Label ExpertCyber : conditions, coût et délais pour l'obtenir (guide 2026)

Le label ExpertCyber est la seule reconnaissance publique française qui certifie la compétence cyber d’un prestataire informatique de proximité. Créé par Cybermalveillance.gouv.fr et évalué par AFNOR Certification, il coûte 800 € HT, se décide en un mois environ après dépôt du dossier, et reste valable deux ans. Environ 200 entreprises le détiennent en France — un club restreint, rapporté aux dizaines de milliers d’ESN, de MSP et d’infogéreurs qui opèrent sur le territoire.

Ce guide s’adresse d’abord aux prestataires qui veulent l’obtenir : conditions d’éligibilité du référentiel v3.1 (novembre 2025), déroulé de l’évaluation, coût réel, délais, erreurs qui font échouer une candidature. Il répond aussi à la question symétrique que se posent les PME : que garantit exactement ce label quand on choisit un prestataire, et faut-il l’exiger ?

À retenir

• Coût : 800 € HT pour la procédure d’évaluation, tarif unique publié par Cybermalveillance.gouv.fr (septembre 2026). Pas de tarif réduit publié pour le renouvellement.
• Délai : environ 1 mois entre le dépôt du dossier complet sur expertcyber.afnor.org et la décision — la préparation du dossier de preuves en amont prend de quelques semaines à 3 mois selon la maturité du candidat.
• Validité : 2 ans, puis nouvelle candidature volontaire (FAQ officielle du label, septembre 2026).
• Trois conditions cumulatives pour être labellisé (référentiel v3.1, novembre 2025) : valider tous les critères obligatoires, note supérieure à la moyenne au QCM technique, note globale supérieure à 65/100.
• Qui peut candidater : toute entreprise de services informatiques — y compris les indépendants — réalisant les trois activités installation + maintenance + assistance, avec un établissement en France d’au moins un an d’existence et une capacité d’intervention sur site. Le label est attribué par établissement.
• Environ 200 entreprises labellisées en France (chiffre officiel Cybermalveillance.gouv.fr, article des 4 ans du label, mis à jour décembre 2025).
• Pour les PME clientes : le label garantit des compétences évaluées par AFNOR sur un référentiel public — rapports d’intervention documentés, procédures écrites, transparence tarifaire, conseil régulier. Les services Mon ExpertCyber et 17Cyber mettent en relation avec les prestataires labellisés.

Qu’est-ce que le label ExpertCyber ?

Le label ExpertCyber est une initiative du GIP ACYMA, l’organisme qui opère Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance. Lancé officiellement le 18 février 2021 dans le cadre de la Stratégie nationale pour la cybersécurité, il répond à un problème concret : les PME, associations et collectivités qui subissent un incident cyber ou veulent sécuriser leur système d’information ne savent pas distinguer un prestataire réellement compétent d’un revendeur qui a ajouté « cybersécurité » à sa plaquette.

Le label a été construit avec les principaux syndicats professionnels du secteur et il est soutenu par la Fédération EBEN, Cinov Digital, Numeum et France Assureurs. L’évaluation des candidats est confiée à AFNOR Certification, ce qui garantit l’indépendance de la décision : Cybermalveillance.gouv.fr délivre le label, mais ne juge pas les dossiers.

Point important pour situer le dispositif : ExpertCyber vise les prestataires de proximité qui accompagnent TPE, PME et collectivités. Il ne joue pas dans la même catégorie que les visas de sécurité de l’ANSSI (qualifications PASSI, PRIS…), réservés à des prestations d’audit et de réponse à incident de haut niveau, prioritairement pour les opérateurs critiques. Pour une vue d’ensemble des dispositifs français, consultez notre page labels et certifications cybersécurité.

Le référentiel du label a évolué : la version 3.0 date d’octobre 2023 et le recueil des critères d’évaluation en vigueur est la version 3.1, publiée en novembre 2025. Si vous préparez une candidature en 2026, travaillez exclusivement à partir de ce document — les résumés qui circulent en ligne décrivent souvent les exigences des versions 1 et 2.

Qui peut obtenir le label ExpertCyber ?

