Financing your business's cybersecurity: grants, assessments and investments

Résumé opérationnel

La cybersécurité se finance rarement à travers une aide unique couvrant toutes les dépenses. Il faut distinguer le diagnostic et le conseil, les mesures de protection, la formation, la conformité et, lorsque l’entreprise développe une technologie cyber, les dépenses de recherche et d’innovation. Les dispositifs dépendent notamment du territoire, de la taille de l’entreprise, du secteur et de la nature du projet.

MesServicesCyber recense des diagnostics, prestations de conseil et aides territoriales. La fiche France 2030 – Diagnostic Cybersécurité consultée décrit une mission de huit jours, un coût de 8 800 € HT et une prise en charge affichée à 50 %, sous réserve des conditions applicables. MonAideCyber propose un diagnostic initial gratuit et accompagné. Ces offres ne constituent pas une subvention générale pour acheter n’importe quel logiciel ou matériel.

Introduction : traiter la cybersécurité comme un projet

Une cyberattaque peut interrompre les ventes, bloquer la production, exposer des données ou fragiliser la relation avec un donneur d’ordre. Une approche finançable commence par un risque documenté, un périmètre clair et un plan de remédiation priorisé. Le but est de démontrer pourquoi les actions sont nécessaires, quelles dépenses elles entraînent et quels résultats peuvent être mesurés.

Ce guide est une méthode de qualification, pas une garantie d’obtention. Les budgets, dates d’ouverture, plafonds et conditions évoluent. Avant tout engagement, vérifiez la fiche officielle, le règlement et les modalités auprès du gestionnaire. Une annonce ou une page ancienne ne prouve pas qu’un guichet est toujours ouvert.

1. Définir précisément le besoin

Diagnostic et plan de remédiation

Un diagnostic évalue les actifs critiques, les risques, les pratiques et les faiblesses. Il doit produire une feuille de route priorisée : sauvegardes, authentification multifacteur, gestion des correctifs, contrôle des accès, segmentation réseau, journalisation, réponse aux incidents et sensibilisation. Cette première étape peut être plus facile à qualifier qu’un achat indifférencié, car son périmètre et ses livrables sont explicites.

Déploiement technique

Le déploiement peut inclure la sécurisation des postes et serveurs, des sauvegardes isolées, la protection des identités, des pare-feu, la détection, le chiffrement, la gestion des vulnérabilités ou la sécurisation du cloud. Pour une usine, il faut aussi examiner les automates, systèmes de supervision et contraintes de continuité de production. Une dépense indiquée sur un devis n’est pas automatiquement éligible : vérifiez les catégories de coûts et exclusions du programme.

Formation et continuité d’activité

La sécurité dépend des usages. Formation des salariés, exercices de crise, procédures, tests de restauration et plan de continuité peuvent compter autant que les outils. Certains dispositifs soutiennent le conseil ou la sensibilisation, d’autres seulement un diagnostic. Détaillez chaque lot plutôt que de regrouper toutes les dépenses sous « informatique ».

Conformité et exigences clients

Le projet peut répondre au RGPD, à des exigences contractuelles, à NIS2 lorsque l’organisation entre dans son champ, à un référentiel sectoriel ou à un marché public. La conformité n’est pas automatiquement de la R&D. Un projet réglementaire peut être indispensable sans être éligible à une aide à l’innovation.

2. Qui peut rechercher un financement ?

TPE et PME

Une petite entreprise peut commencer par un diagnostic accompagné puis examiner une aide régionale ou métropolitaine pour des prestations de conseil ou un plan d’action. Les critères peuvent porter sur l’effectif, l’implantation territoriale, la situation financière, le prestataire et la date d’engagement des dépenses.

PME et ETI industrielles

Le projet doit intégrer les contraintes opérationnelles des systèmes industriels connectés. La description du périmètre doit distinguer IT et OT, les fenêtres d’intervention, les essais et les conditions de redémarrage. Des aides sectorielles peuvent exister, mais le statut d’industriel ne suffit pas à établir l’éligibilité.

Défense et secteurs sensibles

Les entreprises de la base industrielle et technologique de défense peuvent relever de programmes spécialisés avec des critères de qualification et de confidentialité. Un dispositif historique ne prouve pas que les demandes sont encore possibles. Confirmez la procédure auprès du gestionnaire actuel.

Fournisseurs de technologies cyber

Un éditeur qui développe un produit de cybersécurité ne poursuit pas le même projet qu’une PME qui achète des solutions existantes. Le premier peut examiner des appels à l’innovation, des projets collaboratifs, Horizon Europe ou Digital Europe. Le second recherchera plutôt un diagnostic, du conseil ou une aide à la transformation numérique.

