Un diag cybersécurité aide à mesurer l’exposition réelle d’une entreprise et à définir les actions à engager. Le choix se fait souvent entre le Diag Cybersécurité de Bpifrance, plus approfondi et subventionné, et Cyberdépart de l’ANSSI, gratuit et rapide. Les deux dispositifs répondent à des besoins différents selon la taille de l’organisation, le niveau de maturité cyber et le degré d’accompagnement recherché.
Un diagnostic cybersécurité ne se limite pas à chercher des failles
Un diagnostic cybersécurité évalue le niveau de maturité cyber d’une organisation : ses pratiques, ses outils, ses accès, ses données sensibles et sa capacité à réagir en cas d’incident. Il ne consiste donc pas uniquement à lancer des tests sur le système d’information. L’objectif est de relier les vulnérabilités techniques à leurs conséquences métiers : arrêt de production, indisponibilité des fichiers, fraude au virement, fuite de données ou paralysie après un rançongiciel.
Vérifiez votre éligibilité au Diag Cybersécurité Bpifrance — Découvrez les conditions d’éligibilité et la prise en charge de 50 % du coût de cet accompagnement en cybersécurité.
Passer d’une inquiétude générale à des priorités pilotables
Beaucoup de dirigeants savent qu’un risque existe, sans pouvoir déterminer quelle action financer en premier. Le diagnostic fournit ce cadre de décision. Il examine notamment la gestion des comptes et des mots de passe, les sauvegardes, les mises à jour, les usages de la messagerie, les équipements exposés, la sensibilisation des équipes et l’organisation de la gestion de crise. À l’issue de la démarche, l’entreprise dispose d’un plan d’action priorisé, généralement chiffré, plutôt que d’une simple liste de bonnes pratiques.
Une compromission limitée à un poste peut affecter un serveur partagé, une boîte mail, un fournisseur connecté ou une chaîne de production. Cartographier ces dépendances permet de repérer les points où une faiblesse risque de se propager. Cette analyse aide ensuite à choisir des mesures qui protègent la continuité d’activité, et pas seulement un équipement isolé.
Bpifrance et Cyberdépart ANSSI : deux diagnostics à choisir selon votre situation
Les deux dispositifs sont complémentaires. Cyberdépart convient pour obtenir un premier repère rapide, notamment dans les petites structures. Le Diag Cybersécurité de Bpifrance s’adresse aux organisations qui ont besoin d’un accompagnement plus détaillé, avec un expert habilité et une feuille de route structurée.
| Critère | Diag Cybersécurité Bpifrance | Cyberdépart ANSSI |
|---|---|---|
| Objectif | Évaluation approfondie et plan de transformation priorisé | Premier état des lieux et orientations immédiates |
| Durée | 8 jours d’intervention | Environ 1 h 30 |
| Coût | 8 800 € HT, avec 50 % de subvention | Gratuit |
| Accompagnement | Expert habilité Bpifrance | Aidant cyber formé |
| Restitution | Plan d’action priorisé et chiffré, sensibilisation et préparation à la crise | 6 mesures prioritaires, avec suivi possible à 6 mois |
| Public repère | PME de plus de 10 salariés et ETI de moins de 2 000 salariés | Organisations comptant au moins 2 salariés |
Quand privilégier le Diag Cybersécurité Bpifrance
Le dispositif Bpifrance est pertinent lorsqu’il faut arbitrer des investissements, mobiliser le comité de direction ou structurer une démarche cyber à l’échelle d’un site. Il peut convenir à une PME qui utilise déjà plusieurs outils numériques, qui traite des données stratégiques ou qui doit préserver la continuité de son activité.
Plusieurs diagnostics peuvent être envisagés pour une même entreprise, à raison d’un par site. L’effectif maximum indiqué est de 250 personnes par site. Ce format demande davantage de disponibilité et de préparation, mais il permet d’examiner les dimensions organisationnelles et techniques de manière plus détaillée.
Quand commencer par Cyberdépart
Cyberdépart est une porte d’entrée adaptée si votre structure n’a jamais réalisé d’état des lieux, si vous manquez de temps ou si vous souhaitez sensibiliser la direction avant d’engager un programme plus vaste. L’Aidant cyber mène un échange accessible, neutre et bienveillant pour identifier les mesures les plus urgentes.
Pour une TPE de moins de 10 salariés, qui n’entre pas nécessairement dans le périmètre du Diag Bpifrance, c’est une option utile pour démarrer sans budget. Le dispositif permet d’obtenir rapidement des orientations concrètes, avec 6 mesures prioritaires et un suivi possible à 6 mois.
