Cyber Essentials en clair : le dispositif britannique, pas à pas
Cyber Essentials est le certificat de sécurité de base au Royaume-Uni, porté par le NCSC. Ce que demandent les cinq contrôles, la différence avec Cyber Essentials Plus, qui l'exige, et comment passer l'évaluation.
En 30 secondes
- Quoi
- Une certification soutenue par le gouvernement britannique, gérée pour le NCSC par IASME. Elle vérifie cinq contrôles techniques qui bloquent les attaques les plus courantes sur Internet.
- Deux niveaux
- Cyber Essentials : une auto-évaluation vérifiée, signée par un dirigeant et corrigée par un organisme de certification. Cyber Essentials Plus : les mêmes contrôles, testés sur vos systèmes par un évaluateur.
- Cinq contrôles
- Pare-feu, configuration sécurisée, gestion des mises à jour, contrôle des accès, protection contre les logiciels malveillants.
- Qui l'exige
- L'administration centrale britannique et le NHS, pour les marchés qui touchent des données personnelles ou des informations publiques. Des clients privés peuvent aussi l'écrire dans leurs contrats.
- Validité
- 12 mois. On renouvelle chaque année, selon les exigences en vigueur à ce moment-là.
- Version actuelle
- Exigences v3.3, applicables depuis le 27 avril 2026. Les services cloud ne peuvent plus être exclus du périmètre, et la double authentification y est toujours obligatoire.
Ce qu’est Cyber Essentials
Cyber Essentials est un dispositif de certification soutenu par le gouvernement britannique. Le NCSC, l’agence nationale de cybersécurité, fixe les exigences techniques ; IASME gère le dispositif pour lui, avec un réseau d’organismes de certification agréés.
Il porte sur cinq contrôles techniques qui protègent des attaques les plus courantes sur Internet : hameçonnage, mots de passe devinés, failles connues et non corrigées. Il ne demande ni système de management ni politiques écrites : il vérifie comment vos ordinateurs, vos comptes et vos services cloud sont configurés.
Les cinq contrôles
- Pare-feuChaque appareil connecté à Internet est derrière un pare-feu. Mots de passe admin par défaut changés, connexions entrantes bloquées sauf règle approuvée et documentée.
- Configuration sécuriséeComptes et logiciels inutiles supprimés, mots de passe par défaut changés, exécution automatique désactivée, utilisateurs authentifiés et postes verrouillés.
- Gestion des mises à jourLogiciels sous licence et supportés. Mises à jour critiques et à haut risque installées sous 14 jours.
- Contrôle des accèsDes comptes seulement pour ceux qui en ont besoin, des comptes admin séparés, la double authentification dès que possible et toujours sur les services cloud.
- Protection contre les logiciels malveillantsUn anti-malware (Windows, macOS) ou une liste d'applications autorisées, actif et à jour sur chaque appareil du périmètre.
Ce qui entre dans le périmètre
Soit toute l’informatique qui sert à faire tourner l’entreprise, soit une partie bien délimitée et gérée à part. Portables, téléphones, serveurs, équipements réseau et services cloud dans ce périmètre en font partie, y compris les appareils personnels des salariés qui accèdent aux données de l’entreprise. Depuis la version 3.3, les services cloud qui hébergent vos données ne peuvent pas être exclus.
Les règles qui font échouer. Un seul logiciel plus supporté dans le périmètre fait échouer l’évaluation : une vieille version de Windows, un routeur que le fabricant ne corrige plus. La règle des 14 jours vaut pour chaque appareil du périmètre. La double authentification est obligatoire sur chaque service cloud, y compris les petits outils auxquels quelqu’un s’est inscrit un jour.
Cyber Essentials ou Cyber Essentials Plus
Cyber Essentials
Vous répondez en ligne à un questionnaire d'auto-évaluation. Un dirigeant, ou équivalent, signe les réponses, et un organisme de certification les corrige.
- Vérifié par
- Un évaluateur relit vos réponses
- Validité
- 12 mois
Cyber Essentials Plus
La même auto-évaluation, puis un audit technique : scans de vulnérabilités internes et externes, et vérifications sur un échantillon de vos appareils.