3. Dispositifs et points d’entrée

MesServicesCyber

MesServicesCyber, développé avec l’ANSSI et ses partenaires, centralise des services et financements pour renforcer la maturité cyber. Les filtres par territoire, type d’organisation et type de financement aident à repérer diagnostics, conseil, formations et appuis à l’investissement. Il s’agit d’un point de départ, non d’une décision d’éligibilité : ouvrez la fiche, identifiez le gestionnaire et confirmez les conditions.

France 2030 – Diagnostic Cybersécurité

La fiche officielle consultée décrit une mission de huit jours pour sensibiliser la direction, évaluer les forces et faiblesses du système d’information, prioriser des recommandations et préparer l’entreprise à une crise. Le public indiqué comprend les PME indépendantes ; l’éligibilité des ETI dépend du périmètre et de l’accord de Bpifrance. La fiche affiche une prise en charge de 50 % d’un coût de 8 800 € HT, soit un reste à charge indicatif de 4 400 € HT.

Ces paramètres doivent être reconfirmés au moment de la demande. Il s’agit d’une prestation de conseil cofinancée, pas d’une somme versée librement pour acheter du matériel.

MonAideCyber

MonAideCyber propose un diagnostic initial gratuit et accompagné, d’environ 1 h 30, avec un Aidant cyber. Il permet de repérer les priorités et de démarrer une démarche. Il ne remplace pas nécessairement un audit technique approfondi ni une prestation de remédiation, mais peut clarifier le besoin avant d’engager des dépenses.

Aides régionales et locales

Les régions et collectivités peuvent soutenir diagnostics, conseil, formation ou investissements numériques. Les critères varient : implantation, effectif, dépenses minimales, prestataire référencé, situation financière ou date de commande. Une fiche du Grand Est consultée décrit par exemple un diagnostic de dix jours, avec une prise en charge maximale de 50 % dans la limite de 5 000 €, sous conditions. Cet exemple ne s’applique pas automatiquement à une entreprise située ailleurs.

Recherchez les dispositifs pour le territoire de l’établissement concerné. Vérifiez si l’aide doit être demandée avant de signer le devis, si un prestataire référencé est obligatoire et si les dépenses doivent être payées après la décision.

Digital Europe et Horizon Europe

Les programmes européens peuvent soutenir le développement de technologies, la coopération, les démonstrateurs ou le renforcement des capacités cyber. Ils ont des objectifs, consortiums, calendriers et règles de coûts propres. Ils ne constituent pas une subvention automatique pour moderniser le système informatique d’une PME.

Le NCC-FR et l’ANSSI publient des informations sur les appels et financements cyber. La page officielle consultée mentionne un renouvellement annoncé d’un soutien national aux PME et startups en 2026, ainsi que des calendriers européens ultérieurs. Une annonce d’ouverture future ne signifie pas qu’un appel est ouvert aujourd’hui : vérifiez la date officielle de publication et de clôture.

Bpifrance et diagnostics spécialisés

Bpifrance propose ou a proposé des diagnostics et accompagnements cyber. Les modalités changent : son bilan d’activité du premier semestre 2026 signale notamment une baisse de subvention des Diag Cybersécurité. Les communiqués historiques ne suffisent donc pas à confirmer le prix, le taux ou la disponibilité actuelle. Vérifiez l’offre en vigueur et demandez une confirmation écrite.

4. Ventiler les dépenses

Audit, conseil et tests

Distinguez diagnostic de maturité, audit technique, test d’intrusion, analyse de risques, remédiation et audit de vérification. Ces prestations peuvent être traitées différemment par le financeur. Précisez les livrables, le nombre de jours, les compétences du prestataire et les systèmes couverts.

Logiciels et services cloud

Séparez l’achat initial, les abonnements, les services managés, le support et l’intégration. Les dépenses récurrentes peuvent être exclues ou limitées dans le temps. Les licences groupées doivent être ventilées si le règlement l’exige.

Matériel et infrastructure

Les équipements réseau, serveurs, sauvegardes et dispositifs de sécurité doivent être justifiés par le plan de remédiation. Identifiez installation, maintenance et remplacement. N’assumez pas que l’achat d’un ordinateur ou d’un pare-feu est automatiquement subventionnable.

Temps interne et formation

Le temps des équipes peut être éligible dans certains appels d’innovation, mais pas nécessairement dans une aide à l’investissement. Les formations peuvent relever de financements distincts. Conservez programmes, feuilles de présence, temps passés et justificatifs lorsque le règlement le demande.

