CyberscoreL’indicateur de cybersécurité obligatoire pour les grandes plateformes numériques
Les grandes plateformes numériques doivent afficher un indicateur de leur niveau de cybersécurité, établi à partir d’un audit réalisé par un prestataire qualifié.
Qu’est-ce que le Cyberscore ?
En France, la cybersécurité des plateformes numériques est désormais une information publique. Sur le modèle du Nutriscore alimentaire, la loi n°2022-309 du 3 mars 2022 impose aux grandes plateformes numériques d’afficher un indicateur visuel de leur niveau de sécurité, établi à partir d’un audit indépendant réalisé par un prestataire qualifié par l’ANSSI. L’objectif est simple : permettre aux utilisateurs de faire des choix éclairés sur les services qu’ils utilisent, en disposant d’une information claire et compréhensible sur la sécurisation de leurs données.
Le Cyberscore s’inscrit dans une logique de transparence croissante des opérateurs numériques vis-à-vis de leurs utilisateurs, en cohérence avec les obligations du DSA au niveau européen. Il couvre deux dimensions essentielles : la sécurisation des données collectées et traitées par la plateforme, et la localisation de ces données. Ces deux informations sont présentées sous la forme d’un système d’information coloriel, lisible par tous les utilisateurs.
Cette page vous présente le cadre légal du Cyberscore, ses exigences clés, son calendrier d’application et les étapes concrètes pour engager votre mise en conformité.
Le Cyberscore est un dispositif de certification de cybersécurité créé par la loi n°2022-309 du 3 mars 2022, codifié à l’article L.111-7-3 du Code de la consommation. Il s’inspire directement du Nutriscore alimentaire : de même que ce dernier informe les consommateurs sur la qualité nutritionnelle des aliments, le Cyberscore informe les utilisateurs sur le niveau de sécurité des plateformes numériques qu’ils utilisent.
Le dispositif repose sur trois piliers :
- Un audit de cybersécurité réalisé par un prestataire qualifié PASSI par l’ANSSI, couvrant 36 critères organisationnels, techniques et juridiques
- Un indicateur visuel coloré, affiché de façon lisible, claire et compréhensible sur le service, dans les trois mois suivant la réception de l’audit
- Un renouvellement annuel de l’audit, avec mise à jour de l’indicateur dans les trois mois suivant l’expiration
Quelles plateformes sont concernées ?
Le Cyberscore s’applique aux opérateurs de plateformes en ligne au sens de l’article L.111-7 du Code de la consommation, ainsi qu’aux services de communications interpersonnelles (messageries instantanées, services de visioconférence) dépassant un seuil d’audience défini par décret.
Les seuils envisagés dans les projets de décret sont :
- 25 millions de visiteurs uniques par mois en provenance du territoire français pour une première phase
- 15 millions de visiteurs uniques par mois pour une phase ultérieure d’élargissement
Ces seuils sont conçus pour cibler les grandes plateformes à très forte audience, en excluant les PME et les petites plateformes. Les très petites plateformes restent hors périmètre du dispositif.
Le référentiel d’audit : 36 critères
L’audit Cyberscore porte sur 36 critères répartis en trois catégories.
-
Critères organisationnels
Gouvernance de la sécurité, gestion des risques, politique de sécurité, gestion des incidents.
-
Critères techniques
Sécurité des infrastructures, chiffrement des données, contrôle d’accès, gestion des vulnérabilités, continuité d’activité.
-
Critères juridiques
Conformité RGPD, localisation des données hébergées, contrats avec les sous-traitants, transferts internationaux.
Les exigences clés du Cyberscore
La localisation des données est une dimension spécifique du Cyberscore : les utilisateurs doivent être informés de l’endroit où leurs données sont hébergées, en France, en Europe ou hors de l’Union européenne.
-
Un audit réalisé par un prestataire qualifié PASSI
L’audit Cyberscore doit obligatoirement être réalisé par un Prestataire d’Audit de la Sécurité des Systèmes d’Information (PASSI) qualifié par l’ANSSI. Cette exigence garantit l’indépendance et la compétence de l’auditeur, et exclut toute forme d’auto-certification.
La qualification PASSI est délivrée pour trois ans par l’ANSSI et couvre cinq domaines d’audit : architecture, configuration, code source, tests d’intrusion, et audit organisationnel et physique. La liste des prestataires qualifiés PASSI est publiée sur cyber.gouv.fr.
-
L’affichage public de l’indicateur Cyberscore
Les résultats de l’audit doivent être affichés de façon visible, lisible, claire et compréhensible sur le service concerné, dans les trois mois suivant la réception de l’audit. L’indicateur prend la forme d’un système d’information coloriel, similaire au Nutriscore, permettant aux utilisateurs d’évaluer en un coup d’œil le niveau de sécurité de la plateforme.
L’affichage doit couvrir deux informations distinctes : le niveau de sécurisation des données collectées et traitées, et la localisation des données hébergées.
-
Le renouvellement annuel de l’audit
L’audit Cyberscore a une durée de validité de 12 mois. À l’expiration de cette durée, la plateforme doit renouveler l’audit et mettre à jour l’indicateur affiché dans un délai de trois mois. Ce renouvellement annuel garantit que l’indicateur reflète en permanence le niveau de sécurité actuel de la plateforme, et non une situation passée.
Le Cyberscore face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Calendrier d’application
-
Passé
Publication de la loi Cyberscore
La loi n°2022-309 est publiée au Journal Officiel le 3 mars 2022. Elle crée l’article L.111-7-3 du Code de la consommation et fixe le cadre général du dispositif. La date d’entrée en vigueur est initialement prévue pour le 1er octobre 2023.
