Vos questions, nos réponses

Lyyp est une plateforme qui met en relation des entreprises françaises avec des prestataires en cybersécurité dont l'existence légale, les documents administratifs et les certifications sont contrôlés.

Vous pouvez commencer par un diagnostic de maturité gratuit, qui situe votre entreprise sur neuf domaines de sécurité, ou décrire directement votre besoin à un assistant. Vous adressez ensuite une demande de devis aux prestataires de votre choix. Si vous retenez un devis, vous le signez électroniquement, puis le paiement, la facturation, le suivi de la mission et l'avis final passent par la plateforme.

Le parcours d'une entreprise se déroule en cinq temps.

1. Vous faites le diagnostic ou décrivez votre projet à l'assistant, sans avoir besoin de compte pour commencer.
2. Vous créez votre compte et choisissez les prestataires à qui adresser votre demande de devis.
3. Chaque prestataire accepte ou refuse la demande. S'il l'accepte, vos identités sont révélées et la messagerie s'ouvre.
4. Il vous envoie un devis, que vous signez électroniquement.
5. Vous payez sur la plateforme, la mission démarre, puis vous validez la livraison et pouvez laisser un avis.

Le diagnostic, la description de votre besoin, l'envoi de demandes et la réception de devis ne vous coûtent rien.

Lyyp se rémunère sur les devis payés. Des frais de service de 5 % du montant hors taxes de la prestation s'ajoutent au total que vous réglez, et une commission de 10 % du montant hors taxes est retenue sur ce que perçoit le prestataire. Ces taux sont inscrits sur le devis au moment de son émission : une évolution ultérieure des tarifs de Lyyp ne modifie pas un devis déjà émis.

Non. Lyyp s'adresse aux entreprises de toute taille dotées d'un SIRET, de la TPE au grand compte. Le catalogue comprend des missions courtes, comme un audit flash, qui permettent de commencer sans engager un grand projet.

Non. Décrire votre besoin, recevoir des devis et les comparer ne vous engage à rien. Seul le devis que vous signez vous engage, et vous restez libre de n'en retenir aucun.

Oui. L'assistant de projet est accessible sans compte : il vous pose des questions sur votre besoin, puis rédige un cahier des charges que vous relisez.

Le compte n'est demandé qu'au moment d'adresser ce cahier des charges à des prestataires. Votre brouillon, conversation comprise, est alors rattaché à votre entreprise : vous ne recommencez rien.

N'y indiquez ni coordonnées ni nom de personne : un contrôle automatique repère ce type d'information et bloque le message avant qu'il ne parte.

Non. Vous décrivez votre besoin et vous voyez le cahier des charges se construire avant qu'on vous demande quoi que ce soit. Le compte n'arrive qu'au moment d'adresser votre demande aux prestataires, là où il a une contrepartie concrète.

Chaque prestataire sollicité reçoit votre demande sous une forme anonyme : secteur, effectif, département et description du besoin, sans le nom de votre entreprise. Il l'accepte ou la refuse. Une demande reste ouverte 30 jours, après quoi elle expire.

S'il l'accepte, vos identités sont révélées de part et d'autre, la messagerie s'ouvre et il peut vous adresser un devis, valable 30 jours. Vous n'êtes engagé à rien tant que vous n'avez pas signé : vous pouvez ne donner suite à aucun devis.

Vous relisez le cahier des charges, vous choisissez les prestataires à qui l'adresser, puis vous recevez leurs devis. Vous n'êtes engagé à rien : vous pouvez ne donner suite à aucun. Si vous en retenez un, le contrat est signé électroniquement et le paiement passe par la plateforme.

Tant qu'une demande de devis est en attente, le prestataire voit votre entreprise sous une forme anonyme, du type « Entreprise, secteur, effectif, département ». De votre côté, vous voyez le prestataire sous un intitulé anonymisé.

La raison sociale et les coordonnées de chaque partie ne sont révélées qu'au moment où le prestataire accepte la demande. La règle est la même dans les deux sens. Si le prestataire refuse la demande, ou si elle expire, aucune identité n'est dévoilée.

Oui, par la messagerie intégrée, dès que le prestataire a accepté votre demande de devis. Avant cette acceptation, la conversation n'est pas disponible, ce qui préserve l'anonymat des deux parties.

La messagerie sert à préciser le besoin, le périmètre ou le calendrier avant la rédaction du devis. C'est le prestataire qui fixe ensuite le contenu du devis et son échéancier de paiement : les ajustements se discutent donc en amont, dans la conversation.