Les 8 jours du Diag Bpifrance : ce qui est analysé et ce que vous recevez
Le Diag Cybersécurité Bpifrance se déroule en quatre temps. Cette organisation permet de relier les enjeux de direction, les pratiques quotidiennes et l’état des infrastructures, au lieu de limiter l’analyse à un examen technique isolé.
- Pré-cadrage téléphonique : l’entreprise présente son activité, ses sites, ses outils, ses contraintes opérationnelles et ses principales préoccupations.
- Diagnostic organisationnel : des entretiens permettent d’évaluer la gouvernance, les procédures, la sensibilisation, les sauvegardes et la préparation à une crise.
- Diagnostic technique : l’expert analyse les actifs et réalise des tests de sécurité pour identifier les vulnérabilités de la surface d’attaque.
- Restitution : les constats sont hiérarchisés et convertis en recommandations concrètes, avec un plan de mise en œuvre.
Les livrables doivent aider à décider quelles mesures appliquer immédiatement, lesquelles programmer ensuite, quel budget prévoir et qui doit porter chaque action. Il peut s’agir de sécuriser les accès distants, de tester la restauration des sauvegardes, de déployer l’authentification renforcée, de formaliser un PCA ou un PRA, ou d’organiser une sensibilisation contre le phishing.
Le diagnostic prépare aussi l’entreprise à la gestion de crise. Cette préparation peut préciser les personnes à prévenir, les premières actions à effectuer et les moyens de poursuivre l’activité. Elle donne un cadre opérationnel à un sujet souvent repoussé tant qu’aucun incident n’est survenu.
Coût, éligibilité et confidentialité : les points à vérifier avant de déposer une demande
Le coût total du Diag Cybersécurité Bpifrance est de 8 800 € HT. La subvention Bpifrance couvre 50 % du montant, soit un reste à charge de 4 400 € HT pour l’entreprise. Ce soutien s’inscrit dans France 2030. Certaines situations peuvent relever de financements complémentaires, notamment via la DGA. Il est donc utile de faire vérifier sa situation avant de lancer la prestation.
Les critères ne se résument pas au nombre de salariés
Le Diag Bpifrance cible les PME de plus de 10 salariés et les ETI de moins de 2 000 salariés. L’indépendance de l’entreprise et les caractéristiques du site font aussi partie des éléments examinés. Avant toute démarche, préparez l’effectif global, le nombre de sites, la répartition des équipes, les principales applications utilisées et les coordonnées de la personne qui portera le sujet en interne.
Le formulaire « Testez votre éligibilité » de Bpifrance permet d’orienter cette première vérification. Ces informations facilitent l’examen du dossier et permettent de préciser le périmètre du diagnostic avant l’intervention de l’expert.
Pour Cyberdépart, le seuil est d’au moins 2 salariés. La demande déclenche une mise en relation avec un Aidant cyber. Les échanges et les informations collectées dans le cadre de ces diagnostics sont traités de façon confidentielle. L’objectif est d’obtenir un état des lieux honnête, pas de juger la maturité de l’organisation. Il est donc préférable d’associer dès le départ la direction, l’informatique et les responsables métiers concernés.
Après le diagnostic, transformer le plan d’action en protection durable
La valeur d’un diag cybersécurité se joue après la restitution. Un plan restera sans effet s’il n’est pas rattaché à un responsable, un délai et un budget. Commencez par les mesures qui réduisent rapidement le risque : correction des accès trop ouverts, sauvegardes isolées et testées, mises à jour critiques, protection de la messagerie et sensibilisation des collaborateurs.
- Classez les recommandations selon leur urgence, leur impact métier et leur coût.
- Désignez un pilote pour chaque action et prévoyez un point d’avancement avec la direction.
- Documentez les procédures de crise : qui alerter, comment isoler un poste et comment poursuivre l’activité.
- Testez les mesures déployées, en particulier la restauration des sauvegardes et les accès administrateurs.
- Réévaluez régulièrement votre niveau de maturité lorsque vos outils, vos sites ou vos usages évoluent.
Le diagnostic ne remplace pas les investissements correctifs, mais il évite de les engager à l’aveugle. Pour une entreprise, il permet de relier les solutions de sécurité à ses risques réels, à ses priorités métier et à sa capacité d’action. Cyberdépart offre un premier point de départ rapide ; le Diag Bpifrance apporte un accompagnement plus long et plus structuré lorsque l’organisation doit bâtir une trajectoire complète.