-
Passé
Premiers décrets d’application
Un projet de décret est soumis à consultation publique jusqu’au 15 avril 2023. Il prévoit un seuil de 25 millions de visiteurs uniques par mois pour une première phase d’application. L’ANSSI et la DGCCRF participent à l’analyse du projet. L’entrée en vigueur est repoussée au 1er janvier 2024.
-
Passé
Déploiement progressif
Le dispositif entre progressivement en application pour les grandes plateformes dépassant les seuils définis par décret. Les textes d’application précisant les modalités exactes d’audit et d’affichage sont en cours de finalisation. En avril 2025, la ministre du numérique Clara Chappaz confirme que le Cyberscore est toujours en cours de déploiement, avec des ajustements des textes d’application.
-
En cours
Montée en charge attendue
Le dispositif devrait atteindre sa pleine maturité opérationnelle en 2026, avec un élargissement progressif du périmètre des plateformes concernées et un abaissement potentiel des seuils d’audience déclenchant l’obligation.
Sanctions et risques
Amendes administratives
Le non-affichage du Cyberscore par une plateforme soumise à l’obligation expose à des amendes administratives prononcées par la DGCCRF :
- Jusqu’à 75 000 euros pour une personne physique
- Jusqu’à 375 000 euros pour une personne morale
Publication des manquements
Les manquements constatés peuvent faire l’objet d’une publication, avec un impact réputationnel potentiellement significatif pour les plateformes concernées. L’affichage d’un score bas est lui-même un risque réputationnel, incitant les plateformes à améliorer leur niveau de sécurité avant de se soumettre à l’audit.
Un régime encore en cours de finalisation
Le régime de sanction est en cours de finalisation par décret. Les modalités précises de contrôle et de sanction seront précisées par les textes d’application, dont la publication est attendue. Les plateformes concernées ont intérêt à anticiper leurs obligations dès maintenant, sans attendre la publication des derniers textes.
Les étapes de mise en conformité au Cyberscore
-
Vérifier les seuils d’audience
La première action consiste à déterminer si votre plateforme dépasse les seuils d’audience définis par décret, en termes de visiteurs uniques mensuels en provenance du territoire français. Cette vérification doit prendre en compte l’ensemble des services concernés : plateforme en ligne, messagerie instantanée, service de visioconférence.
-
Sélectionner un prestataire qualifié PASSI
L’audit Cyberscore doit être réalisé par un PASSI qualifié par l’ANSSI. La sélection du prestataire doit tenir compte de son expérience sur les audits de plateformes numériques, de sa disponibilité, et de sa capacité à couvrir les 36 critères du référentiel Cyberscore. La liste des prestataires qualifiés PASSI est disponible sur cyber.gouv.fr.
-
Réaliser l’audit Cyberscore
L’audit couvre les 36 critères organisationnels, techniques et juridiques du référentiel, incluant la sécurisation des données et leur localisation. Il donne lieu à un rapport d’audit et à un score, qui constitue la base de l’indicateur à afficher. La durée de validité de l’audit est de 12 mois.
-
Afficher l’indicateur Cyberscore
L’indicateur doit être intégré dans les interfaces utilisateur du service dans les trois mois suivant la réception de l’audit, de façon visible, lisible et compréhensible. Il doit couvrir les deux dimensions du Cyberscore : niveau de sécurisation des données et localisation des données hébergées.
Cyberscore en 4 questions
Le Cyberscore s’applique-t-il aux PME ?
Non. Le Cyberscore cible exclusivement les opérateurs de plateformes en ligne à très forte audience, dépassant des seuils de visiteurs uniques mensuels définis par décret. Les PME et les petites plateformes sont hors périmètre du dispositif. Les seuils envisagés (25 millions puis 15 millions de visiteurs uniques par mois) sont conçus pour ne cibler que les grandes plateformes grand public.
Quelle est la différence entre le Cyberscore et la certification ISO 27001 ?
L’ISO 27001 est une norme volontaire internationale de management de la sécurité de l’information, applicable à toute organisation et couvrant l’ensemble du système d’information. Le Cyberscore est un dispositif spécifique aux plateformes numériques françaises, centré sur la sécurisation et la localisation des données collectées auprès des utilisateurs. Les deux démarches sont complémentaires : une organisation certifiée ISO 27001 dispose d’une base solide pour préparer son audit Cyberscore.
Pourquoi le Cyberscore couvre-t-il la localisation des données ?
La localisation des données est une information stratégique pour les utilisateurs : des données hébergées hors de l’Union européenne sont potentiellement soumises à des législations extraterritoriales, comme le Cloud Act américain, qui peuvent permettre à des gouvernements étrangers d’y accéder. Le Cyberscore informe les utilisateurs sur ce risque de façon transparente, leur permettant de faire des choix éclairés sur les services qu’ils utilisent.
Qu’est-ce qu’un prestataire qualifié PASSI et pourquoi est-il obligatoire pour le Cyberscore ?
Un PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) est un prestataire qualifié par l’ANSSI pour réaliser des audits de sécurité. Le recours à un PASSI qualifié est obligatoire pour le Cyberscore afin de garantir l’indépendance, la compétence et la fiabilité de l’auditeur, et d’exclure toute forme d’auto-certification. La liste des prestataires qualifiés PASSI est publiée sur cyber.gouv.fr.
Votre Cyberscore avec Fidens
Préparation de l’audit, remédiation des écarts, valorisation de votre note : nos consultants vous accompagnent pour obtenir et maintenir un Cyberscore à la hauteur de vos efforts.
