Voir les titres Ne plus voir les titres
- Qu’est-ce que le diagnostic Cyberdépart de l’ANSSI ?
- Quelles entreprises peuvent demander un diagnostic Cyberdépart ?
- Comment demander un diagnostic Cyberdépart, étape par étape
- Comment se déroule l’entretien avec l’aidant cyber ?
- Que contiennent les six mesures remises à la fin du diagnostic ?
- Le calendrier d’une PME qui se lance pendant le Cybermois
- Ce que le diagnostic gratuit ne remplace pas
Le Cybermois 2026 se tient jusqu’au 31 octobre, et l’administration le présente cette année comme un rendez-vous d’abord destiné aux TPE et aux PME. Le constat qui le motive tient en un chiffre : selon le baromètre France Num 2026, plus de 53 % des dirigeants de TPE et PME craignent de perdre leurs données ou de se les faire pirater, un point de plus qu’en 2025.
Parmi les outils mis en avant figure un service encore peu connu des dirigeants : le diagnostic Cyberdépart, porté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) sur sa plateforme MesServicesCyber. Il s’agit d’un entretien gratuit mené par un bénévole formé, qui débouche sur une première feuille de route de sécurité. Dans un contexte où la directive NIS2 attend toujours sa transposition, que peut réellement en attendre une PME, et comment l’obtenir ?
Qu’est-ce que le diagnostic Cyberdépart de l’ANSSI ?
Le diagnostic Cyberdépart est un entretien gratuit d’environ une heure trente avec un aidant cyber, qui pose une quarantaine de questions sur la sécurité informatique de l’entreprise. À l’issue, l’organisation reçoit six premières mesures prioritaires, selon l’ANSSI. L’entretien se tient en présentiel ou à distance.
Le service s’adresse aux organisations qui veulent se lancer sans savoir par où commencer. Il couvre quatre familles de menaces : le rançongiciel, la cybercriminalité de masse, les attaques systémiques et les attaques opportunistes. Selon les chiffres communiqués par l’ANSSI en septembre 2025, plus de 3 500 diagnostics avaient déjà été réalisés, avec un indice de satisfaction de 9,2.
La durée annoncée varie d’une source officielle à l’autre. La présentation de MesServicesCyber évoque environ une heure, quand son chargé de déploiement parle d’une heure trente : mieux vaut réserver une demi-journée de disponibilité au dirigeant et à la personne qui gère l’informatique. Reste à savoir si votre structure entre bien dans la cible.
Quelles entreprises peuvent demander un diagnostic Cyberdépart ?
Toute organisation qui débute en cybersécurité peut le demander, entreprise, collectivité ou association, dès lors qu’elle emploie plus d’une personne. L’ANSSI écarte les particuliers et les entreprises mono-salariées, pour lesquelles le diagnostic n’est pas adapté, comme l’a précisé Fabien Giraud, chargé de déploiement de la plateforme, en septembre 2025.
Le cœur de cible correspond aux TPE et PME sans responsable de la sécurité informatique. Selon l’observatoire 2024 de l’ANSSI cité par Check Point, 50 % des PME françaises n’ont désigné aucun responsable de la cybersécurité. Dans les structures de moins de dix salariés, le dirigeant fait souvent aussi office de responsable informatique : c’est le cas dans 82 % d’entre elles, d’après une étude OpinionWay pour Cybermalveillance.gouv.fr.
Les entreprises appelées à entrer dans le champ de NIS2 relèvent d’un autre parcours. Le seuil retenu par la directive est de 50 salariés ou 10 millions d’euros de chiffre d’affaires dans dix-huit secteurs critiques, et la transposition française restée en suspens concerne près de 20 000 entités en France. MesServicesCyber leur propose des services dédiés, plus exigeants qu’un premier diagnostic. Pour les autres, la démarche commence en ligne.
Comment demander un diagnostic Cyberdépart, étape par étape
La demande passe entièrement par la plateforme de l’ANSSI, sans frais ni engagement. Le parcours compte cinq étapes successives, de l’autoévaluation au suivi :
- passer le test de maturité cyber sur MesServicesCyber, six questions et environ cinq minutes pour situer l’entreprise ;
- consulter les services et ressources proposés selon le résultat, classés en sensibilisation, formation, sécurisation et réaction ;
- remplir le formulaire de demande Cyberdépart pour être mis en relation avec un aidant cyber ;
- fixer le rendez-vous, sur site ou en visioconférence, et réunir la direction et la personne chargée de l’informatique ;
- créer un compte ANSSI pour conserver les recommandations et bénéficier d’un suivi personnalisé.