Parce qu'ils répondent tous au même cahier des charges et suivent la même structure : mêmes rubriques, mêmes taux de frais et de commission fixés à l'avance. Vous comparez des prestations, pas des mises en page.

Comptez moins de quinze minutes pour le questionnaire complet : 52 questions réparties sur neuf domaines, de la gouvernance aux sauvegardes en passant par la gestion des incidents.

Vous pouvez aussi commencer par un pré-diagnostic en quatre questions, qui désigne les domaines prioritaires pour votre entreprise et vous permet de n'évaluer qu'eux dans un premier temps. Vos réponses sont enregistrées dans votre navigateur au fil du questionnaire : vous pouvez le reprendre plus tard depuis le même appareil.

Non. Si vous savez déjà ce qu'il vous faut, décrivez directement votre besoin : l'assistant en tire un cahier des charges que vous relisez avant de l'adresser aux prestataires. Le diagnostic sert quand vous cherchez d'abord à situer votre entreprise et à décider par où commencer.

Avant le questionnaire complet, quatre questions fermées portent sur votre secteur, votre effectif, la façon dont votre informatique est gérée et les situations qui exposent votre entreprise. Un champ libre facultatif vous permet d'ajouter votre préoccupation principale.

À partir de ces réponses, Lyyp classe les neuf domaines et vous recommande d'évaluer d'abord les trois plus prioritaires, avec la raison de chaque choix. Le classement suit des règles fixes. Seul le champ libre, s'il est rempli, est analysé par un modèle d'intelligence artificielle pour en déduire des domaines.

Oui. Le questionnaire est accessible sans inscription. À la fin, un aperçu affiche votre score global, votre domaine le plus faible et le nombre de domaines notés sous 50 sur 100.

Le détail par domaine, les recommandations, le rapport PDF et les prestataires recommandés sont réservés aux comptes. Si vous vous inscrivez ensuite, vos réponses sont rattachées à votre entreprise et le score est calculé avec le même barème : vous n'avez pas à refaire le questionnaire.

Le diagnostic est une auto-évaluation : il mesure ce que vous déclarez, pas l'état réel de vos systèmes, et ne remplace ni un audit ni un test d'intrusion. Il sert à situer votre entreprise et à choisir par où commencer.

Le barème est identique pour tous : avec ou sans compte, les mêmes réponses donnent le même score. Si une question ne s'applique pas à votre contexte, répondez « Non concerné » : elle est alors exclue du calcul au lieu de pénaliser votre score.

Vous obtenez un score global sur 100, un score par domaine et un niveau de maturité parmi cinq paliers : Initial, Basique, Géré, Avancé et Optimisé. Des recommandations accompagnent les domaines à renforcer.

Depuis les résultats, vous pouvez télécharger le rapport complet en PDF, créer un lien de partage, transformer vos priorités en projet et consulter, pour chaque domaine, jusqu'à trois prestataires recommandés parmi ceux qui proposent les prestations correspondantes.

À l'issue du diagnostic, votre entreprise reçoit un niveau de maturité cyber : Initial, Basique, Géré, Avancé ou Optimisé. Vous êtes prévenu lorsqu'un nouveau diagnostic vous fait passer au niveau supérieur.

Le badge dispose d'une page publique, accessible par un lien propre à votre entreprise, qui affiche le niveau et le score sur 100 sans le nom de l'entreprise. Cette page n'est pas indexée par les moteurs de recherche. Vous pouvez la montrer à un client ou à un partenaire sans exposer le détail de vos résultats.

Depuis vos résultats, vous créez un lien de partage vers une version du rapport PDF conçue pour être transmise, par exemple à un assureur, une banque ou un grand compte. Vous choisissez sa durée de validité : 7, 30 ou 90 jours.

Cette version ne contient ni le nom de votre entreprise ni le détail de vos failles. Vous pouvez révoquer le lien à tout moment. Une fois expiré ou révoqué, il ne donne plus accès au document.

Des demandes d'entreprises dont le SIRET a été vérifié, rattachées à un projet : besoin, contexte, budget et délai, recueillis par des questions de cadrage ou issus d'un diagnostic de maturité. Tant que vous n'avez pas accepté, l'entreprise reste anonyme : vous voyez son secteur, son effectif et son département.

Non. Chaque demande s'accepte ou se décline, sans pénalité. Une demande sans réponse expire d'elle-même, sans que votre identité soit dévoilée.

