Comment nous calculons votre Cyber Score

68 questions, 10 domaines

• Gouvernance — Qui pilote la cybersécurité dans l'entreprise, et comment la direction s'implique.
• Gestion des risques — Savoir ce qui compte le plus pour l'entreprise et ce qui pourrait l'affecter.
• Identités et accès — Comptes, mots de passe et droits : la première porte d'entrée des attaquants.
• Sécurité des postes — Ordinateurs, téléphones et serveurs utilisés au quotidien.
• Réseau et infrastructure — Comment votre système d'information est protégé de l'extérieur.
• Sauvegardes — Votre filet de sécurité face aux rançongiciels et aux pannes.
• Gestion des incidents — Savoir réagir vite et bien quand quelque chose se passe mal.
• Continuité d'activité — Continuer à travailler même en cas de crise informatique.
• Fournisseurs — Les prestataires et services en ligne dont vous dépendez.
• Sensibilisation — Vos collaborateurs : première ligne de défense.

Un questionnaire adaptatif

Selon l'environnement déclaré (systèmes industriels, site marchand, télétravail, données sensibles, messagerie Microsoft 365 ou Google Workspace), des questions spécifiques s'ajoutent au socle commun et les conseils indiquent le réglage précis à activer dans vos outils.

Déclaratif et vérifié

Si vous indiquez votre nom de domaine, une analyse externe passive vérifie automatiquement la protection de vos e-mails (SPF, DMARC), le HTTPS, le certificat, la version de chiffrement et les en-têtes de sécurité de votre site. Quand une réponse et un contrôle automatique divergent, l'écart vous est signalé.

Le calcul

• « Oui, partout » vaut 100 %, « Partiellement » 50 %, « Non » 0 %.
• Chaque question a un poids de 1 à 3 selon son impact sur le risque réel (le MFA pèse plus qu'une charte).
• Le score d'un domaine est la moyenne pondérée de ses questions ; le Cyber Score est la moyenne des 10 domaines.
• La préparation NIS2 est calculée sur les seules questions liées aux mesures de l'article 21 et à la gouvernance.

« Je ne sais pas » n'est pas un « Non »

Ne pas savoir ne rapporte pas de points, mais nous le traitons à part : le risque est signalé « à vérifier » et compté dans les éléments à documenter. Ne pas maîtriser son environnement est en soi une information utile.

Les niveaux

• 0–20 : Critique · 21–40 : Faible · 41–60 : À améliorer · 61–80 : Bon · 81–100 : Mature

Ces seuils sont des hypothèses de départ, ajustées avec les retours de nos premiers utilisateurs.

Du risque à l'action

Chaque recommandation suit le même chemin : votre réponse → le risque qu'elle révèle → l'action recommandée → la preuve qui montre qu'elle est faite. Une réponse « Partiellement » abaisse la gravité d'un niveau et repousse l'échéance d'un horizon.

Les référentiels associés

Chaque question est rattachée, à titre indicatif, à une mesure de la directive NIS2, à un contrôle de l'annexe A de l'ISO/IEC 27001:2022 et à une ou deux des 34 pratiques de management ITIL. Le niveau d'une pratique ITIL est la moyenne pondérée des questions qui la nourrissent : poids plein pour la pratique principale, demi-poids pour la secondaire. ITIL 5 (2026) reprend les 34 pratiques d'ITIL 4 en deux familles au lieu de trois ; les deux classements sont proposés. ITIL est un cadre de bonnes pratiques, pas une norme certifiable.

Chaque question est aussi rattachée à un ou deux des 20 objectifs de sécurité du Référentiel Cyber France (ReCyF) de l'ANSSI, version 2.5 du 17 mars 2026, avec la même pondération. Ce référentiel est encore un document de travail : le niveau affiché mesure une préparation, pas une conformité.

Et le diagnostic MonAideCyber ?

MonAideCyber, le service gratuit de l'ANSSI, propose un diagnostic de 1 h 30 avec un aidant de proximité, sur 6 thèmes. Les deux démarches se complètent : le bilan couvre ces 6 thèmes et y ajoute les risques, la continuité d'activité et les fournisseurs.

Ce que le score n'est pas

Important : les informations réglementaires fournies par la plateforme sont destinées à aider votre entreprise à comprendre son niveau de préparation et à identifier les actions prioritaires. Elles ne constituent ni un avis juridique, ni une certification de conformité, ni une décision de l'autorité compétente. Le périmètre et les obligations applicables doivent être vérifiés au regard des textes en vigueur et, lorsque nécessaire, avec un professionnel qualifié.