Dépenses exclues ou à confirmer

Les coûts engagés avant la date autorisée, les pénalités, frais généraux non justifiés ou dépenses déjà financées peuvent être exclus. Demandez comment traiter acomptes, abonnements pluriannuels, TVA récupérable, achats auprès d’entreprises liées et coûts partagés entre sites.

5. Construire un plan de financement réaliste

Hiérarchiser les actions

Inventoriez les actifs critiques et les conséquences d’un arrêt. Classez les actions en mesures urgentes à faible coût, remédiations structurantes et investissements avancés. Cette hiérarchie évite un projet disproportionné et aide à présenter un besoin cohérent.

Chiffrer par lot

Préparez des lignes distinctes pour diagnostic, prestations techniques, équipements, licences, formation et tests. Pour chaque ligne, indiquez fournisseur, montant HT, TVA, calendrier, livrable et dispositif envisagé. Prévoyez le temps nécessaire pour obtenir plusieurs devis lorsque cela est demandé.

Distinguer les instruments

Une subvention réduit le coût final sous conditions. Une prestation cofinancée réduit le prix payé au prestataire. Un prêt ou une garantie améliore le financement, mais doit être remboursé. Ne comptabilisez pas tous ces instruments comme des recettes définitives.

Anticiper la trésorerie

L’entreprise peut devoir avancer les dépenses et fournir ensuite factures et preuves de paiement. D’autres dispositifs appliquent une réduction directement sur la prestation. Demandez le calendrier des versements, les avances éventuelles et le délai de traitement. Établissez un scénario sans aide pour tester la soutenabilité du projet.

6. Préparer le dossier

Présenter l’activité et les dépendances

Décrivez activité, sites, effectifs, systèmes essentiels, dépendances cloud, prestataires critiques, flux de données et exigences clients. Expliquez pourquoi le projet est nécessaire maintenant et quelles conséquences il cherche à prévenir.

Relier les dépenses aux risques

Le dossier doit relier chaque dépense à un risque et à un résultat attendu. Les indicateurs peuvent inclure la couverture MFA, le délai de correction des vulnérabilités, le taux de réussite des restaurations ou le temps de reprise lors d’un exercice. Évitez de promettre une sécurité absolue.

Documenter les prestataires

Vérifiez que le prestataire répond aux exigences du programme, qu’il est référencé si nécessaire et que le devis est détaillé, daté et cohérent. Conservez les versions des devis et les échanges avec le gestionnaire.

Vérifier avant toute commande

Confirmez par écrit date d’éligibilité, taux, plafonds, régime d’aide, cumul et justificatifs. Une demande d’information ne vaut pas accord. N’anticipez pas la commande si le dispositif impose une demande préalable.

7. Exemple de budget illustratif

Une PME prévoit un diagnostic, la sécurisation des sauvegardes, l’authentification multifacteur, la protection des postes et un exercice de crise, pour 24 000 € HT. Elle doit vérifier si une aide couvre le diagnostic seul, si une aide locale soutient les prestations ou si certaines dépenses relèvent d’un autre guichet.

Si un dispositif couvre seulement un diagnostic de 8 800 € HT à 50 %, le reste à charge de cette mission serait de 4 400 € HT. Le taux ne doit pas être appliqué aux 24 000 € entiers si les autres lots ne sont pas éligibles. Cet exemple illustre un calcul et ne garantit ni l’ouverture ni l’éligibilité.

8. Cumul et double financement

Une même dépense ne peut pas être remboursée deux fois au-delà des coûts supportés et des règles applicables. Certains dispositifs imposent de déclarer les aides reçues ou sollicitées et de respecter des plafonds d’intensité ou de minimis. Les aides à l’innovation et les soutiens à la transformation numérique peuvent relever de cadres différents : ne présumez pas qu’ils sont cumulables.

Tenez un tableau avec facture, fournisseur, dispositif demandé, montant attribué, part déjà couverte, régime d’aide et justificatifs. Pour des lots distincts, documentez leur séparation technique et financière. Demandez un avis écrit en cas de doute.

9. Erreurs fréquentes

• Acheter avant d’avoir vérifié la date de début d’éligibilité.
• Confondre prestation cofinancée et subvention libre d’emploi.
• Utiliser un ancien communiqué pour annoncer un taux toujours valable.
• Déposer un dossier sans lien entre risques et dépenses.
• Oublier les abonnements, la maintenance et le temps de déploiement.
• Présenter une obligation réglementaire comme une innovation de R&D sans justification.
• Ne pas déclarer les autres aides perçues ou sollicitées.
• Considérer une fiche de catalogue comme une décision officielle d’attribution.