Non. Les clients que vous aviez avant Lyyp restent les vôtres. Lyyp intervient sur les missions nées d'une mise en relation sur la plateforme, dans les conditions prévues par les conditions générales.

Aucun. Pas d'abonnement, pas d'exclusivité, pas de durée minimale : vous restez libre de travailler ailleurs, et vous pouvez fermer votre compte une fois vos missions en cours terminées.

Le compte se crée en quelques minutes. Pour compléter votre dossier, préparez un extrait Kbis de moins de trois mois, votre attestation de vigilance URSSAF et votre attestation d'assurance responsabilité civile professionnelle. Votre profil apparaît dans la recherche une fois le dossier validé par l'équipe Lyyp.

Oui. Lyyp accueille aussi bien les indépendants que les cabinets spécialisés, dès lors que l'entreprise a un SIRET actif et une assurance responsabilité civile professionnelle.

Plusieurs contrôles se cumulent. Le numéro SIRET est vérifié dans le répertoire SIRENE de l'INSEE, et un établissement fermé est refusé. Les données légales sont recoupées via Pappers : une entreprise radiée est écartée et le représentant légal est identifié.

Le prestataire dépose un extrait Kbis de moins de trois mois, une attestation de vigilance URSSAF et une attestation d'assurance responsabilité civile professionnelle, examinés par l'équipe Lyyp. Ses certifications sont justifiées par document et datées, et ses qualifications ANSSI sont confrontées à la liste publiée par l'agence. Tant que ce dossier n'est pas validé, il ne peut recevoir aucun paiement.

Le Trust Score est un indice de confiance de 0 à 100 affiché sur la fiche de chaque prestataire. Il combine quatre familles de critères : la réputation et les avis (30 points), les certifications (40 points), l'expérience et l'activité sur la plateforme (20 points), et la fiabilité administrative (10 points).

Il est recalculé lorsque ces éléments évoluent, par exemple à la publication d'un avis ou à l'expiration d'une certification. Des paliers en découlent : Vérifié à partir de 40, Expert de confiance à partir de 55, Spécialiste certifié à partir de 70 et Élite à partir de 85.

Seule l'entreprise qui a confié une mission au prestataire via Lyyp peut le noter, une fois la mission terminée, et une seule fois par mission. Pour un abonnement, qui n'a pas de date de fin, un avis est possible une fois par trimestre dès qu'une première échéance a été facturée.

L'avis comporte une note globale, quatre notes détaillées (qualité, communication, respect des délais, rapport qualité-prix) et un commentaire. Le prestataire peut y apporter une réponse, une seule fois.

Existence légale contrôlée auprès des registres officiels, dirigeant identifié, justificatifs de certification demandés et datés (PASSI, ISO 27001, ExpertCyber). Chaque profil porte un Trust Score qui tient compte de sa réputation, de ses certifications, des missions livrées et de son dossier administratif.

Votre profil n'apparaît dans la recherche qu'une fois votre compte validé et actif. Complétez pour cela votre dossier : documents légaux, prestations proposées et certifications.

Les entreprises vous trouvent par la recherche de prestataires, par les recommandations associées aux résultats de leur diagnostic ou dans la sélection proposée pour leur projet. Chaque demande vous arrive sous forme anonyme et vous l'acceptez ou la refusez. Avant d'envoyer un devis, vous devez avoir accepté le mandat de facturation, qui permet à Lyyp d'émettre les factures de prestation en votre nom.

Pour un devis en paiement intégral, l'entreprise règle la totalité à la signature. Vous recevez 30 % du montant au démarrage de la mission, puis 70 % après sa validation. Si l'entreprise ne réagit pas, la mission est validée automatiquement 14 jours après que vous l'avez déclarée terminée.

En paiement fractionné, chaque tranche est encaissée avant la phase qu'elle finance et vous est versée à ce moment. En abonnement, chaque échéance encaissée donne lieu à son versement. Dans tous les cas, la commission de Lyyp est déduite, et votre compte Stripe ainsi que votre dossier de vérification doivent être validés.

L'inscription et le profil sont gratuits, sans abonnement ni crédits à acheter. Lyyp prélève une commission sur le montant HT de chaque mission réalisée ; son taux est fixé au moment du devis et ne change plus ensuite. Les frais de service de la plateforme sont facturés au client, en plus de votre devis.

Pour un devis en paiement intégral, vous réglez la totalité après avoir signé le devis. Les fonds sont conservés par la plateforme et versés au prestataire en deux fois : 30 % au démarrage de la mission, puis 70 % après votre validation de la livraison.