- Vérifié par
- Un évaluateur teste vos systèmes
- Validité
- 12 mois
Le jeu de questions « Danzell » s'applique aux évaluations achetées depuis le 27 avril 2026, selon les exigences v3.3. Les évaluations commencées avant peuvent suivre la v3.2.
Qui l’exige
- L’administration centrale britannique. La Procurement Policy Note 014 (février 2025) s’applique aux ministères, à leurs agences, aux organismes publics non ministériels et aux organismes du NHS. Ils attendent Cyber Essentials ou Plus quand un fournisseur traite des données personnelles de citoyens ou d’agents, exploite une informatique qui stocke des informations publiques, ou traite des informations sur l’activité de l’État. Le fournisseur se recertifie tous les 12 mois. La note précise aussi que le dispositif ne doit pas être exigé par défaut sur tous les marchés.
- La défense. Les marchés du ministère de la Défense ont leurs propres exigences cyber, via le Defence Cyber Protection Partnership : lisez le contrat.
- Les clients privés. Certains l’écrivent dans leurs contrats ou leurs questionnaires. Demandez ce qu’ils acceptent : Cyber Essentials, Plus, ou un certificat équivalent.
Comment se passe la certification
- AvantPérimètreDécider ce qui est couvert et vérifier les cinq contrôles dessus.
- En ligneRéponsesRemplir le questionnaire ; un dirigeant le signe.
- Plus seulementTestsScans et vérification des postes par l'évaluateur.
- Chaque annéeRenouvellementSe recertifier avant la fin des 12 mois.
La durée dépend de ce qui passe déjà. Si vos mises à jour, la double authentification et les comptes admin sont en ordre, l’évaluation elle-même est courte ; remplacer les appareils non supportés est en général le plus long.
Pour les acteurs de santé britanniques : le DSPT du NHS
Le Data Security and Protection Toolkit (DSPT) est l’auto-évaluation en ligne de NHS England. Toute organisation qui accède aux données des patients et aux systèmes du NHS doit le remplir, et le contrat type du NHS en fait une obligation contractuelle. C’est une évaluation annuelle : publiez-en au moins une avant le 30 juin de chaque année.
- Ce qu’il mesure. Le respect des 10 standards de sécurité des données du National Data Guardian. Depuis septembre 2024, les trusts du NHS, les integrated care boards et quelques autres organismes suivent une version alignée sur le Cyber Assessment Framework (CAF) du NCSC ; les autres organisations gardent la version standard.
- Les statuts. Standards Met, Standards Not Met (publié avec un plan d’amélioration), Approaching Standards (pour les organisations du social et du médico-social, et après un plan d’amélioration approuvé), et Standards Exceeded.
- La place de Cyber Essentials. Cyber Essentials Plus n’est pas obligatoire pour le DSPT. Le détenir dispense de certaines questions, et hors version CAF, Standards Met avec un certificat Cyber Essentials Plus en cours donne Standards Exceeded.
QoBot prépare les preuves du DSPT de la même façon : ce que vous avez, ce qui manque, et un guide pas à pas pour chaque écart. La soumission reste la vôtre.
Obtenir Cyber Essentials : qui fait quoi
Ce que fait QoBot
- Vous aide à fixer le périmètre : toute l'organisation ou une partie gérée à part, services cloud compris.
- Passe les cinq contrôles en revue avec vous et liste ce qui ne passe pas, poste par poste.
- Prépare les réponses à l'auto-évaluation à partir de ce qui est vrai chez vous, avec la preuve de chacune.
- Rédige un guide pas à pas pour chaque correction : double authentification, mises à jour, comptes admin, règles de pare-feu.
- Vous prépare aux tests du niveau Plus et vous prévient avant l'expiration du certificat.
Ce que fait votre équipe
- Un dirigeant, ou équivalent, signe les réponses.
- Votre informaticien ou votre prestataire applique les corrections avec les guides de QoBot.