10. Plan d’action sur 30 jours

Semaine 1 : cadrer

Inventoriez actifs critiques, sites, exigences clients et incidents passés. Réalisez un diagnostic initial et identifiez les mesures urgentes qui ne doivent pas attendre une subvention.

Semaine 2 : qualifier

Consultez MesServicesCyber, MonAideCyber, la région, l’intercommunalité et les interlocuteurs sectoriels. Notez gestionnaire, public cible, dépenses, taux affiché, pièces et calendrier. Confirmez les points ambigus par écrit.

Semaine 3 : chiffrer

Demandez les devis, établissez un budget par lot, préparez le plan de remédiation et rassemblez les documents administratifs. Vérifiez que les devis sont valides et que les achats n’ont pas commencé trop tôt.

Semaine 4 : déposer et suivre

Déposez le dossier complet sur le canal officiel, conservez l’accusé de réception et suivez les demandes de pièces. Ne présentez pas l’aide comme acquise tant que la décision formelle n’est pas obtenue.

11. Indicateurs de résultat

Mesurez la couverture des comptes protégés par MFA, la proportion de sauvegardes isolées, le délai d’application des correctifs critiques, le nombre de vulnérabilités ouvertes, le taux de restauration réussie et le délai de reprise. Les indicateurs doivent être réalistes et vérifiables. Une démarche de sécurité vise à réduire probabilité et impact, détecter plus tôt et restaurer l’activité ; elle ne garantit pas l’absence d’incident.

12. Documents à préparer

Préparez l’immatriculation, le SIRET de l’établissement, les informations d’effectif, une présentation de l’activité, le diagnostic disponible, la feuille de route, les devis et le calendrier. Certains programmes demandent des attestations fiscales et sociales ou une déclaration des aides publiques déjà reçues.

Pour chaque dépense, indiquez le risque couvert, le composant concerné, la solution, le livrable, le coût et la justification du choix. Ne partagez pas de mots de passe, de secrets techniques ou de journaux contenant des données sensibles dans un dossier non sécurisé.

13. Comparer deux dispositifs

Ne comparez pas seulement les taux affichés. Examinez coût total éligible, plafond, reste à charge, prestations obligatoires, délai de décision, disponibilité du prestataire, modalités de paiement et obligations de reporting. Un diagnostic cofinancé peut être moins adapté qu’une prestation locale plus ciblée si les livrables ne répondent pas au besoin.

Pour chaque option, notez adéquation au projet, éligibilité probable, ouverture confirmée, dépense déjà engagée ou non, reste à charge, pièces manquantes et interlocuteur. Gardez le statut « à vérifier » tant que le gestionnaire n’a pas répondu.

14. Suivi après attribution

Conservez décision, contrat, budget accepté, devis, factures, preuves de paiement et livrables. Ne modifiez pas le périmètre ou le prestataire sans vérifier si une autorisation est nécessaire. Les écarts de calendrier et les changements de fournisseurs peuvent devoir être signalés.

Désignez une personne responsable du suivi administratif et une personne responsable des résultats techniques. La clôture doit démontrer que les prestations ont été réalisées et que les justificatifs sont complets. Le plan de remédiation doit rester vivant après la fin de la prestation.

15. Comment Capital OS peut aider

Capital OS peut rapprocher SIRET, activité, implantation, effectif, nature du projet et calendrier des dispositifs recensés. Le résultat doit rester une présélection documentée, non une garantie d’attribution. La qualité du matching dépend de la fraîcheur des fiches, de la précision des critères et de la confirmation par le gestionnaire.

Pour un projet cyber, les dimensions clés sont territoire, taille, secteur, type de dépense, caractère innovant ou non du projet et date de début prévue. Une fiche utile doit indiquer source officielle, date de contrôle, statut connu et éléments restant à confirmer.

16. FAQ

Existe-t-il une aide nationale qui finance toute la cybersécurité d’une PME ?

Ne présumez pas l’existence d’une enveloppe générale. Les dispositifs peuvent financer un diagnostic, du conseil, une action territoriale ou un projet d’innovation précis. Qualifiez le besoin et consultez les fiches à jour.

MonAideCyber finance-t-il l’achat de logiciels ?

MonAideCyber est un diagnostic initial gratuit et accompagné. Il aide à repérer les priorités, mais ne doit pas être présenté comme une subvention d’achat de logiciels.

Le diagnostic France 2030 est-il une somme versée à l’entreprise ?

La fiche consultée décrit une prestation de conseil cofinancée. Les modalités pratiques doivent être confirmées auprès de Bpifrance ; il ne s’agit pas d’une somme librement utilisable.