Le référentiel v3.1 fixe des conditions d’éligibilité précises. Avant d’engager les 800 € de la procédure, vérifiez chacune :

• Être une entreprise de services informatiques, quelle que soit la taille : ESN, MSP, infogéreur, intégrateur, revendeur avec activité de service — et y compris les indépendants, à condition d’être inscrits au registre du commerce et des sociétés.
• Réaliser les trois activités du champ d’application : le prestataire doit obligatoirement assurer à la fois des prestations d’installation, de maintenance et d’assistance informatique en cas d’incident (dépannage, réponse à incident de sécurité). Un pur cabinet de conseil ou un prestataire qui ne fait que de l’audit n’entre pas dans le champ du label.
• Intervenir dans au moins un des trois domaines techniques généralistes : Infrastructure IT (postes, systèmes d’exploitation, logiciels y compris SaaS, serveurs), Téléphonie (fixe et mobile), ou Web (sites internet, navigateurs). Les domaines spécialisés comme l’informatique industrielle sont hors périmètre.
• Pouvoir intervenir physiquement sur les sites des clients en France : un prestataire qui ne fait que de la télé-intervention n’est pas éligible. Même un pur acteur cloud doit pouvoir se déplacer chez le client a minima en cas d’incident.
• Justifier d’une existence juridique d’au moins un an pour l’établissement candidat, situé en France, avec un siège statutaire dans l’Union européenne.

Deux précisions qui changent la donne pour les structures multi-sites : le label est attribué par établissement — une entreprise avec plusieurs sites de production doit déposer un dossier complet par site. Et les prestataires déjà titulaires d’une qualification PASSI ou PRIS bénéficient d’une procédure accélérée (FAQ officielle du label).

Comment se déroule l’évaluation ?

Contrairement à une certification ISO, il n’y a pas d’audit sur site. L’évaluation ExpertCyber est documentaire et déclarative, mais vérifiée : elle se déroule intégralement sur la plateforme expertcyber.afnor.org, en trois temps.

1. Le questionnaire technique (QCM) : un test chronométré qui évalue la maîtrise réelle des sujets du référentiel — attaques courantes et leurs mécanismes (propagation, escalade de privilèges, exfiltration), sécurisation des systèmes d’exploitation et des architectures réseau, vulnérabilités applicatives, outils d’analyse (antivirus, journaux), autorités compétentes et qualifications juridiques des faits de cybermalveillance. Il faut obtenir une note supérieure à la moyenne pour être labellisable.
2. Le téléversement des preuves : documents et éléments demandés par le recueil des critères — procédures, rapports d’intervention, CV, pièces contractuelles, attestation sur l’honneur (voir la section préparation ci-dessous).
3. L’évaluation par un auditeur AFNOR Certification : vous validez votre dossier, un auditeur l’analyse, et la décision de labellisation est rendue dans un délai d’environ un mois.

Le label est accordé si trois conditions cumulatives sont réunies (référentiel v3.1) :

• tous les critères obligatoires sont satisfaits ;
• la note au QCM technique est supérieure à la moyenne ;
• la note globale dépasse 65/100 sur la grille de points.

La grille mélange en effet des critères obligatoires non notés (activités couvertes, existence juridique, conformité légale, politique RGPD, rapports d’intervention types…) et des critères optionnels qui rapportent des points : assurance RC Pro et assurance cyber (4 points), procédures de sécurité de l’information (jusqu’à 9 points), conseil régulier aux clients (jusqu’à 5 points), conservation de preuves numériques (jusqu’à 8 points), QCM (10 points)… Un candidat peut donc échouer en validant tous les critères obligatoires, s’il néglige trop de critères « facultatifs ».

Combien coûte le label ExpertCyber ?

800 € HT. C’est le tarif de la procédure d’évaluation publié par Cybermalveillance.gouv.fr (septembre 2026), identique quelle que soit la taille de l’entreprise. Il n’y a ni frais de dossier séparés, ni tarif dégressif publié pour le renouvellement : au bout des deux ans de validité, le prestataire qui veut conserver le label redépose une candidature complète, au même tarif.

Le vrai coût est ailleurs : le temps interne de préparation. Pour un prestataire dont les processus sont déjà formalisés (procédures écrites, rapports d’intervention systématiques, contrats à jour), la constitution du dossier représente quelques jours de travail. Pour un prestataire qui travaille « au cas par cas » sans rien documenter, il faut compter plusieurs semaines pour produire les preuves exigées — et c’est précisément le but du référentiel : forcer la formalisation.

