Label ExpertCyber : guide pour l'obtenir en 2026

En avril 2026, l’annuaire de Cybermalveillance.gouv.fr référence environ 300 prestataires labellisés ExpertCyber sur l’ensemble du territoire français. Rapporté aux dizaines de milliers d’ESN, de MSP et d’intégrateurs qui opèrent en France, le ratio est infime. Et pourtant, les PME qui cherchent un prestataire de confiance se tournent vers cet annuaire en priorité.

Pour un prestataire de services informatiques, le label ExpertCyber représente un levier commercial concret : il donne accès à un canal de prospection gratuit (l’annuaire officiel), il rassure les clients sur les compétences réelles du prestataire, et il répond à une exigence croissante des appels d’offres publics et privés. Pour les PME clientes, c’est un filtre de confiance dans un marché opaque.

Ce guide couvre le processus complet : ce qu’est le label ExpertCyber, qui le délivre, comment l’obtenir étape par étape, combien ça coûte, combien de temps ça prend, et ce que ça change concrètement en termes de business. Il couvre aussi le label France Cybersecurity, un second dispositif complémentaire, et explique les différences avec la certification ISO 27001 pour que chaque acteur puisse choisir la démarche adaptée à sa situation.

Le label ExpertCyber : ce qu’il faut savoir

Qui porte le label et pourquoi

Le label ExpertCyber est une initiative de Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance. Lancé en 2021, il vise à répondre à un problème concret : les PME, les associations et les collectivités territoriales qui subissent un incident cyber ne savent pas vers quel prestataire se tourner. Le marché est saturé d’offres autoproclamées « experts cybersécurité », sans aucun mécanisme de vérification indépendant.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information), le Ministère de l’Intérieur et le Ministère de l’Économie soutiennent ce dispositif. La certification est assurée par AFNOR Certification, organisme certificateur accrédité, ce qui garantit l’indépendance et la rigueur de l’évaluation.

À qui s’adresse le label

Le label ExpertCyber est réservé aux prestataires de services informatiques : ESN (entreprises de services numériques), MSP (managed service providers), intégrateurs, cabinets de conseil IT, revendeurs de solutions de sécurité. Ce n’est pas un label qui certifie le niveau de sécurité d’une entreprise pour elle-même — c’est une reconnaissance de la capacité du prestataire à accompagner ses clients sur les sujets cyber.

Concrètement, le prestataire doit démontrer son expertise dans au moins l’un des trois domaines suivants :

Systèmes d’information : administration, sécurisation et maintenance des réseaux, serveurs, postes de travail
Sites internet : sécurisation, maintenance et remédiation de sites web et d’applications en ligne
Messagerie et téléphonie : sécurisation des canaux de communication, protection contre le phishing et le spam

Un prestataire peut être labellisé sur un seul domaine ou sur les trois. La couverture est précisée sur la fiche du prestataire dans l’annuaire officiel.

Ce que le label garantit

Le label ExpertCyber atteste que le prestataire satisfait à un référentiel d’exigences couvrant :

Les compétences techniques : le prestataire démontre sa capacité à diagnostiquer, sécuriser et remédier aux incidents cyber dans son ou ses domaines d’expertise
Les pratiques de conseil : le prestataire fournit à ses clients des recommandations conformes aux bonnes pratiques de l’ANSSI (notamment le guide d’hygiène informatique, disponible sur cyber.gouv.fr)
La sensibilisation : le prestataire est capable de sensibiliser les collaborateurs de ses clients aux risques numériques — phishing, mots de passe, ingénierie sociale
La transparence : le prestataire s’engage sur un cadre contractuel clair, avec une obligation de conseil et d’information

Le label est délivré pour une durée de deux ans, renouvelable. Le renouvellement implique un nouvel audit pour vérifier que les compétences et les pratiques restent conformes.

Obtenir le label ExpertCyber : le processus étape par étape

Étape 1 — Vérifier son éligibilité

Avant de lancer la démarche, le prestataire doit vérifier qu’il remplit les conditions préalables :

Être une entreprise de services informatiques enregistrée en France (SIRET actif)
Exercer une activité de prestation de services dans au moins l’un des trois domaines couverts par le label
Disposer de références clients vérifiables en cybersécurité
Avoir au minimum un collaborateur affecté aux sujets de cybersécurité (pas nécessairement à temps plein, mais identifiable)
Être en conformité avec les obligations légales (assurance RC Pro, RGPD, etc.)

Si l’entreprise est une startup récente sans références clients, le label sera difficile à obtenir. Le référentiel exige des preuves concrètes d’activité, pas des déclarations d’intention.

Étape 2 — Constituer le dossier de candidature

Le dossier de candidature se dépose en ligne sur la plateforme de Cybermalveillance.gouv.fr. Il comprend :

Les informations administratives : raison sociale, SIRET, coordonnées, périmètre d’activité
Les domaines d’expertise visés : systèmes d’information, sites internet, messagerie/téléphonie — un, deux ou les trois
Les références clients : liste de clients accompagnés en cybersécurité, avec description des missions réalisées
Les compétences de l’équipe : CV et certifications des collaborateurs intervenant sur les missions cyber (CISSP, CEH, CompTIA Security+, certifications ANSSI, etc.)
Les pratiques documentées : processus de gestion des incidents, méthodologie d’audit ou de diagnostic, pratiques de sensibilisation proposées aux clients
Les engagements contractuels : modèle de contrat ou conditions générales montrant l’obligation de conseil et de transparence

Le conseil le plus pratique : ne sous-estimez pas la partie « sensibilisation ». Le comité de labellisation vérifie que le prestataire ne se limite pas à des interventions techniques, mais propose aussi à ses clients des actions concrètes de formation et de sensibilisation. Un prestataire qui inclut dans son offre un programme de simulation de phishing documenté et mesurable marque des points.

Étape 3 — L’audit AFNOR Certification

Une fois le dossier validé par Cybermalveillance.gouv.fr, le prestataire passe un audit conduit par AFNOR Certification. L’audit comporte :

Un examen documentaire : vérification des pièces du dossier, cohérence entre les compétences déclarées et les références fournies
Un entretien technique : échange approfondi avec le ou les experts cyber du prestataire pour évaluer la maîtrise réelle des sujets (configurations, bonnes pratiques, méthodologies de remédiation)
Une vérification des pratiques : l’auditeur examine comment le prestataire traite concrètement les demandes de ses clients — processus d’intervention, documentation, suivi

L’audit n’est pas un examen théorique. L’auditeur cherche des preuves tangibles : rapports d’intervention, traces de diagnostic, échanges documentés avec les clients, supports de sensibilisation utilisés. Un prestataire qui « fait de la cybersécurité » sans rien formaliser aura du mal à satisfaire les critères.

Étape 4 — Décision du comité de labellisation

Le comité de labellisation, composé de représentants de Cybermalveillance.gouv.fr et d’experts du domaine, examine le dossier et le rapport d’audit. Trois issues possibles :

Labellisation accordée : le prestataire reçoit le label pour deux ans et apparaît dans l’annuaire officiel
Labellisation différée : le comité demande des compléments ou des corrections avant de statuer. Le prestataire dispose d’un délai pour compléter son dossier
Labellisation refusée : le prestataire ne remplit pas les critères. Il peut redéposer une candidature ultérieurement, après avoir corrigé les points bloquants

Étape 5 — Apparition dans l’annuaire officiel

Une fois labellisé, le prestataire est référencé dans l’annuaire de Cybermalveillance.gouv.fr, consultable par toutes les PME, associations et collectivités du territoire. L’annuaire est filtrable par localisation géographique (département, région) et par domaine d’expertise. C’est un canal de visibilité gratuit et qualifié : les entreprises qui consultent cet annuaire cherchent activement un prestataire de confiance.

Coûts et délais

Poste	Estimation
Préparation interne (constitution du dossier, formalisation des processus)	1 à 3 mois
Frais de dossier Cybermalveillance.gouv.fr	Quelques centaines d’euros
Audit AFNOR Certification	1 000 à 3 000 € selon la taille et le périmètre
Délai entre dépôt et décision	2 à 4 mois
Durée de validité	2 ans
Renouvellement	60 à 70 % du coût initial

Pour un prestataire de 10 à 50 personnes, le budget global (frais + temps interne) se situe entre 2 000 et 5 000 euros. Rapporté à la valeur commerciale du label (accès à l’annuaire, différenciation dans les appels d’offres, réassurance des clients), le retour sur investissement est rapide — souvent un ou deux contrats gagnés grâce à la labellisation suffisent à amortir l’investissement.

Le label France Cybersecurity : l’autre label à connaître

Un label pour les produits et services de cybersécurité

Le label France Cybersecurity est délivré par l’Alliance pour la Confiance Numérique (ACN), une organisation professionnelle qui fédère les acteurs français de la cybersécurité et de la confiance numérique. Contrairement au label ExpertCyber qui certifie les compétences d’un prestataire, le label France Cybersecurity certifie la qualité d’un produit ou d’un service de cybersécurité.

Le label s’adresse aux éditeurs de logiciels, aux fournisseurs de services managés de sécurité (SOC, SIEM, MDR) et aux prestataires proposant des solutions de cybersécurité commercialisées en France. Un outil de simulation de phishing, une solution de filtrage d’emails, un service de SOC managé : ces solutions peuvent obtenir le label France Cybersecurity.

Le processus de labellisation

Le processus est structuré autour d’un jury d’experts indépendants réuni par l’ACN. Le candidat soumet un dossier décrivant la solution, ses fonctionnalités, sa valeur ajoutée, ses références clients et ses certifications existantes (le cas échéant). Le jury évalue la solution sur plusieurs axes :

La maturité technique : la solution répond-elle à un vrai besoin de sécurité avec une approche technique solide ?
L’ancrage français : la solution est-elle développée et opérée en France, avec un hébergement des données sur le territoire ?
Les références : des clients vérifiables utilisent-ils la solution en production ?
La pérennité de l’éditeur : la structure est-elle viable financièrement et capable d’assurer le support dans la durée ?

Le label est délivré pour trois ans, renouvelable. Il offre une visibilité nationale auprès des acheteurs publics et privés qui cherchent des solutions de cybersécurité françaises.

ExpertCyber vs France Cybersecurity : tableau comparatif

Critère	Label ExpertCyber	Label France Cybersecurity
Délivré par	Cybermalveillance.gouv.fr (audit AFNOR)	Alliance pour la Confiance Numérique (ACN)
Objet certifié	Compétences d’un prestataire IT	Qualité d’un produit ou service cyber
Public cible	ESN, MSP, intégrateurs, cabinets IT	Éditeurs, fournisseurs de services de sécurité
Durée de validité	2 ans	3 ans
Annuaire public	Oui (cybermalveillance.gouv.fr)	Oui (france-cybersecurity.fr)
Reconnaissance ANSSI	Soutien institutionnel	Reconnaissance du marché
Coût estimé	2 000 – 5 000 €	Variable, dépend du dossier

Un prestataire peut viser les deux labels : ExpertCyber pour certifier ses compétences d’accompagnement, et France Cybersecurity pour certifier une solution qu’il développe ou qu’il distribue. Les deux démarches sont indépendantes.

Labels vs ISO 27001 : comprendre les différences

La question revient souvent : « Faut-il viser le label ExpertCyber ou la certification ISO 27001 ? » La réponse courte : ce ne sont pas des dispositifs comparables. Ils répondent à des objectifs distincts.

Ce que certifie ISO 27001

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information (SMSI) conforme à la norme internationale. Elle porte sur les processus internes de l’organisation : politique de sécurité, gestion des risques, contrôles d’accès, gestion des incidents, continuité d’activité, sensibilisation des collaborateurs.

ISO 27001 est une norme internationale, reconnue dans tous les pays et dans tous les secteurs. Elle est exigée par un nombre croissant de donneurs d’ordre, en particulier dans les secteurs réglementés (finance, santé, énergie). Son périmètre est large : elle couvre l’ensemble du management de la sécurité, pas uniquement les compétences techniques.

Trois dispositifs, trois objectifs

Dimension	Label ExpertCyber	Label France Cybersecurity	ISO 27001
Ce qui est certifié	Compétences du prestataire	Qualité du produit/service	Système de management de la sécurité
Périmètre	Accompagnement des clients	Solution commercialisée	Processus internes de l’organisation
Norme de référence	Référentiel Cybermalveillance.gouv.fr	Critères ACN	Norme ISO/IEC 27001:2022
Auditeur	AFNOR Certification	Jury ACN	Organisme accrédité COFRAC
Reconnaissance	France	France	Internationale
Durée	2 ans	3 ans	3 ans (avec audits de surveillance annuels)
Coût	2 000 – 5 000 €	Variable	10 000 – 50 000 € (selon la taille)
Charge de travail	2 à 4 mois	Variable	6 à 18 mois

Quelle démarche choisir

La question n’est pas « l’un ou l’autre » mais « lequel en premier, et pourquoi » :

Si vous êtes un prestataire IT qui accompagne des PME → Le label ExpertCyber est la première étape logique. Il est rapide à obtenir, peu coûteux, et il génère de la visibilité commerciale immédiate via l’annuaire officiel. ISO 27001 viendra ensuite si vos clients grands comptes ou vos marchés réglementés l’exigent.

Si vous êtes un éditeur de solution de cybersécurité → Le label France Cybersecurity valide votre produit sur le marché français. ISO 27001 structure vos pratiques internes, et les deux combinés renforcent votre crédibilité face aux acheteurs publics qui exigent des solutions souveraines.

Si vous êtes une PME cliente (pas un prestataire) → Vous ne visez pas le label ExpertCyber (il est réservé aux prestataires). En revanche, si votre secteur est soumis à NIS2, vos obligations réglementaires peuvent imposer de travailler avec des prestataires labellisés et de structurer votre propre SMSI — ce qui mène naturellement vers ISO 27001.

Pour évaluer un prestataire dans le cadre d’un appel d’offres, le cahier des charges anti-phishing fournit une grille de critères, incluant la vérification des labels et certifications.

Préparer sa candidature : guide pratique pour les prestataires

Les 6 chantiers de préparation

Voici les six axes de travail pour maximiser les chances de labellisation dès la première candidature :

1. Formaliser ses processus d’intervention

Documentez vos méthodologies : comment vous réalisez un diagnostic de sécurité, comment vous traitez un incident, comment vous sécurisez une infrastructure. Le comité veut voir des processus écrits, pas des « on fait au cas par cas ». Un prestataire qui sait répondre à un questionnaire de sécurité de manière structurée est un prestataire qui a documenté ses processus.

2. Constituer un portefeuille de références solides

Rassemblez 5 à 10 missions récentes en cybersécurité, avec les livrables associés : rapports de diagnostic, plans de remédiation, comptes rendus de formation. Si vos missions sont essentiellement techniques (installation de firewalls, migration vers le cloud), montrez que vous intégrez systématiquement un volet conseil et sensibilisation.

3. Structurer son offre de sensibilisation

C’est le point que de nombreux prestataires négligent. Le référentiel ExpertCyber insiste sur la capacité du prestataire à sensibiliser les utilisateurs finaux de ses clients. Proposer un programme de simulation de phishing à ses clients PME — avec des campagnes régulières, des rapports de résultats et des micro-formations — est un différenciateur fort dans le dossier de candidature.

Concrètement, un prestataire qui intègre un outil de simulation de phishing dans son offre peut présenter au comité :

Des exemples de campagnes réalisées chez ses clients
Des rapports montrant l’évolution du taux de clic (preuve d’efficacité)
Des supports de micro-formation déployés après chaque simulation

4. Certifier ou former ses collaborateurs

Les certifications individuelles (CISSP, CEH, CompTIA Security+, certifications ANSSI) ne sont pas obligatoires pour le label, mais elles renforcent considérablement le dossier. Au minimum, assurez-vous que vos collaborateurs intervenant en cybersécurité ont suivi des formations récentes et documentées.

5. Vérifier sa propre hygiène de sécurité

Un prestataire qui recommande la sécurité à ses clients doit l’appliquer à lui-même. Avant de déposer le dossier, vérifiez que votre propre infrastructure est conforme aux bonnes pratiques : authentification multifacteur (MFA), sauvegardes testées, politique de mots de passe, chiffrement des données, conformité RGPD. L’auditeur ne manquera pas de poser la question.

Vous pouvez commencer par un autodiagnostic rapide : testez la sécurité de votre propre messagerie pour vérifier que vos enregistrements SPF, DKIM et DMARC sont correctement configurés. Un prestataire qui prétend sécuriser les messageries de ses clients mais dont le propre domaine échoue aux vérifications de base perdra sa crédibilité devant l’auditeur.

6. Préparer les pièces contractuelles

Relisez vos conditions générales de vente, vos contrats types et vos propositions commerciales. Le référentiel exige un engagement de transparence et une obligation de conseil. Si vos contrats ne mentionnent pas explicitement la cybersécurité, la sensibilisation ou le conseil, c’est le moment de les mettre à jour.

Les erreurs qui font échouer une candidature

Dossier trop technique, pas assez orienté conseil : le label ne certifie pas seulement la technique, il certifie la capacité à accompagner des clients non experts
Absence de volet sensibilisation : un prestataire qui ne propose aucune action de sensibilisation à ses clients sera pénalisé
Références invérifiables : des missions sans livrables documentés, des clients qui ne confirment pas la prestation
Hygiène de sécurité insuffisante en interne : un domaine email sans DMARC, des mots de passe en clair, une absence de MFA — ces lacunes sont rédhibitoires
Confusion entre label ExpertCyber et qualification PASSI : le PASSI (Prestataire d’Audit de Sécurité des Systèmes d’Information) est une qualification ANSSI beaucoup plus exigeante, réservée aux spécialistes de l’audit de sécurité. Ne préparez pas un dossier PASSI quand vous visez ExpertCyber

Ce que le label change pour les PME clientes

L’annuaire officiel : un filtre de confiance

L’annuaire maintenu par Cybermalveillance.gouv.fr est le premier réflexe des PME qui cherchent un prestataire de confiance après un incident ou pour structurer leur cybersécurité. Y figurer, c’est être visible auprès d’un public qui a déjà pris la décision d’investir dans la sécurité — le prospect le plus qualifié qui existe.

Pour les PME clientes, l’annuaire résout un problème réel : comment distinguer un vrai expert d’un simple revendeur qui a ajouté « cybersécurité » à sa plaquette commerciale. Le label donne une réponse vérifiable et indépendante.

Conformité réglementaire facilitée

La directive NIS2, applicable en France, impose aux entités des secteurs essentiels et importants de mettre en place des mesures de gestion des risques cyber incluant la formation du personnel et la gestion des fournisseurs. Travailler avec un prestataire labellisé ExpertCyber constitue un élément de preuve lors d’un audit de conformité : l’entreprise a choisi un partenaire dont les compétences sont certifiées par un organisme indépendant.

De même, lors d’un audit ISO 27001 ou d’une évaluation pour un contrat de cyberassurance, pouvoir démontrer que ses prestataires informatiques sont labellisés renforce la posture de sécurité documentée de l’entreprise.

Accès à un accompagnement structuré

Un prestataire labellisé ExpertCyber a été évalué sur sa capacité à fournir un accompagnement complet : diagnostic, sécurisation technique, sensibilisation des utilisateurs, conseil. Pour une PME qui part de zéro en cybersécurité, c’est la garantie d’un accompagnement qui ne se limite pas à « installer un antivirus et facturer ».

Les prestataires labellisés qui intègrent la simulation de phishing dans leur offre peuvent fournir à leurs clients PME :

Un programme de sensibilisation continu avec des campagnes automatisées
Des rapports de performance exploitables pour les audits et les assureurs
Des micro-formations ciblées après chaque simulation pour renforcer les bons réflexes
Une preuve documentée de sensibilisation, exigée par un nombre croissant de donneurs d’ordre

Le chèque diagnostic cyber : une porte d’entrée

Le chèque diagnostic cyber, distribué via des programmes régionaux en lien avec Cybermalveillance.gouv.fr et BPI France, permet aux PME de financer un diagnostic de cybersécurité à coût réduit. Ce diagnostic est réalisé par des prestataires labellisés ou référencés. Pour un prestataire ExpertCyber, c’est un flux de missions qualifiées qui découle directement de sa labellisation.