Quand le prestataire déclare la mission terminée, vous disposez de 14 jours pour la valider ou ouvrir un litige, et vous recevez des rappels pendant ce délai. Sans action de votre part, la mission est validée automatiquement et le solde est versé au prestataire.

Cela dépend du mode de paiement indiqué sur le devis. Les paiements sont traités par Stripe.

Paiement intégral : carte bancaire ou virement. Pour un virement, un IBAN dédié vous est communiqué. Le montant doit correspondre au centime près ; en cas d'écart, le paiement est mis en attente et vérifié par l'équipe Lyyp.

Paiement fractionné et abonnement : carte bancaire ou prélèvement SEPA, car les échéances suivantes sont prélevées sur le même moyen de paiement. Un prélèvement SEPA est plafonné à 10 000 € TTC par échéance.

Le paiement fractionné est possible pour les devis d'au moins 10 000 € TTC. Le prestataire découpe sa prestation en phases, chacune d'au moins 2 500 € TTC, et l'échéancier figure dans le devis que vous signez.

La première tranche est encaissée à la signature. Chaque tranche suivante n'est prélevée qu'après votre validation de la phase précédente : vous ne financez pas une nouvelle phase tant que la précédente n'est pas validée, et le prestataire ne travaille pas sur une phase non financée. Chaque tranche donne lieu à ses propres factures.

Pour une prestation continue, comme la surveillance de votre système d'information par un centre de supervision (SOC) ou un responsable sécurité externalisé, le prestataire peut émettre un devis en abonnement, facturé chaque mois, chaque trimestre ou chaque année, sans date de fin.

Il fixe la durée d'engagement, 36 échéances au maximum, et le préavis de résiliation, 90 jours au maximum. Ces conditions figurent dans le devis que vous signez. Chaque échéance est payée par carte ou prélèvement SEPA et donne lieu à ses factures. Un abonnement ne se termine pas de lui-même : il se résilie.

Rien pour décrire un besoin, recevoir des devis et les comparer. Lyyp se rémunère au moment où une mission est effectivement confiée, par une commission prélevée au prestataire et des frais de service de 5 % HT côté entreprise, indiqués sur le devis avant que vous ne l'acceptiez.

Le devis que vous acceptez devient un contrat. Lyyp génère le document PDF, qui reproduit en annexe les conditions générales de vente du prestataire dans la version en vigueur à l'envoi du devis et, en paiement fractionné, l'échéancier.

Vous le signez électroniquement via Yousign, à partir d'un lien reçu par email. L'engagement du prestataire est enregistré au moment où il envoie le devis, avec une empreinte numérique du document qui permet d'en prouver l'intégrité. Le paiement n'est possible qu'une fois la signature confirmée.

Quand une mission payée en une fois est terminée, trois factures sont émises. Vous en recevez deux : la facture de la prestation, établie au nom du prestataire par Lyyp grâce au mandat de facturation qu'il lui a donné, et la facture des frais de service de Lyyp. La troisième, la facture de commission, est adressée au prestataire.

En paiement fractionné et en abonnement, ces factures sont émises pour chaque tranche ou chaque échéance encaissée, car chaque somme payée doit donner lieu à sa facture.

Tant que la mission est en cours, en attente de votre validation ou suspendue, vous pouvez ouvrir un litige depuis sa page en expliquant le problème. La mission passe en litige, le montant en jeu correspond aux sommes pas encore versées au prestataire, et l'équipe Lyyp revient vers vous sous 48 heures.

Le litige se conclut en faveur du prestataire, en faveur de votre entreprise ou par un compromis. Un remboursement prend la forme d'un avoir, valable 12 mois et remboursable sur votre compte bancaire, dont sont déduits des frais de dossier de 90 €.

Vous pouvez activer la double authentification dans vos paramètres de sécurité : à la connexion, un code temporaire généré par une application d'authentification vous est demandé en plus de votre accès habituel.

Les paiements par carte sont saisis sur la page de paiement de Stripe, pas sur Lyyp. Pour un virement, vous recevez un IBAN dédié à votre compte client. Vous pouvez à tout moment exporter les données de votre compte ou en demander la suppression depuis vos paramètres.

Seuls les prestataires à qui vous adressez une demande de devis voient votre besoin, présenté avec votre secteur, votre effectif et votre département. Votre raison sociale et vos coordonnées ne leur sont communiquées que s'ils acceptent la demande.