Une entreprise peut-elle demander l’aide d’une autre région ?

Le territoire et l’établissement bénéficiaire sont des critères à vérifier. Une aide régionale ne doit pas être considérée comme accessible hors zone sans confirmation écrite.

Les abonnements cyber sont-ils éligibles ?

Cela dépend du dispositif. Certains financent une prestation ponctuelle ou des investissements définis, tandis que les abonnements peuvent être exclus. Examinez le règlement ligne par ligne.

Une entreprise qui développe un produit cyber peut-elle obtenir une aide à l’innovation ?

Potentiellement, si le projet répond aux critères et si les travaux, risques technologiques et dépenses sont documentés. Acheter et déployer une solution existante n’équivaut pas à développer un nouveau produit.

Peut-on cumuler plusieurs dispositifs ?

Le cumul dépend des règlements, régimes d’aide et dépenses financées. Déclarez les aides reçues ou sollicitées et vérifiez qu’aucun coût n’est financé deux fois.

Quand faut-il déposer ?

Avant de signer ou d’engager les dépenses si le dispositif l’exige. La date d’éligibilité varie : demandez une confirmation écrite.

Conclusion : partir du diagnostic, puis financer un plan cohérent

La stratégie la plus robuste consiste à identifier les risques, prioriser les remédiations et rechercher un financement correspondant exactement au projet. Les dispositifs nationaux, territoriaux et européens n’ont ni les mêmes objectifs ni les mêmes bénéficiaires. Vérifiez conditions, calendrier et cumul avant toute promesse commerciale ou tout engagement.

Sources officielles

• MesServicesCyber – Financements : https://messervices.cyber.gouv.fr/financements
• France 2030 – Diagnostic Cybersécurité : https://messervices.cyber.gouv.fr/financements/10
• MonAideCyber : https://messervices.cyber.gouv.fr/services/mon-aide-cyber
• ANSSI – FAQ financements européens : https://cyber.gouv.fr/offre-de-service/ncc-fr/faq-financements-europeens/
• ANSSI – Appels à projets européens : https://cyber.gouv.fr/offre-de-service/ncc-fr/appels-a-projets-europeens/
• Bpifrance – Diag Cybersécurité : https://presse.bpifrance.fr/cybersecurite-bpifrance-poursuit-son-ambition-daccompagner-les-entreprises-dans-la-prevention-de-ce-risque-et-lance-le-diag-cybersecurite/

17. Entreprises qui répondent à des questionnaires fournisseurs

Les donneurs d’ordre peuvent demander des preuves de sauvegarde, des audits, des procédures d’incident ou des éléments de gestion des accès. Ces demandes justifient l’urgence commerciale du projet, mais ne créent pas automatiquement un droit à subvention. Joignez les exigences au dossier et expliquez le lien avec la continuité du contrat, en retirant les informations confidentielles non nécessaires.

Pour rester pilotable, rattachez cette action à un responsable, un calendrier, un livrable et un indicateur. Cette discipline facilite aussi les échanges avec le financeur : elle montre que l’entreprise ne recherche pas seulement une aide ponctuelle, mais qu’elle a prévu la mise en œuvre et le suivi des résultats.

18. Cybersécurité et recherche et développement

Une entreprise qui conçoit une nouvelle méthode de détection, un mécanisme cryptographique ou une architecture technique réellement nouvelle peut examiner les dispositifs d’innovation si elle documente les incertitudes et les travaux expérimentaux. L’intégration de solutions existantes, la configuration courante ou la mise à niveau d’un parc ne deviennent pas de la R&D par simple changement d’intitulé. Séparez les lots de R&D des dépenses opérationnelles.

19. Réseaux industriels et continuité de production

Pour les environnements OT, une intervention peut affecter la disponibilité d’une ligne ou la sécurité physique. Le dossier doit prévoir fenêtres d’intervention, tests hors production, plan de retour arrière, validation des équipes métier et maintien des pièces de rechange. Les dépenses de coordination et de qualification doivent être identifiées et leur éligibilité vérifiée, plutôt que cachées dans un poste global.

20. Après le projet : maintenir la maturité

Un investissement cyber perd de sa valeur si les comptes ne sont plus revus, si les correctifs s’accumulent ou si les restaurations ne sont jamais testées. Prévoyez un budget récurrent pour le maintien en condition de sécurité, les mises à jour, la formation des nouveaux arrivants et les exercices. Les dispositifs d’aide financent rarement indéfiniment le fonctionnement courant : distinguez le coût initial du coût total de possession.