Cyber Essentials en clair : le dispositif britannique, pas à pas

Ce qu’est Cyber Essentials

Cyber Essentials est un dispositif de certification soutenu par le gouvernement britannique. Le NCSC, l’agence nationale de cybersécurité britannique, fixe les exigences techniques. IASME gère le dispositif pour lui, avec un réseau d’organismes de certification agréés.

Il porte sur cinq contrôles techniques qui protègent contre les attaques les plus courantes sur Internet : hameçonnage, mots de passe devinés, exploitation de failles connues et non corrigées. Il vérifie la configuration de vos ordinateurs, de vos comptes et de vos services cloud, et ne demande ni système de management ni politiques écrites.

Les cinq contrôles

1. Pare-feuChaque appareil connecté à Internet est derrière un pare-feu. Les mots de passe admin par défaut sont changés, et les connexions entrantes bloquées sauf règle approuvée et documentée.
2. Configuration sécuriséeComptes et logiciels inutiles supprimés, mots de passe par défaut changés, exécution automatique désactivée, utilisateurs authentifiés et postes verrouillés.
3. Gestion des mises à jourLogiciels sous licence et encore pris en charge par l'éditeur. Mises à jour critiques et à haut risque installées sous 14 jours après leur publication.
4. Contrôle des accèsDes comptes seulement pour les personnes qui en ont besoin, des comptes admin séparés, la double authentification partout où elle est proposée, et toujours sur les services cloud.
5. Protection contre les logiciels malveillantsUn anti-malware (Windows, macOS) ou une liste d'applications autorisées, actif et à jour sur chaque appareil du périmètre.

Ce qui entre dans le périmètre

Le périmètre couvre soit toute l’informatique qui fait tourner l’entreprise, soit une partie bien délimitée et gérée à part. Il inclut les portables, téléphones, serveurs, équipements réseau et services cloud concernés, y compris les appareils personnels des salariés qui accèdent aux données de l’entreprise. Depuis la version 3.3, les services cloud qui hébergent vos données en font obligatoirement partie.

Cyber Essentials ou Cyber Essentials Plus

Le jeu de questions « Danzell » s'applique aux évaluations achetées depuis le 27 avril 2026, selon les exigences v3.3. Les évaluations commencées avant peuvent suivre la v3.2.

Qui l’exige

• L’administration centrale britannique. La Procurement Policy Note 014 (février 2025) s’applique aux ministères, à leurs agences, aux organismes publics non ministériels et aux organismes du NHS. Ils attendent Cyber Essentials ou Plus quand un fournisseur traite des données personnelles de citoyens ou d’agents, gère des systèmes informatiques qui stockent des informations de l’administration, ou traite des informations sur l’activité de l’État. Le fournisseur se recertifie tous les 12 mois. La note demande aussi de ne pas l’exiger par défaut sur tous les marchés.
• La défense. Les marchés du ministère de la Défense britannique ont leurs propres exigences cyber, via le Defence Cyber Protection Partnership : lisez le contrat.
• Les clients privés. Certains l’exigent dans leurs contrats ou leurs questionnaires. Demandez ce qu’ils acceptent : Cyber Essentials, Plus, ou un certificat équivalent.

Comment se passe la certification

La durée dépend de ce qui est déjà conforme. Si vos mises à jour, la double authentification et les comptes admin sont en ordre, l’évaluation elle-même va vite. Le plus long est en général de remplacer les appareils qui ne sont plus pris en charge.

Pour les acteurs de santé britanniques : le DSPT du NHS

Le Data Security and Protection Toolkit (DSPT) est l’auto-évaluation en ligne de NHS England. Toute organisation qui accède aux données des patients et aux systèmes du NHS doit le remplir, et le contrat type du NHS en fait une obligation contractuelle. C’est une évaluation annuelle : vous devez en publier au moins une avant le 30 juin de chaque année.

• Ce qu’il mesure. Le respect des 10 standards de sécurité des données du National Data Guardian. Depuis septembre 2024, les trusts du NHS, les integrated care boards et quelques autres organismes suivent une version alignée sur le Cyber Assessment Framework (CAF) du NCSC ; les autres organisations gardent la version standard.
• Les statuts. Standards Met, Standards Not Met (publié avec un plan d’amélioration), Approaching Standards (pour les organisations du social et du médico-social, et après un plan d’amélioration approuvé), et Standards Exceeded.
• La place de Cyber Essentials. Cyber Essentials Plus est facultatif pour le DSPT. Si vous l’avez, certaines questions vous sont épargnées. Hors version CAF, Standards Met avec un certificat Cyber Essentials Plus en cours donne Standards Exceeded.

QoBot prépare les preuves du DSPT de la même façon : ce que vous avez, ce qui manque, et un guide pas à pas pour chaque écart. C’est vous qui soumettez l’évaluation.

Questions fréquentes

Sources

• Cyber Essentials: overviewNCSC · les cinq contrôles, Cyber Essentials et Plus, IASME partenaire
  Page officielle
• Cyber Essentials: Requirements for IT Infrastructure v3.3NCSC · avril 2026, applicable au 27 avril 2026 · périmètre, cloud, mises à jour sous 14 jours, double authentification
  Texte officiel
• Cyber Essentials: frequently asked questionsIASME · audit Plus, validité de 12 mois, règle des 3 mois
  Page officielle
• PPN 014: Cyber Essentials SchemeGOV.UK, Cabinet Office · 17 février 2025, remplace les PPN 09/14 et 09/23
  Texte officiel
• Data Security and Protection ToolkitNHS England · qui doit le remplir, échéance du 30 juin, statuts
  Page officielle
• DSPT: changes and the Cyber Assessment FrameworkNHS England · version alignée sur le CAF depuis septembre 2024
  Page officielle
• DSPT: frequently asked questionsNHS England · Cyber Essentials Plus dans le toolkit
  Page officielle