Acteur indépendant spécialisé dans la cybersécurité, le Groupe NES a annoncé en février dernier avoir levé 10 M€ via la cession d’une part minoritaire de son capital à deux fonds d’investissement, FCDE et Bpifrance. Nous avons demandé à son président-fondateur de nous en dire plus sur les tenants et aboutissants de cette opération.
Channelnews : Il est rare de voir de telles sommes s’investir sur des acteurs des services IT. D’autant qu’avec ses 17 ans d’existence, NES n’est pas vraiment une startup. Et avec ses 13 M€ de chiffre d’affaires, la société reste relativement modeste. Quelles sont les motivations de FCDE et Bpifrance, les deux fonds que vous avez fait entrer à votre capital ?
Raphaël Illouz : Ce qui est sûr, c’est que cette prise de participation a été mûrement réfléchie de leur part. Avant de s’investir chez nous, FCDE et Bpifrance ont fait le tour des autres acteurs indépendants de la sécurité. Au départ, ils étaient même en concurrence pour se réserver l’exclusivité du tour de table. Ils se sont finalement entendu pour entrer tous les deux. Je crois que ce qui les a séduit, c’est que le groupe NES fasse partie des précurseurs en matière de cybersécurité et qu’il dispose d’une équipe de R&D depuis deux ans. Celle-ci se consacre au développement de notre outil de détection d’incidents, NSS (NES Smart Security). Disponible depuis quelques semaines, NSS s’appuie sur un système de machine learning (apprentissage automatique) et embarque un SIEM (Security Information and Event Management) développé en interne, dispensant ainsi à nos clients d’investir dans un SIEM commercial. En matière de SOC (Security operating center), nous nous distinguons également par notre approche métier : on focalise le SOC sur les assets les plus sensibles des clients selon des cas d’utilisation liés à leur activité. Cela nous permet de proposer des coûts d’entrée deux à trois fois inférieurs à ceux des offreurs traditionnels pour une prestation équivalente.
Peut-on parler de démocratisation de la détection d’incidents ?
Raphaël Illouz : Oui, notre SOC est accessible à des entreprises de taille intermédiaire, comprenant entre 300 et 2.000 personnes, qui pouvaient difficilement s’offrir une telle prestation auparavant. Je précise que nous sommes conformes aux principales normes en matière de sécurité (Mitre, PDIS, ETSI…)
De votre côté, pourquoi cette levée de fonds maintenant ?
Raphaël Illouz : Il est vrai que je ne voyais pas l’intérêt de lever des fonds jusque-là. Je m’étais convaincu que cela signifiait sortir à court ou moyen terme du capital. Or, je ne voulais ni passer la main ni renoncer à mon métier. Comme le pharmacien qui monte son fonds de commerce ou le notaire son étude, je me contentais d’une croissance modérée avec comme principal objectif de gagner correctement ma vie. Mais depuis deux ans, les choses ont évolué. Beaucoup d’acteurs s’engouffrent dans la sécurité, y compris des pousseurs de boîtes et des sociétés de services à l’image encore très « marchand de viande ». Dans ces conditions, soit on avance très vite soit on finit par mourir. Autrement dit, soit on se vend, soit on achète.
Ces fonds sont donc destinés à financer votre politique de croissance externe ?
Raphaël Illouz : Pas seulement. 10 à 20% seront consacrés à la croissance organique et effectivement 80% à la croissance externe. L’idée, c’est de donner plus d’aisance à la croissance organique notamment en mettant en place un management intermédiaire et adoptant une nouvelle organisation. Un directeur commercial et un directeur administratif et financier sont en cours de recrutement et nous avons également prévu de recruter un directeur des ressources humaines ainsi qu’un directeur technique ou RSSI (directeur de la sécurité).
Quels types de cibles visez-vous ?
Raphaël Illouz : D’autres spécialistes de la cybersécurité en France et dans les pays francophones limitrophes pesant 2 à 5 M€ de CA annuel.
Quelle part du capital avez-vous cédé ?
Raphaël Illouz : 22%.
Sur la base de quelle valorisation s’est faite cette opération ?
Raphaël Illouz : J’ai promis de ne pas le dévoiler.
Dans le secteur des services IT, les entreprises s’évaluent actuellement sept à huit fois leur résultat d’exploitation. Est-ce que la valorisation de votre groupe est conforme à ce multiple ?
Raphaël Illouz : C’est à peu près ça, en n’oubliant pas d’ajouter la trésorerie.
[Ce qui représente une valorisation de l’ordre de 20 M€ sur la base des bilans de l’exercice 2014, les chiffres de l’exercice 2015 n’étant pas encore publiés au registre du commerce].
Quelles sont les perspectives du groupe sur le plan de la croissance organique au cours des deux prochaines années ?
Raphaël Illouz : Dopés par la tendance actuelle à l’externalisation du monitoring de la sécurité, les services managés – dont le SOC fait partie – vont prendre une place beaucoup importante qu’aujourd’hui dans nos revenus. Nous devrions passer d’une grosse demi-douzaine de clients aujourd’hui à une trentaine d’ici à deux ans. Dans le même temps, les services managés devraient monter de 10% à 30% du chiffre d’affaires total. Au global, nous tablons sur une croissance organique de 20% par an sur les prochaines années.
Quelle est la part de votre activité distribution et intégration d’infrastructures et quels sont vos principaux partenaires dans ce domaine ?
Raphaël Illouz : L’intégration d’infrastructure pèse près de 50% de l’ensemble de l’activité. Nos principaux partenaires sont ZScaler, Imperva, Tuffin, Check Point et Paloalto.