Diagnostic cyber gratuit de l'ANSSI : mode d'emploi pour une TPE de l'Yonne

« C'est gratuit, et accompagné par l'État » : c'est l'argument qui revient le plus souvent quand on évoque le diagnostic cyber proposé aux petites entreprises. Mais le nom exact du dispositif, l'organisme qui le porte réellement et ce qui est vraiment gratuit (ou pas) restent flous pour beaucoup de dirigeants de TPE. Entre l'ANSSI, Cybermalveillance.gouv.fr et le label ExpertCyber, il y a en réalité deux services publics distincts et complémentaires, et les confondre fait perdre du temps au moment de s'en servir.

Cet article fait le point précisément : quel est le dispositif qui propose réellement un diagnostic gratuit, qui peut en bénéficier, comment y accéder étape par étape depuis l'Yonne, ce qu'on obtient à la fin, et quelle suite est possible si une mise en conformité plus poussée s'avère nécessaire.

Un diagnostic gratuit, mais porté par l'ANSSI, pas directement par Cybermalveillance.gouv.fr

Première précision utile, car l'amalgame est fréquent : le diagnostic cyber réellement gratuit et accompagné pour les TPE/PME s'appelle « le diagnostic cyber gratuit », aussi désigné par son nom de projet MonAideCyber, accessible via le portail MesServicesCyber (messervices.cyber.gouv.fr). Il est porté par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), avec BetaGouv et la Direction interministérielle du numérique : c'est un service de l'État, décrit officiellement comme une « Innovation ANSSI ».

Cybermalveillance.gouv.fr est un dispositif différent, piloté par un autre organisme (le GIP ACYMA). Il reste une ressource précieuse pour une TPE : assistance en ligne 17Cyber pour les victimes d'incidents, guides pratiques, et surtout le service Mon ExpertCyber, qui met en relation les entreprises avec des prestataires informatiques labellisés ExpertCyber pour une sécurisation plus poussée. Mais Cybermalveillance.gouv.fr ne propose pas, à proprement parler, le diagnostic gratuit d'1h30 : celui-ci est un service ANSSI. Les deux dispositifs se complètent dans un même parcours, sans être le même outil ni le même opérateur : c'est une nuance importante à connaître avant de chercher le bon lien.

Ce que couvre exactement le diagnostic cyber gratuit

Le diagnostic dure 1h30 et est réalisé par un « Aidant cyber » : un volontaire formé et outillé par l'ANSSI, membre de la communauté MonAideCyber (agents publics, policiers et gendarmes réservistes, collectivités, associations comme le Campus Cyber ou des Opérateurs Publics de Services Numériques, et volontaires d'entreprises privées agissant sans but lucratif dans le cadre de ce dispositif). Les Aidants sont soumis à une charte éthique publiée par l'ANSSI.

Concrètement, l'Aidant cyber se déplace dans les locaux de l'entreprise, ou réalise l'échange en visioconférence si c'est plus pratique. Il déroule avec le dirigeant un questionnaire simple proposé par l'État, qui couvre les grands fondamentaux de la sécurité numérique (gestion des mots de passe et des accès, sauvegardes, mises à jour, messagerie, sensibilisation des équipes, etc.). À l'issue de l'échange, l'entreprise reçoit 6 recommandations prioritaires, pensées pour être applicables rapidement et sans expertise technique préalable, consultables ensuite depuis un espace personnel sur MesServicesCyber.

Qui peut réellement en bénéficier : un dispositif national, sans volet spécifique à l'Yonne

Il faut être direct sur ce point, pour éviter toute confusion : il n'existe pas de programme régional propre à l'Yonne ou à la Bourgogne-Franche-Comté pour ce diagnostic. C'est un service national, en accès libre, identique partout en France. Ce qui change localement, ce n'est pas le dispositif lui-même mais la façon dont une TPE de l'Yonne peut concrètement s'en saisir (voir plus bas).

Les critères d'éligibilité, tels qu'indiqués officiellement par l'ANSSI, sont les suivants :

• Cible : toute entité publique ou privée en France souhaitant engager une première démarche de cybersécurité — en particulier les TPE, PME et ETI, les associations et les collectivités territoriales.
• Exclusions explicites : le dispositif ne s'adresse pas aux particuliers, ni aux entreprises mono-salariées (un seul salarié, en général le dirigeant). Une micro-entreprise ou un auto-entrepreneur seul n'entre donc pas dans le périmètre tel que défini par l'ANSSI.
• Non adapté aux entités déjà dotées d'un bon niveau de maturité cybersécurité et disposant d'experts en interne — le diagnostic cible explicitement un premier niveau de sensibilisation, pas un audit technique approfondi pour une structure déjà équipée.
• Aucune condition de secteur d'activité, de chiffre d'affaires ou de localisation géographique particulière n'est posée au-delà de ces critères.

Pour une TPE de l'Yonne employant ne serait-ce que deux ou trois salariés — un commerce, un cabinet, une entreprise artisanale ou de services — le dispositif est donc parfaitement accessible, au même titre que n'importe quelle entreprise comparable ailleurs en France.

Comment accéder au diagnostic, étape par étape

La procédure officielle, telle que décrite par MesServicesCyber, se déroule en quatre temps :

• 1. Faire la demande en ligne. Rendez-vous sur messervices.cyber.gouv.fr/cyberdepart et remplissez le formulaire de demande pour votre entité (quelques informations sur l'entreprise et ses coordonnées).
• 2. Être mis en relation avec un Aidant cyber, et convenir ensemble d'un jour et d'une heure pour réaliser le diagnostic, dans les locaux de l'entreprise ou en visioconférence.
• 3. Le jour J, échanger pendant environ 1h avec l'Aidant cyber à partir du questionnaire simple proposé par l'État — aucune préparation technique n'est requise côté entreprise.
• 4. Recevoir les résultats : 6 recommandations prioritaires et personnalisées, consultables ensuite depuis l'espace connecté MesServicesCyber, avec accès aux autres ressources et services pour poursuivre la démarche (dont le Référentiel Cyber France, ReCyF, pour aller plus loin).

Le dispositif est présenté par l'ANSSI comme « anonyme » dans sa restitution et pensé pour être rapide et sans effort : pas de jargon technique imposé, pas de prérequis, pas de matériel à préparer.

Ce qui est gratuit, et ce qui ne l'est pas

Pour être précis sur ce point, souvent source de confusion : le diagnostic lui-même est intégralement gratuit, de la demande en ligne jusqu'à la remise des 6 recommandations — c'est un service public rendu par un Aidant cyber bénévole. Ce qui n'est en revanche pas inclus dans ce diagnostic :

• La mise en œuvre des recommandations : le diagnostic identifie les priorités mais ne réalise pas lui-même les actions techniques (changer une politique de mots de passe, sécuriser une sauvegarde, configurer un pare-feu…). C'est à l'entreprise de les mettre en place, seule ou accompagnée.
• Un accompagnement technique poussé par un prestataire : si l'entreprise souhaite aller plus loin et se faire accompagner par un professionnel pour sécuriser concrètement son système d'information, elle passe alors par un prestataire informatique, dont l'intervention est, elle, payante — qu'il soit ou non labellisé ExpertCyber.

Le diagnostic gratuit est donc une porte d'entrée et un état des lieux, pas un service de mise en conformité complet.

Et ensuite : Cybermalveillance.gouv.fr, le label ExpertCyber et la mise en relation avec un prestataire

Une fois les 6 recommandations en main, une partie des actions (mots de passe, sauvegardes de base, mises à jour) peut être engagée en interne. Pour les sujets plus techniques, Cybermalveillance.gouv.fr propose un service complémentaire : Mon ExpertCyber, qui met en relation les professionnels avec des prestataires informatiques labellisés ExpertCyber.

Ce label existe bien et reste actif : il est délivré par Cybermalveillance.gouv.fr à l'issue d'un audit réalisé par AFNOR Certification, sur la base d'un référentiel d'exigences coconstruit avec les principaux syndicats professionnels du secteur informatique (Fédération EBEN, Cinov Digital, Numeum) et soutenu par France Assureurs. Un prestataire labellisé a donc fait valider son expertise technique par un organisme tiers indépendant, ce qui en fait un repère de confiance pour une TPE qui ne sait pas évaluer elle-même la compétence d'un prestataire en cybersécurité.

L'intervention d'un prestataire — labellisé ExpertCyber ou non — pour sécuriser concrètement un système d'information reste un service payant, comme toute prestation informatique. L'intérêt du label est de donner une garantie de compétence évaluée, pas de rendre la prestation gratuite.

Précision de rigueur : GLSM n'est à ce jour pas en mesure d'affirmer détenir le label ExpertCyber, faute de confirmation sur ce point précis — ce point est donc volontairement laissé ouvert plutôt qu'affirmé. Pour vérifier si un prestataire est labellisé, l'annuaire officiel est consultable directement sur Cybermalveillance.gouv.fr.

Comment une TPE de l'Yonne utilise concrètement ce dispositif national

Pour un artisan, un commerce ou un cabinet installé dans l'Yonne, la démarche ne diffère en rien de celle d'une entreprise comparable à Paris ou à Lyon : tout se passe en ligne via MesServicesCyber, et le rendez-vous avec l'Aidant cyber peut se tenir en visioconférence ou en présentiel si un Aidant est disponible localement. Il n'y a pas de guichet ni d'antenne propres à l'Yonne pour ce service : c'est précisément ce qui rend le dispositif simple à mobiliser, même pour une petite structure rurale, sans dépendre d'une implantation locale particulière.

Dans les faits, le scénario le plus courant pour une TPE de l'Yonne ressemble à ceci : le dirigeant fait la demande en ligne un matin, échange ensuite 1h30 avec un Aidant cyber (en visio le plus souvent, pour des raisons pratiques), repart avec 6 recommandations concrètes, met en œuvre lui-même les actions les plus simples (gestionnaire de mots de passe, vérification des sauvegardes — voir nos guides sur le gestionnaire de mots de passe en entreprise), puis, si un point nécessite une compétence technique qu'il n'a pas en interne (configuration réseau, sécurisation d'un serveur, durcissement d'un site web), se tourne vers un prestataire informatique de proximité pour un devis — GLSM, basé à Senan dans l'Yonne, intervenant dans ce cadre comme prestataire IT local pour la mise en œuvre technique, sans se substituer ni à l'Aidant cyber ni au diagnostic gratuit lui-même.

C'est cette complémentarité qu'il faut retenir : le diagnostic ANSSI pour l'état des lieux gratuit et impartial, puis, si besoin, un accompagnement technique local pour transformer les recommandations en actions réellement mises en place.

Questions fréquentes

Une entreprise d'un seul salarié peut-elle demander le diagnostic ?

Non : l'ANSSI exclut explicitement les entreprises mono-salariées de ce dispositif, de même que les particuliers. Il faut donc au minimum un dirigeant accompagné d'au moins un salarié pour y être éligible selon les critères publiés.

Faut-il payer quoi que ce soit pour obtenir les 6 recommandations ?

Non, le diagnostic en lui-même — de la demande jusqu'à la restitution des recommandations — est entièrement gratuit, assuré par un Aidant cyber bénévole formé par l'ANSSI. Seule la mise en œuvre technique ultérieure, si elle nécessite l'intervention d'un prestataire professionnel, est payante.

Existe-t-il une version propre à l'Yonne ou à la Bourgogne-Franche-Comté de ce dispositif ?

Non, il n'existe pas de programme régional spécifique : le diagnostic cyber gratuit est un dispositif strictement national, identique sur tout le territoire. Une TPE de l'Yonne y accède exactement de la même façon qu'une entreprise de n'importe quelle autre région.

Conclusion : un premier pas gratuit, utile avant toute dépense

Le diagnostic cyber gratuit de l'ANSSI est une occasion rare : un état des lieux complet de sa posture de sécurité numérique, réalisé par un professionnel formé, sans dépenser un euro, en 1h30 seulement. Pour une TPE de l'Yonne qui hésite encore à investir dans sa cybersécurité, c'est l'étape logique avant toute dépense : elle permet de prioriser objectivement ce qui mérite réellement un budget, plutôt que d'acheter au hasard un outil ou un service dont l'utilité réelle n'a pas été vérifiée.

Pour transformer ensuite ces recommandations en actions concrètes — gestion des mots de passe, sauvegardes fiables, sécurisation de votre site ou de votre infrastructure — contactez-nous, nous en discutons simplement, sans jargon ni vente forcée.

À lire aussi :

• Baromètre France Num 2026 : ce que disent vraiment les chiffres cyber des TPE
• Cybersécurité pour les TPE et professionnels de l'Yonne
• RGPD pour une TPE de l'Yonne : les 5 obligations concrètes à cocher
• Shadow IT en TPE : quand les salariés utilisent leurs propres outils cloud
• Directive NIS2 en France : qui est vraiment concerné
• Audit de sécurité informatique payant pour une TPE : ce qu'il contient en plus du diagnostic gratuit