- Vous choisissez l'organisme de certification et réservez l'évaluation.
- Pour le niveau Plus, vous donnez à l'évaluateur l'accès aux postes tirés au sort.
Périmètre de Lebrun Transports : toute l'entreprise, avec Microsoft 365 et la plateforme de réservation. 3 contrôles passent, 2 sont à reprendre : 4 portables tournent sous une version de Windows plus supportée, et la double authentification est coupée sur la plateforme de réservation. Cette semaine :
- Karim (informatique): activer la double authentification sur la plateforme de réservation · guide prêt · ~30 minÀ vous
- Karim (informatique): mettre à niveau ou retirer les 4 portables non supportés · liste prête · ~2 hÀ vous
- Sophie (gérante): relire et signer les réponses de l'auto-évaluation · ~20 minVotre accord
Questions fréquentes
Quelle différence entre Cyber Essentials et Cyber Essentials Plus ?
Les deux vérifient les mêmes cinq contrôles. Pour Cyber Essentials, vous répondez à un questionnaire d'auto-évaluation, un dirigeant le signe et un organisme de certification le corrige. Pour le niveau Plus, un évaluateur teste aussi vos systèmes : scans de vulnérabilités et vérifications sur un échantillon de postes. Si votre certificat Cyber Essentials a moins de 3 mois, IASME indique que vous ne refaites pas l'auto-évaluation pour le niveau Plus.
Cyber Essentials est-il obligatoire ?
Aucune loi ne l'impose en général. Les ministères britanniques, leurs agences et les organismes du NHS l'attendent de leurs fournisseurs sur les marchés qui touchent des données personnelles ou des informations publiques (Procurement Policy Note 014). Les marchés de défense ont leurs propres exigences cyber : lisez le contrat.
Qui délivre le certificat ?
Un organisme de certification agréé par IASME, le partenaire du NCSC pour Cyber Essentials. IASME publie ses tarifs selon la taille de l'organisation ; pour le niveau Plus, l'organisme de certification vous fait un devis.
QoBot peut-il nous certifier ?
Non. Seul un organisme de certification peut délivrer Cyber Essentials ou Cyber Essentials Plus. QoBot vous prépare : périmètre, liste des écarts, corrections en guides, et projet de réponses que vous vérifiez avant de les envoyer.
Nous sommes déjà certifiés ISO 27001. Faut-il quand même Cyber Essentials ?
Si un acheteur le demande, oui : ce sont deux certificats distincts. ISO 27001 couvre un terrain bien plus large, donc l'essentiel est en général en place ; Cyber Essentials vérifie des réglages techniques précis, comme les mises à jour sous 14 jours et la double authentification sur les services cloud, que votre périmètre ISO peut ne pas couvrir. Voir ISO 27001 en clair.
Nous sommes basés dans l'UE et vendons à des acheteurs publics britanniques. Sommes-nous concernés ?
L'exigence suit le contrat, pas votre pays d'établissement. Si un acheteur public britannique ou le NHS la demande, le même dispositif et les mêmes organismes de certification s'appliquent.
Sources
- Cyber Essentials: overviewNCSC · les cinq contrôles, Cyber Essentials et Plus, IASME partenairePage officielle
- Cyber Essentials: Requirements for IT Infrastructure v3.3NCSC · avril 2026, applicable au 27 avril 2026 · périmètre, cloud, mises à jour sous 14 jours, double authentificationTexte officiel
- Cyber Essentials: frequently asked questionsIASME · audit Plus, validité de 12 mois, règle des 3 moisPage officielle
- PPN 014: Cyber Essentials SchemeGOV.UK, Cabinet Office · 17 février 2025, remplace les PPN 09/14 et 09/23Texte officiel
- Data Security and Protection ToolkitNHS England · qui doit le remplir, échéance du 30 juin, statutsPage officielle
- DSPT: changes and the Cyber Assessment FrameworkNHS England · version alignée sur le CAF depuis septembre 2024Page officielle
- DSPT: frequently asked questionsNHS England · Cyber Essentials Plus dans le toolkitPage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur