Qu'est-ce que le Cyberscore ? Définition et objectif de la certification

Certification légale obligatoire instaurée par la loi n° 2022-309 pour imposer une transparence minimale en cybersécurité aux sites web grand public. Visuel coloré type Nutriscore une échelle allant du vert (sécurisé) au rouge (passoire), permettant à l'internaute de comprendre en un coup d'œil le

Fonctionnement du Cyberscore : critères de notation et processus d'audit Le Cyberscore attribue une note de A à E, du vert foncé au rouge vif, après un audit externe obligatoire. Seuls des prestataires qualifiés par l'ANSSI peuvent réaliser cette évaluation, excluant toute auto-évaluation interne. L'audit examine sept domaines clés, chacun recevant sa propre lettre. La synthèse globale donne un score de maturité cyber sur 1 000 points. Les critères portent sur la sécurisation des données, l'hébergement local et l'exposition aux lois étrangères. Un site bien noté affiche un visuel clair, comparable à un Nutriscore. L'internaute voit immédiatement si la plateforme est fiable (vert) ou risquée (rouge). Ce système pédagogique vise à rendre la cybersécurité transparente pour tous. Comment se préparer au Cyberscore et obtenir une bonne note Pour obtenir une note favorable, votre site doit impérativement passer par un audit externe indépendant réalisé par un prestataire qualifié par l'ANSSI. L'auto-évaluation interne n'est pas autorisée par la loi. Voici les actions concrètes à mettre en œuvre. Recourir à un prestataire qualifié ANSSI Seuls des auditeurs certifiés peuvent délivrer la notation officielle. Leur mission couvre l'ensemble des 7 domaines évalués, chacun recevant une note de A (vert foncé) à E (rouge). Sécuriser les données utilisateurs Mettez en place des mesures robustes de protection des informations personnelles. La notation prend directement en compte la conformité aux lois sur la protection des données et la manière dont vous traitez les failles de sécurité. Privilégier un hébergement local L'hébergement des données en France ou en Europe est un critère clé. Le Cyberscore vise à renforcer la souveraineté numérique et à limiter l'exposition aux lois étrangères extraterritoriales. Vérifier le protocole HTTPS Assurez-vous que votre site utilise une connexion sécurisée HTTPS sur l'intégralité de ses pages. C'est un prérequis technique fondamental pour éviter d'être directement classé dans les mauvaises notes. Anticiper avant l'entrée en vigueur Ne tardez pas à lancer le processus. Un manquement prolongé expose votre organisation à des sanctions financières allant jusqu'à 375 000 euros pour une personne morale et 75 000 euros pour une personne physique. L'objectif est d'obtenir une note de synthèse élevée, sur une échelle de 0 à 1 000, traduisant une maturité cyber solide. Chaque mesure de sécurisation, de localisation des données ou de transparence améliore votre score final. Acteurs concernés et sanctions en cas de non-respect du Cyberscore Qui est visé par l'obligation légale ?

Le Cyberscore ne concerne pas l'ensemble du web français. La loi cible spécifiquement les grandes plateformes ayant une audience massive, en raison de l'impact potentiel de leur exposition sur la protection des données personnelles. Le critère principal pour être soumis à cette obligation est de dép

Sanctions encourues en cas de non-respect Le législateur a prévu des sanctions financières dissuasives pour garantir l'application de la loi. Un manquement prolongé expose les contrevenants à des amendes sévères, calculées en fonction de la nature de l'entité : 75 000 euros d'amende maximum pour une personne physique (ex : dirigeant). 375 000 euros d'amende maximum pour une personne morale (ex : entreprise, association). En plus de l'aspect financier, le fait d'afficher une note rouge (E) de manière prolongée constitue une infraction spécifique. Au-delà des amendes, le risque RSE et d'image de marque est considérable : un mauvais Cyberscore peut entraîner une perte de confiance massive des utilisateurs, et potentiellement une baisse du trafic organique. La DGCCRF et la CNIL sont impliquées dans le contrôle et le développement des critères de notation. Origine législative du Cyberscore : contexte et parallèle avec le Nutriscore L'idée du Cyberscore est née durant le premier confinement, après que l'affaire Zoom a révélé les failles de sécurité des plateformes étrangères. Déposée au Sénat le 15 juillet 2020 par le sénateur Laurent Lafon, la proposition de loi a été adoptée définitivement le 24 février 2022 avant d'être promulguée le 3 mars 2022 sous le numéro Loi n° 2022-309. Ce label de confiance s'inspire directement du Nutriscore : il utilise le même visuel coloré, du vert (A) au rouge (E), pour offrir une lecture immédiate aux internautes. L'objectif est de garantir une transparence totale sur la sécurité des données et la localisation des hébergements, renforçant ainsi la souveraineté numérique française et européenne face aux géants du web. FAQ – Questions fréquentes sur le Cyberscore Que couvre exactement la loi Cyberscore ?

La loi Cyberscore impose aux plateformes en ligne d’afficher un score de cybersécurité visible par les utilisateurs. Elle couvre l’obligation de notifier les violations de données, de sécuriser les traitements et de respecter des standards techniques stricts pour protéger les données personnelles.

Comment est calculé le score cyber d'un site ?

Le score cyber d’un site est calculé à partir d’un audit automatisé qui évalue plusieurs indicateurs : gestion des mises à jour, configuration des certificats SSL, politique de mots de passe et résistance aux attaques courantes comme les injections SQL ou le cross-site scripting.

En quoi consistent les piliers de la cybersécurité liés au Cyberscore ?

Les piliers de la cybersécurité liés au Cyberscore sont la confidentialité, l’intégrité et la disponibilité des données. L’audit vérifie que le site empêche les accès non autorisés, garantit l’exactitude des informations et maintient un service accessible sans interruption.

Quelle est la différence entre le Cyberscore et une notation cyber classique ?

La différence majeure est que le Cyberscore est une obligation légale contraignante, tandis qu’une notation cyber classique est souvent volontaire et privée. Le Cyberscore impose un affichage public du résultat, un processus d’audit standardisé et des sanctions en cas de non-conformité.

Plan d’Assurance Sécurité (PAS) : Définition, Objectifs et Méthodologie de Rédaction

Q: Qu’est-ce qu’un Plan d’Assurance Sécurité (PAS) ?

Document contractuel de cybersécurité opposable entre le client et le prestataire. Définit les mesures de protection du système d’information contre les 4 catégories de risques : mécaniques, physiques, chimiques, biologiques. Obligatoire dans les appels d’offres public et privé, notamment en référen

Table des matières

Un PAS définit les mesures de protection du système d’information contre les risques.

Document contractuel opposable entre client et prestataire.
Obligatoire selon l’article 4 du CCAG-TIC 2021.
Anticipe les vulnérabilités liées au transfert de données externalisé.
Couvre quatre catégories de risques : mécaniques, physiques, chimiques, biologiques.
Structure la proposition de sécurité du soumissionnaire en appel d’offres.

Qu’est-ce qu’un Plan d’Assurance Sécurité (PAS) ?

Document contractuel de cybersécurité opposable entre le client et le prestataire.
Définit les mesures de protection du système d’information contre les 4 catégories de risques : mécaniques, physiques, chimiques, biologiques.
Obligatoire dans les appels d’offres public et privé, notamment en référence à l’article 4 du CCAG-TIC 2021 relatif aux pièces contractuelles.
Cadre de réponse pour les candidats : il structure la proposition de sécurité du soumissionnaire.
Conçu en amont de l’externalisation pour anticiper les vulnérabilités liées au transfert de données.

Objectifs et avantages stratégiques du PAS

Le plan d’assurance sécurité poursuit 3 objectifs majeurs : garantir la confidentialité, l’intégrité et la disponibilité des données traitées. En formalisant ces exigences, le PAS rassure les clients sur la protection de leurs informations sensibles et constitue un avantage concurrentiel décisif lors des appels d’offres.

Au-delà de la conformité réglementaire, ce document instaure un cadre de confiance durable avec les partenaires. Sa mise en œuvre systématique transforme la cybersécurité en levier stratégique, différenciant clairement les prestataires qui sécurisent leurs processus de ceux qui négligent cet aspect critique.

Composantes clés et méthodologie d’élaboration d’un PAS

Éléments essentiels à intégrer dans un PAS

Un Plan d’Assurance Sécurité repose sur une structure documentaire précise. Chaque composante répond à un objectif spécifique pour couvrir les 4 catégories de risques identifiées : mécaniques, physiques, chimiques et biologiques, auxquels s’ajoutent les cybermenaces. Les sections obligatoires sont les suivantes :

Présentation et objet : cadre contractuel du PAS, parties prenantes et périmètre du système d’information concerné.
Définitions et documents de référence : glossaire, normes applicables et textes réglementaires comme l’Article 4 du CCAG-TIC 2021 relatif aux pièces contractuelles.
Inventaire des actifs : recensement exhaustif des serveurs, bases de données, équipements réseau et applications critiques.
Analyse des risques : scénarios d’attaque, impacts potentiels et probabilité de réalisation, classés par criticité.
Gestion des accès et habilitations : règles de contrôle d’identité, droits utilisateurs et procédures de révocation.

Étapes de rédaction d’un PAS efficace

L’élaboration du document suit une méthodologie en 5 phases, garantissant une couverture complète des objectifs de confidentialité, intégrité et disponibilité :

Phase 1 : collecte de l’existant : inventaire des actifs, cartographie des flux et état des lieux des mesures de sécurité déjà en place.
Phase 2 : définition des besoins : identification des exigences réglementaires (RGPD, normes métier) et des attentes du client ou de l’acheteur public.
Phase 3 : rédaction claire et structurée : formalisation des procédures, plans de réponse et engagements de sécurité sous forme contractuelle.
Phase 4 : validation par les responsables sécurité : relecture croisée par le RSSI, les juristes et les chefs de projet avant soumission.
Phase 5 : mise à jour régulière : révision annuelle ou à chaque changement significatif (menaces, infrastructures, réglementations).