Pour la PME, le diagnostic couvre généralement la configuration technique, les pratiques organisationnelles et la sensibilisation des collaborateurs. Le rapport final contient un plan d’actions priorisées — et la mise en place d’un programme de simulation de phishing figure parmi les recommandations les plus fréquentes.

Le calendrier type d’une démarche de labellisation

Voici un calendrier réaliste pour un prestataire de 20 à 50 personnes ayant déjà une activité de cybersécurité :

Mois	Action
Mois 1	Autodiagnostic : vérifier l’éligibilité, identifier les lacunes du dossier. Tester sa propre sécurité email. Recenser les missions de référence.
Mois 2	Formalisation : documenter les processus d’intervention, structurer l’offre de sensibilisation, préparer les pièces contractuelles.
Mois 3	Dépôt du dossier de candidature en ligne sur cybermalveillance.gouv.fr.
Mois 4	Instruction du dossier par Cybermalveillance.gouv.fr. Échanges éventuels pour compléter les pièces.
Mois 5	Audit AFNOR Certification : examen documentaire et entretien technique.
Mois 6	Comité de labellisation : décision et, en cas de succès, apparition dans l’annuaire officiel.

Ce calendrier est compressible : un prestataire dont les processus sont déjà formalisés et qui dispose de références documentées peut boucler la démarche en 3 à 4 mois. À l’inverse, un prestataire qui doit formaliser ses pratiques de zéro devra compter 6 à 8 mois.

Combiner les démarches : une stratégie de crédibilité

Le parcours recommandé pour un prestataire IT

Pour un prestataire informatique de taille PME qui veut renforcer sa crédibilité sur le marché de la cybersécurité, la progression logique est :

Label ExpertCyber (mois 1 à 6) — Le ticket d’entrée. Rapide, accessible, et il donne une visibilité immédiate via l’annuaire officiel.
Structuration de l’offre de sensibilisation (en parallèle) — Intégrer un programme de simulation de phishing dans son catalogue, avec des campagnes personnalisées et des rapports mesurables. C’est à la fois un argument commercial et un critère du label.
ISO 27001 pour soi-même (mois 6 à 18) — Appliquer à sa propre organisation ce qu’on recommande à ses clients. La certification ISO 27001 structure les processus internes et ouvre l’accès aux marchés qui l’exigent (grands comptes, secteur public, réglementations NIS2).
Label France Cybersecurity (si applicable) — Pour les prestataires qui développent ou distribuent une solution de cybersécurité spécifique, le label France Cybersecurity ajoute une couche de crédibilité produit à la crédibilité prestataire.

L’avantage concurrentiel cumulé

Un prestataire qui combine le label ExpertCyber + ISO 27001 + une offre de simulation de phishing documentée se positionne sur un segment premium du marché. Il répond à la fois :

Aux PME qui cherchent un prestataire de confiance via l’annuaire officiel
Aux donneurs d’ordre qui exigent ISO 27001 dans leurs appels d’offres
Aux entreprises soumises à NIS2 qui doivent prouver la gestion de leur chaîne de fournisseurs
Aux assureurs cyber qui demandent des preuves de sensibilisation des collaborateurs

Pour les PME qui évaluent des prestataires, le cahier des charges anti-phishing inclut une section consacrée à la vérification des labels et certifications du fournisseur — un outil pratique pour structurer la comparaison.

Ressources officielles et prochaines étapes

Annuaire ExpertCyber : cybermalveillance.gouv.fr — Recherche de prestataires labellisés, formulaire de candidature
Guide d’hygiène informatique ANSSI : cyber.gouv.fr — Les 42 règles de base, référence du label
Label France Cybersecurity : france-cybersecurity.fr — Annuaire des solutions labellisées, dossier de candidature
Norme ISO 27001 : iso.org — Le référentiel international de management de la sécurité de l’information

Testez votre propre posture de sécurité

Avant de lancer une démarche de labellisation ou de choisir un prestataire labellisé, vérifiez l’état de votre sécurité email. Notre outil gratuit analyse vos enregistrements SPF, DKIM et DMARC en quelques secondes et attribue une note de sécurité à votre domaine.

Tester la sécurité de mon domaine →

Un domaine mal configuré est un signal d’alerte — que vous soyez prestataire en préparation de votre label ou PME en train de choisir le vôtre.