Le test de maturité ne remplace pas un audit, précise l’ANSSI : il sert à orienter vers les services adaptés. Plus de 2 000 tests avaient été réalisés en septembre 2025, ce qui en fait la porte d’entrée naturelle avant l’entretien lui-même.
Comment se déroule l’entretien avec l’aidant cyber ?
L’entretien suit un questionnaire standardisé d’une quarantaine de questions, conduit par un bénévole qui se déplace ou intervient à distance. Il passe en revue l’exposition de l’entreprise aux rançongiciels, à la cybercriminalité de masse et aux attaques opportunistes, sans exiger de compétence technique du dirigeant.
Un aidant cyber, c’est un bénévole qui va venir soit en présentiel, soit en distanciel poser une quarantaine de questions.
Fabien Giraud, chargé de déploiement sur MesServicesCyber (ANSSI), entretien publié sur info.gouv.fr le 2 septembre 2025
Le format bénévole explique la gratuité, mais il impose de préparer l’échange. Avoir sous la main la liste des postes, des logiciels et des prestataires informatiques permet de tirer des recommandations précises plutôt que génériques. Les détails de l’entretien sont présentés dans la présentation officielle de MesServicesCyber. Vient ensuite le livrable, que beaucoup de dirigeants surestiment.
Que contiennent les six mesures remises à la fin du diagnostic ?
Le diagnostic se conclut par six premières mesures de sécurité à mettre en œuvre, choisies selon les réponses de l’entreprise. L’ANSSI ne publie pas de liste type : les recommandations dépendent des quatre familles de menaces évaluées pendant l’entretien. Un suivi par l’aidant peut intervenir six mois plus tard.
Ces six mesures constituent un plancher, pas un plan complet. Elles ne couvrent pas la gestion d’un incident déclaré, qui obéit à ses propres règles : une fuite de données clients, par exemple, impose de notifier la CNIL dans les 72 heures au titre de l’article 33 du RGPD. Le diagnostic aide à réduire la probabilité de l’incident, pas à le gérer. Encore faut-il caler la démarche dans le temps.
Le calendrier d’une PME qui se lance pendant le Cybermois
Une entreprise qui engage la démarche avant la fin du Cybermois peut tenir l’essentiel du parcours en quelques semaines. Le tableau suivant reprend les durées annoncées par l’ANSSI pour chaque étape :
| Étape | Quand | Durée annoncée | Ce que l’entreprise obtient |
|---|---|---|---|
| Test de maturité | D’ici le 31 octobre 2026 | Environ 5 minutes | Niveau indicatif et services ciblés |
| Demande Cyberdépart | Dans la foulée du test | Formulaire en ligne | Mise en relation avec un aidant cyber |
| Entretien | Selon la disponibilité de l’aidant | 1 heure à 1 heure 30 | Six mesures prioritaires |
| Suivi | Six mois après, soit au printemps 2027 | Non précisée | Point d’étape sur les mesures |
L’ANSSI ne communique pas de délai entre la demande et l’entretien, qui dépend de la disponibilité des bénévoles. Une demande déposée en octobre place néanmoins le point d’étape de suivi au printemps 2027, assez tôt pour inscrire les mesures restantes dans le budget de l’exercice.
Ce que le diagnostic gratuit ne remplace pas
Le Cyberdépart répond à une question de départ, pas à une obligation réglementaire. Une entreprise qui fabrique ou vend des produits numériques reste soumise aux règles du Cyber Resilience Act, qui l’oblige déjà à signaler une faille activement exploitée sous 24 heures depuis le 11 septembre 2026. Aucun diagnostic bénévole ne vaut preuve de conformité face à ces textes.
La vraie valeur de la démarche tient à son effet d’entraînement. Une PME qui a identifié ses six priorités dispose d’une base pour discuter avec son prestataire, son assureur ou ses donneurs d’ordre, qui exigent de plus en plus de garanties. Le jour où la loi de transposition de NIS2 sera votée, les entreprises qui auront déjà mesuré leur exposition partiront avec plusieurs mois d’avance sur celles qui découvriront le sujet sous la contrainte.