PAS, appels d’offres et marchés publics

Dans le cadre d’un appel d’offres public, le Plan d’Assurance Sécurité est une pièce jointe souvent éliminatoire à la RFP. L’article 4 du CCAG-TIC 2021 précise qu’il s’agit d’une pièce contractuelle obligatoire, exigée dès la phase de candidature.

Le PAS sert de cadre de réponse pour les candidats, qui doivent y détailler leurs mesures de cybersécurité. Le niveau de détail attendu est proportionnel à la criticité des données traitées. Un dossier incomplet ou jugé insuffisant entraîne automatiquement le rejet de l’offre.

Pour le maître d’ouvrage, ce document constitue un critère de présélection et un outil de comparaison entre les soumissionnaires. Il garantit que le prestataire retenu s’engage contractuellement sur la confidentialité, l’intégrité et la disponibilité des systèmes avant toute externalisation.

Compatibilité du PAS avec les normes ISO 27001 et RGPD

Aspect	PAS	ISO 27001	RGPD
Nature juridique	Document contractuel opposable	Norme de certification volontaire	Règlement européen contraignant
Périmètre d’application	Projet ou contrat spécifique	Système de Management (SMSI)	Données personnelles des citoyens
Objectif principal	Sécuriser la prestation externalisée	Certifier la maîtrise des risques	Protéger la vie privée
Complémentarité	Reprend les mesures du SMSI	Crédibilise les engagements du PAS	Impose l’analyse d’impact (AIPD)
Substituabilité	Non substituable à ISO 27001	Ne remplace pas le PAS	Ne remplace pas le PAS

Le PAS comme pont contractuel entre normes et réglementation

Le PAS agit comme un pont opérationnel entre la certification ISO 27001 (SMSI) et le RGPD. Les trois outils poursuivent les 3 objectifs majeurs du cycle de vie de l’information : confidentialité, intégrité et disponibilité. Un prestataire déjà certifié ISO 27001 dispose d’une crédibilité renforcée : ses processus de gestion des risques et ses contrôles d’accès sont directement transposables dans le PAS. Inversement, un PAS rédigé sans s’appuyer sur un SMSI risquerait de n’être qu’une déclaration d’intention sans garantie d’exécution.

Sur le volet RGPD, le PAS doit intégrer les mesures techniques et organisationnelles (MTO) exigées par l’article 32 du règlement. Il décrit par exemple la gestion des habilitations, le chiffrement des données et la procédure de notification des violations. Cette articulation est essentielle lorsque le PAS concerne un traitement de données personnelles, notamment dans le cadre de l’externalisation des systèmes d’information. Le donneur d’ordre s’assure ainsi que le sous-traitant respecte le règlement à chaque étape de la prestation, en complément de l’analyse d’impact relative à la protection des données (AIPD).

PAS et externalisation des systèmes d’information

L’externalisation d’un système d’information impose un Plan d’Assurance Sécurité pour cadrer la relation avec le prestataire. Ce document contractuel décrit les mesures de confidentialité, d’intégrité et de disponibilité applicables aux données du client hébergées chez le sous-traitant.

Pour un prestataire cloud, le PAS constitue une obligation réglementaire qui limite la transmission de vulnérabilités. Il formalise les engagements de sécurité, les procédures de gestion des accès et les scénarios de réponse aux incidents. Sans ce cadre, l’externalisation expose l’organisation à des risques juridiques et opérationnels majeurs.

Le niveau de détail du PAS doit être proportionnel à la criticité des actifs externalisés. Un document trop vague affaiblit la confiance du client et peut devenir un critère éliminatoire lors des appels d’offres. Sa mise à jour régulière garantit l’adéquation avec les menaces et les réglementations en vigueur.

Questions fréquentes sur le Plan d’Assurance Sécurité

Comment définir un plan d’assurance sécurité ?

Un plan d’assurance sécurité est un document contractuel qui formalise l’ensemble des mesures organisationnelles, techniques et humaines visant à garantir la sécurité d’un système d’information tout au long d’un projet.

Qui est chargé de rédiger le PAS ?

La rédaction du PAS incombe au prestataire ou au titulaire du marché, qui doit le soumettre à l’approbation du client ou de l’autorité contractante avant le début des travaux.

Quelle différence entre PAS et plan de sécurité ?

Le PAS est un document spécifique à un projet ou un contrat, tandis que le plan de sécurité est un document générique décrivant la politique de sécurité permanente d’une organisation.

Quels domaines de sécurité couvre le PAS ?

Le PAS couvre la sécurité logique, la sécurité physique, la gestion des accès, la protection des données, la continuité d’activité, la gestion des incidents et la conformité réglementaire.