SASE de Check Point avait levé 100 millions de dollars sur la base d’une valorisation d’un milliard de dollars. Ces investisseurs ont subi une forte décote lors de l’opération, mais ce sont précisément ce type de rabais qui relancera le marché des F&A.
Le SASE de Check Point a figuré dans plusieurs de nos listes des meilleurs produits de cybersécurité, notamment celle des meilleures solutions zero trust et celle des meilleures solutions SASE.
Thales rachète Imperva
En juillet, Thales a accepté de racheter Imperva pour 3,6 milliards de dollars. Imperva aide ses clients à sécuriser leurs applications, leurs API et leurs données. L’entreprise a été fondée il y a plus de 20 ans.
Thales est quant à elle une entreprise française spécialisée dans l’aérospatiale et la défense. Mais elle renforce ses actifs dans la cybersécurité, notamment grâce à des acquisitions d’entreprises comme Gemalto, Excellium et S21SEC.
C’est une bonne acquisition pour Thales. Imperva figure dans notre liste des principales entreprises de cybersécurité et dans plusieurs de nos listes des meilleurs produits, notamment celle consacrée au marché de la protection contre les attaques DDoS.
Cisco, HPE et IBM concluent des opérations
Quelques géants de la technologie profitent eux aussi de bonnes affaires dans les startups de cybersécurité.
Cisco poursuit depuis longtemps une stratégie de croissance par acquisition et figure à nouveau cette année parmi les acquéreurs les plus actifs, avec le rachat de la startup de sécurité cloud Lightspin, de l’entreprise de sécurité de l’IA Armorblox et de la startup de sécurité des identités Oort.
Parmi les autres opérations de F&A notables, HPE a acquis la startup SASE Axis Security, IBM a racheté la startup de sécurité cloud Polar Security, et Tenable a acquis Ermetic, l’un des principaux fournisseurs de gestion de la posture de sécurité du cloud (CSPM).
Certaines entreprises cotées sortent de la Bourse
Enfin, les sociétés de capital-investissement semblent trouver de la valeur dans les entreprises de cybersécurité cotées en Bourse, malgré le ralentissement. Absolute Software, KnowBe4, Sumo Logic et Magnet Forensics comptent parmi les entreprises de cybersécurité cotées passées dans le privé cette année dans le cadre d’opérations de plusieurs milliards de dollars.
À lire ensuite : Les meilleurs fonds de capital-risque dans la cybersécurité