Les prestataires que vous n'avez pas sollicités ne voient pas votre demande. La politique de confidentialité de Lyyp détaille les prestataires techniques, comme l'hébergeur ou le service d'envoi d'emails, qui traitent vos données pour faire fonctionner la plateforme.

Non. Le détail de vos réponses et vos scores par domaine restent dans votre espace. Un prestataire sollicité reçoit la description de votre besoin ; sur le devis qu'il prépare, il peut voir votre score global de maturité sur 100, mais jamais vos réponses question par question.

Vos résultats ne sortent de votre espace que si vous le décidez : en créant un lien de partage vers la version transmissible du rapport, sans nom d'entreprise ni détail des failles, ou en téléchargeant vous-même le PDF complet.

Jamais avant que vous et le prestataire soyez d'accord pour travailler ensemble. Tant qu'une demande n'est pas acceptée des deux côtés, chacun reste anonyme : le prestataire voit votre besoin, pas votre nom. L'identité n'est révélée qu'à l'acceptation, de façon symétrique.

Lyyp utilise les modèles de Mistral AI pour l'assistant de projet, l'analyse du champ libre du pré-diagnostic et la recherche en langage naturel. Pour associer un besoin à des prestations, seul le catalogue de services est transmis, jamais les informations de votre entreprise, et les profils de recherche sont anonymisés avant envoi.

Les textes que vous rédigez passent par un double contrôle : un détecteur local repère les coordonnées et l'identité de votre entreprise, puis un filtre de modération repère les noms de personnes et les adresses. Si un tel élément est détecté, le message est bloqué et vous êtes invité à le retirer.

Un rançongiciel chiffre vos fichiers et exige une rançon pour les débloquer. Les premiers réflexes recommandés par Cybermalveillance.gouv.fr :

1. Coupez l'accès à Internet et isolez les machines touchées du réseau, sans les éteindre : leur mémoire contient des éléments utiles à l'enquête.
2. Ne payez pas la rançon : rien ne garantit la récupération de vos données.
3. Conservez les preuves (message de rançon, journaux, fichiers chiffrés) et portez plainte avant toute réinstallation.
4. Si des données personnelles sont touchées, notifiez la CNIL sous 72 heures.
5. Réinstallez ensuite à partir de sauvegardes saines et changez tous les mots de passe.

Une entreprise porte plainte dans un commissariat de police ou une brigade de gendarmerie, ou par courrier adressé au procureur de la République du tribunal judiciaire compétent. Le service de plainte en ligne THESEE est réservé aux particuliers : un professionnel doit se déplacer.

Apportez les preuves conservées : messages reçus, captures d'écran, journaux de connexion, références des virements. La plainte est aussi une condition d'indemnisation par votre assurance cyber, à déposer au plus tard 72 heures après avoir eu connaissance de l'attaque.

17Cyber est le guichet public d'assistance aux victimes de cybermalveillance, lancé le 17 décembre 2024 par le ministère de l'Intérieur, la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Il est accessible 24 heures sur 24, 7 jours sur 7, aux entreprises comme aux particuliers, associations et collectivités.

Un questionnaire vous oriente vers les bons conseils selon votre situation. Si l'atteinte est grave, vous pouvez échanger par tchat avec un policier ou un gendarme, et être mis en relation avec des prestataires référencés.

Oui, dès lors que la violation présente un risque pour les droits et libertés des personnes concernées. Le RGPD (article 33) impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Une notification en deux temps est admise si l'enquête est en cours, mais tout retard doit être justifié.

En cas de risque élevé, vous devez aussi informer les personnes concernées (article 34). Dans tous les cas, même sans notification, chaque violation doit être documentée en interne.

Oui. Depuis le 24 avril 2023, l'article L12-10-1 du code des assurances subordonne l'indemnisation des pertes et dommages causés par une cyberattaque au dépôt d'une plainte de la victime au plus tard 72 heures après qu'elle a eu connaissance de l'atteinte.

Cette règle, issue de la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur, s'applique aux personnes morales et aux professionnels. En cas d'attaque, portez donc plainte rapidement, sans attendre la fin de l'analyse technique.

La fraude consiste à usurper l'identité d'un fournisseur, d'un créancier ou d'un dirigeant (« arnaque au président ») pour obtenir un virement vers un compte frauduleux. Si cela vous arrive :

1. Contactez immédiatement votre banque pour demander le retour des fonds, et faites suspendre tout virement pas encore exécuté.
2. Prévenez l'entreprise dont l'identité a été usurpée.
3. Conservez les preuves, vérifiez les règles de redirection de votre messagerie et changez son mot de passe.
4. Portez plainte.

Pour prévenir ce risque, confirmez tout changement de RIB en appelant votre interlocuteur habituel à un numéro que vous connaissez déjà.

L'hameçonnage (phishing) est un message frauduleux qui imite un expéditeur de confiance pour dérober des identifiants ou des coordonnées bancaires.

Si un mot de passe a été saisi, changez-le au plus vite, ainsi que partout où il était réutilisé. Si des coordonnées bancaires ont été communiquées, faites opposition immédiatement. Conservez les preuves et portez plainte si un préjudice est constaté.

Signalez les courriels frauduleux sur Signal Spam, les SMS au 33700 et les faux sites sur Phishing Initiative.

La directive européenne (UE) 2022/2555, dite NIS2, élargit fortement le nombre d'entités tenues de sécuriser leurs systèmes. Deux conditions se cumulent en principe.

Le secteur : ceux listés dans ses annexes, comme l'énergie, les transports, la santé, la banque et les infrastructures numériques, mais aussi les services postaux, la gestion des déchets, l'alimentation, certaines industries manufacturières ou les fournisseurs numériques.

La taille : au moins une entreprise moyenne, soit à partir de 50 salariés ou au-delà de 10 millions d'euros de chiffre d'affaires et de bilan annuels. Certaines entités sont visées quelle que soit leur taille. Le simulateur de l'ANSSI sur MonEspaceNIS2 vous donne une première réponse.

Les États membres devaient transposer la directive au plus tard le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis examiné par une commission spéciale de l'Assemblée nationale en septembre 2025.

Au 13 septembre 2026, le texte n'a pas été définitivement adopté par le Parlement : les obligations de NIS2 ne sont donc pas encore applicables en droit français. L'ANSSI met toutefois à disposition, sur MonEspaceNIS2, un simulateur et son référentiel de mesures ReCyF.

L'article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque : par exemple le chiffrement, la garantie de la confidentialité et de la disponibilité des systèmes, la capacité à rétablir les données après un incident et des tests réguliers de ces mesures.

Un manquement à ces obligations peut être sanctionné d'une amende allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour vous organiser, la CNIL publie un guide de la sécurité des données personnelles, dont la dernière édition date de mars 2024.

Les sauvegardes sont votre dernier recours face à un rançongiciel ou une panne. La CNIL recommande la règle dite « 3-2-1 » : trois copies des données, sur deux supports différents, dont une hors ligne.

Isolez au moins une sauvegarde du réseau et stockez-en une sur un site géographiquement distinct. Chiffrez-les. Surtout, testez régulièrement la restauration : une sauvegarde jamais restaurée n'est pas une garantie. Cybermalveillance.gouv.fr conseille aussi de débrancher le support externe après chaque sauvegarde.

La CNIL recommande, pour un mot de passe utilisé seul, par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou une phrase de passe d'au moins 7 mots. Imposer un renouvellement périodique n'est plus recommandé pour les utilisateurs courants, seulement pour les comptes d'administration.

La double authentification, qui ajoute un code ou une validation sur un second appareil, est recommandée par la CNIL notamment pour l'accès à la messagerie professionnelle, les connexions à distance au système d'information et les comptes d'administration.

ExpertCyber est un label créé en 2021 par Cybermalveillance.gouv.fr avec les organisations professionnelles du numérique, France Assureurs et l'AFNOR. Il reconnaît l'expertise d'un professionnel en sécurisation, maintenance et assistance en cas d'incident, après un audit, et vaut deux ans.

PASSI signifie « prestataire d'audit de la sécurité des systèmes d'information ». C'est une qualification délivrée par l'ANSSI selon un référentiel d'exigences. Il en existe d'autres pour la réponse aux incidents (PRIS) et la détection des incidents (PDIS). Sur Lyyp, ces qualifications ANSSI sont confrontées à la liste publiée par l'agence.

Oui. Le dispositif MonAideCyber de l'ANSSI propose un diagnostic gratuit d'environ une heure trente, mené par un « aidant cyber » bénévole, pour les organisations publiques et privées qui débutent en cybersécurité. Il se conclut par six recommandations. Les entreprises unipersonnelles n'y sont pas éligibles.

En cas d'incident, les centres régionaux de réponse aux incidents (CSIRT territoriaux) assurent une première assistance aux PME, ETI, collectivités et associations. Cybermalveillance.gouv.fr permet aussi de trouver des professionnels référencés ou labellisés ExpertCyber.