À titre de comparaison, AFNOR Compétences propose une formation de découverte du label pour préparer l’évaluation (payante, tarif sur le site d’AFNOR Compétences) — utile si vous découvrez le référentiel, dispensable si vous lisez attentivement le recueil des critères, qui est public et gratuit.

Combien de temps faut-il pour l’obtenir ?

Le délai incompressible est court : environ un mois entre la validation du dossier complet sur la plateforme AFNOR et la décision de labellisation. Tout le reste dépend de votre préparation. Calendrier réaliste :

Étape	Durée	Coût
Lecture du référentiel v3.1 et autodiagnostic d’éligibilité	1 à 2 semaines	0 € (documents publics)
Préparation des preuves (procédures, rapports, CV, contrats)	2 semaines à 3 mois selon maturité	Temps interne
Création du dossier sur expertcyber.afnor.org + QCM technique	1 journée	—
Téléversement des pièces et validation du dossier	1 à 2 semaines	800 € HT (procédure complète)
Évaluation par l’auditeur AFNOR et décision	≈ 1 mois	—
Total	2 à 5 mois	800 € HT + temps interne

Un prestataire déjà structuré peut donc être labellisé en deux mois. Le renouvellement intervient tous les deux ans, par nouvelle candidature volontaire — anticipez-le trois mois avant l’échéance pour éviter une rupture de labellisation (et une disparition temporaire des annuaires de mise en relation).

Comment préparer un dossier qui passe : les preuves exigées

Le recueil v3.1 liste, critère par critère, les éléments de preuve attendus. Les chantiers concrets, dans l’ordre où ils prennent du temps :

1. Les rapports d’intervention (obligatoire). C’est le cœur du dossier : vous devez fournir des rapports d’intervention de sécurisation datant de moins de 2 ans — sécurisation d’Active Directory, installation et paramétrage de firewall, sécurisation des accès nomades et VPN, sécurisation des flux mails, segmentation réseau… Les interventions limitées à des installations sans expertise sécurité ne comptent pas. Cybermalveillance.gouv.fr publie deux fiches de référence sur la structure attendue des rapports de sécurisation et de remédiation : suivez-les. Si vous ne produisez pas de rapports formalisés aujourd’hui, commencez maintenant — c’est le point qui prend des mois à rattraper.

2. Les procédures (obligatoire + points). Deux procédures d’intervention sur les SI clients (installation, maintenance ou assistance) et une procédure interne de sécurité de l’information — charte informatique ou politique de sécurité. Un prestataire qui sait répondre à un questionnaire de sécurité de manière structurée a déjà l’essentiel.

3. La politique RGPD (obligatoire). Documentez votre stratégie de protection des données personnelles, en interne et dans la relation client.

4. Les compétences de l’équipe (points). CV à jour des membres de l’équipe cyber rattachés à l’établissement candidat (5 maximum), accompagnés d’un organigramme, plus les certificats de formation de moins de 2 ans sur les domaines listés : firewall/UTM, administration et sécurisation de serveurs (sur site et cloud), sauvegarde, protection du poste de travail (antivirus, EDR). Les certificats purement commerciaux d’éditeurs ne sont pas acceptés.

5. La transparence commerciale (points). Tarifs ou fourchettes de prix communiqués avant intervention, délais d’intervention affichés (GTI), devis type anonymisé.

6. Le conseil régulier aux clients (points). Le référentiel valorise le prestataire qui partage au moins une fois par trimestre des règles et conseils de sécurisation avec ses clients : newsletter, documents de sensibilisation, publications. C’est ici qu’une offre de sensibilisation structurée pèse dans la grille : un prestataire qui propose à ses clients PME un programme de simulation de phishing documenté — campagnes régulières, rapports de taux de clic, micro-formations — apporte des preuves toutes faites de son devoir de conseil, et un argument commercial récurrent.

7. Sa propre hygiène de sécurité. Un prestataire qui recommande la sécurité doit l’appliquer : MFA, sauvegardes testées, messagerie correctement configurée. Avant de candidater, testez la configuration SPF, DKIM et DMARC de votre propre domaine — un prestataire dont le domaine échoue aux vérifications de base part mal.

Les erreurs qui font échouer une candidature

• Ne pas couvrir les trois activités : le référentiel exige installation ET maintenance ET assistance. Les pure players du conseil ou de l’audit sont hors champ.
• Des rapports d’intervention absents ou trop vieux : les preuves de sécurisation doivent dater de moins de 2 ans.
• Négliger les critères à points : tous les critères obligatoires validés ne suffisent pas si la note globale reste sous 65/100.
• Sous-estimer le QCM : il est chronométré et technique ; une note sous la moyenne est éliminatoire.
• Confondre ExpertCyber et PASSI : la qualification PASSI de l’ANSSI est un dispositif beaucoup plus exigeant, réservé aux spécialistes de l’audit. ExpertCyber est le label du prestataire généraliste de proximité.

Que garantit le label à une PME cliente ?

Changeons de perspective : vous êtes une PME et votre prestataire (ou un candidat) affiche le logo ExpertCyber. Qu’est-ce que cela prouve, concrètement ?

• Ses compétences ont été évaluées par un tiers indépendant (AFNOR Certification) sur un référentiel public, QCM technique compris — pas une auto-déclaration.
• Il documente ses interventions : le référentiel impose des rapports de sécurisation et de remédiation structurés. Vous êtes en droit d’en exiger à chaque intervention.
• Il est transparent sur ses tarifs et ses délais, et il a une politique RGPD documentée.
• Il peut intervenir sur site en France — pas uniquement à distance.
• Il est incité à vous conseiller régulièrement : le référentiel valorise le partage trimestriel de conseils de sécurisation et les actions de sensibilisation.

Ce que le label ne garantit pas : ce n’est ni une obligation réglementaire, ni une certification de résultat, et son absence ne disqualifie pas un bon prestataire — avec environ 200 labellisés, l’immense majorité des prestataires compétents ne le sont pas (encore). Utilisez-le comme un filtre positif, et pour les non-labellisés, posez les questions du référentiel : rapports d’intervention types, procédures écrites, offre de sensibilisation. Notre cahier des charges anti-phishing fournit une grille d’évaluation complète, labels inclus.

Pour trouver un labellisé : Cybermalveillance.gouv.fr permet de vérifier la labellisation d’un prestataire via sa recherche en ligne, et propose deux services de mise en relation — Mon ExpertCyber pour un accompagnement de sécurisation, et 17Cyber pour une mise en relation en cas d’incident.

Enfin, si votre secteur entre dans le champ de NIS2, travailler avec un prestataire labellisé constitue un élément de preuve utile de votre gestion des fournisseurs — de même que les preuves de sensibilisation de vos collaborateurs, que les assureurs cyber demandent désormais systématiquement. Si vous structurez votre cybersécurité sans équipe dédiée, notre guide cybersécurité sans RSSI donne la feuille de route complète.

ExpertCyber, France Cybersecurity, ISO 27001 : quel dispositif pour qui ?

Trois dispositifs reviennent dans les mêmes conversations ; ils ne certifient pas la même chose.

Le label France Cybersecurity certifie qu’un produit ou service de cybersécurité est conçu, développé et opéré en France. Il est attribué par un comité à trois collèges — étatique (ANSSI, DGA, DGE), industriel (ACN, Hexatrust) et utilisateurs (CESIN, CIGREF, GITSIS) — pour une durée d’un an, renouvelable. Tarifs publiés : 1 250 € HT pour une PME (750 € en renouvellement d’un label en cours de validité), 2 500 € HT au-delà de 250 salariés (1 500 € en renouvellement). La promotion 2026 compte 85 lauréats, renouvellements compris. Il s’adresse aux éditeurs et fournisseurs de solutions — pas aux prestataires de services de proximité.

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information (SMSI) conforme à la norme internationale ISO/IEC 27001:2022. Audit sur site par un organisme accrédité, audits de surveillance annuels, budget généralement de l’ordre de 10 000 à 50 000 € selon la taille, 6 à 18 mois de démarche. Voir notre page ISO 27001.

Dimension	ExpertCyber	France Cybersecurity	ISO 27001
Ce qui est certifié	Compétences d’un prestataire IT	Origine française d’un produit/service cyber	Système de management de la sécurité
Pour qui	ESN, MSP, infogéreurs, indépendants	Éditeurs, fournisseurs de solutions	Toute organisation
Évaluation	Dossier + QCM, AFNOR Certification	Dossier, comité tripartite (État/industrie/utilisateurs)	Audit sur site, organisme accrédité
Coût	800 € HT	1 250 € HT (PME) à 2 500 € HT	≈ 10 000 – 50 000 € selon taille
Validité	2 ans	1 an	3 ans (surveillance annuelle)
Reconnaissance	France	France	Internationale

Pour un prestataire IT qui accompagne des PME, la progression logique est : ExpertCyber d’abord (rapide, 800 €, visibilité immédiate via les services de mise en relation), structuration de l’offre de sensibilisation en parallèle (critère du label et argument commercial — voir notre comparatif des solutions), puis ISO 27001 quand vos clients grands comptes ou vos marchés l’exigent. France Cybersecurity ne concerne que ceux qui éditent une solution.

Et le financement ? Le Diag Cybersécurité Bpifrance

Pour les prestataires labellisés, un débouché concret existe côté demande : le Diag Cybersécurité de Bpifrance cofinance à 50 % un diagnostic de cybersécurité réalisé par un expert référencé par Bpifrance, pour les PME indépendantes de plus de 10 salariés (coût total 8 800 € HT par site, reste à charge 4 400 € HT — barème publié, à vérifier au moment de la demande). Attention : les experts du Diag sont référencés par Bpifrance selon sa propre procédure — le label ExpertCyber est un atout de crédibilité, pas un référencement automatique. Notez aussi que plusieurs « chèques cyber » régionaux ont fermé (le Chèque investissement cyber d’Île-de-France n’accepte plus de demandes depuis février 2025) : vérifiez les dispositifs actifs dans notre guide des aides et subventions cybersécurité.

Pour la PME, ces diagnostics aboutissent à un plan d’actions priorisées — où la sensibilisation des collaborateurs figure presque systématiquement, car c’est le maillon le plus rentable à renforcer.

En résumé : les chiffres 2026 du label ExpertCyber

Question	Réponse (septembre 2026)
Qui délivre ?	Cybermalveillance.gouv.fr (GIP ACYMA), évaluation AFNOR Certification
Qui peut candidater ?	Entreprises de services IT de toute taille, indépendants inclus, ≥ 1 an d’existence
Activités exigées	Installation + maintenance + assistance (les trois)
Domaines	Infrastructure IT, Téléphonie, Web (un ou plusieurs)
Coût	800 € HT
Délai de décision	≈ 1 mois après dépôt du dossier complet
Conditions d’obtention	Critères obligatoires + QCM > moyenne + note globale > 65/100
Validité	2 ans, nouvelle candidature pour renouveler
Entreprises labellisées	≈ 200
Référentiel en vigueur	v3.1 (novembre 2025), public et gratuit

Que vous soyez prestataire en préparation de candidature ou PME en train de choisir le vôtre, un réflexe simple pour commencer : testez la sécurité de votre messagerie. Un domaine sans SPF, DKIM et DMARC correctement configurés est exactement le genre de lacune qu’un auditeur — ou un client averti — remarque en premier.

---

Sources : Cybermalveillance.gouv.fr — Se faire labelliser ExpertCyber (tarif 800 € HT, validité 2 ans, référentiel v3.1, consulté en septembre 2026) ; Cybermalveillance.gouv.fr — FAQ du label ExpertCyber (éligibilité, renouvellement, procédure accélérée PASSI/PRIS, septembre 2026) ; Recueil des critères d’évaluation du label ExpertCyber, version 3.1 (novembre 2025 — critères obligatoires, domaines, grille de points, note > 65/100) ; expertcyber.afnor.org (plateforme de candidature, QCM, délai de décision d’un mois, septembre 2026) ; Cybermalveillance.gouv.fr — Le label ExpertCyber fête ses 4 ans (200 entreprises labellisées, mars 2025, mis à jour décembre 2025) ; Cybermalveillance.gouv.fr — Mon ExpertCyber (mise en relation, avril 2026) ; francecybersecurity.fr et ACN — label France Cybersecurity (validité 1 an, tarifs 1 250/2 500 € HT, gouvernance, promotion 2026 : 85 lauréats) ; Bpifrance — Diag Cybersécurité (8 800 € HT subventionné à 50 %, septembre 2026). Les tarifs et critères cités sont ceux publiés à la date de mise à jour de cet article et peuvent évoluer ; référez-vous aux documents officiels avant toute candidature.