Aides et subventions cybersécurité pour PME en 2026

Une PME peut faire financer une partie de sa cybersécurité, à condition de choisir le bon dispositif pour chaque dépense. Le premier diagnostic peut être gratuit (ANSSI) ou financé à 50 % (Bpifrance), la formation des salariés relève de l’OPCO, et certaines régions cofinancent un diagnostic ou un plan d’actions. Ce guide recense les dispositifs vérifiés en octobre 2026, ce qu’ils couvrent et comment les demander.

Les diagnostics cyber : gratuits ou financés à 50 %

Un diagnostic est le bon point de départ : il hiérarchise les actions, et son rapport sert ensuite à justifier les demandes de financement suivantes.

Le diagnostic gratuit de l’ANSSI

L’ANSSI propose un diagnostic cyber gratuit, appelé diagnostic Cyberdépart et mené par les Aidants du dispositif MonAideCyber. Ces Aidants sont des bénévoles formés par l’agence : agents publics, réservistes, membres d’associations du numérique. Le diagnostic dure environ 1 h 30, dans vos locaux ou en visioconférence, et s’appuie sur un questionnaire de l’État : gouvernance, sécurité des accès, des postes et de l’infrastructure, sensibilisation, réaction à une attaque.

Vous repartez avec six mesures prioritaires, et un suivi est possible six mois plus tard. Aucune proposition commerciale ne suit : les Aidants n’ont pas le droit de vendre de prestations. Le dispositif vise les TPE, PME, ETI, associations et collectivités qui débutent en cybersécurité. La demande se fait en ligne sur MesServicesCyber, et un Aidant de votre secteur vous recontacte en quelques jours.

Le Diag Cybersécurité de Bpifrance

Le Diag Cybersécurité est un diagnostic plus approfondi, réalisé par un expert indépendant référencé par Bpifrance. Il coûte 8 800 € HT par site, financé à 50 % par Bpifrance : il reste 4 400 € HT à la charge de l’entreprise. Il s’adresse aux PME indépendantes de plus de 10 salariés, avec 250 salariés au plus sur le site diagnostiqué, et débouche sur un plan d’actions priorisé. L’éligibilité se vérifie sur le site de Bpifrance à partir du numéro SIREN.

Les autres portes d’entrée

Les CCI et les chambres de métiers proposent à leurs ressortissants des diagnostics de maturité numérique, gratuits ou payants selon les cas, et des sessions de sensibilisation. Le réseau de la gendarmerie réalise aussi des pré-diagnostics de sécurité dans les entreprises. Pour trouver un prestataire après un diagnostic, le service Mon ExpertCyber de Cybermalveillance.gouv.fr met en relation avec des prestataires labellisés (voir notre guide du label ExpertCyber).

France Num : des conseillers et un moteur de recherche d’aides

France Num est le programme de la Direction générale des Entreprises pour la transformation numérique des TPE et PME. Son rôle est d’orienter les entreprises vers les bons interlocuteurs et les bonnes aides :

• Les Activateurs France Num sont des professionnels (conseillers de CCI ou de CMA, consultants, experts-comptables) référencés par la DGE, qui s’engagent à offrir un premier rendez-vous gratuit. France Num publie la liste de ceux qui accompagnent les entreprises sur la cybersécurité.
• Le site francenum.gouv.fr propose un moteur de recherche des aides au numérique, filtrable par région et par thématique, et des guides pratiques, dont le guide de l’ANSSI et de la DGE sur la cybersécurité des TPE et PME en 13 questions.

Les aides régionales et européennes

Plusieurs régions cofinancent un diagnostic de cybersécurité ou un plan de sécurisation, souvent avec Bpifrance ou des fonds européens. Les montants, les critères et les fenêtres de dépôt changent d’une année à l’autre, et certains dispositifs ferment : le Chèque investissement cyber d’Île-de-France n’accepte plus de demandes depuis février 2025. Vérifiez les dispositifs actifs sur le site de votre conseil régional, auprès de votre CCI ou dans le moteur de recherche de France Num.

Les pôles européens d’innovation numérique (EDIH) accompagnent aussi des projets numériques, avec une partie du coût prise en charge selon le territoire. Votre CCI ou l’agence de développement économique de votre région vous indiquera le pôle compétent.

Financer la formation : OPCO et CPF

L’OPCO pour les formations décidées par l’entreprise

Les entreprises versent une contribution à la formation professionnelle (0,55 % de la masse salariale sous 11 salariés, 1 % au-delà), gérée par les opérateurs de compétences (OPCO). Les entreprises de moins de 50 salariés bénéficient de financements au titre du plan de développement des compétences, avec des règles propres à chaque OPCO.

Tous les OPCO peuvent financer une formation à la cybersécurité, à deux conditions : elle est dispensée par un organisme de formation déclaré, et la demande est déposée avant le début de la formation. La démarche type :

1. Choisissez la formation et obtenez un devis et un programme de l’organisme.
2. Déposez la demande de prise en charge sur le portail de votre OPCO, avant le début de la formation.
3. Attendez l’accord de financement.
4. Réalisez la formation et transmettez les justificatifs (feuilles de présence, facture).
5. Recevez le remboursement selon les délais de votre OPCO.

Les plafonds de prise en charge sont fixés par chaque OPCO et par branche : consultez la grille de la vôtre avant de vous engager. Pour identifier votre OPCO, le site lopco.fr le retrouve à partir de votre activité.

Le CPF, droit du salarié

Le compte personnel de formation (CPF) est crédité de 500 € par an, dans la limite de 5 000 € (800 € par an et 8 000 € pour les salariés peu qualifiés). Il finance des formations certifiantes inscrites au RNCP ou au répertoire spécifique, recherchables par mot-clé sur moncompteformation.gouv.fr.

Le CPF appartient au salarié : l’employeur ne peut pas imposer son usage. Il peut informer, recommander des formations et compléter le financement par un abondement. Pour une formation collective, par exemple une journée de sensibilisation au phishing pour quinze personnes, passez par l’OPCO.

Des ressources publiques gratuites complètent ces financements : le MOOC SecNumacadémie de l’ANSSI pour les bases de la sécurité numérique, et l’Atelier RGPD de la CNIL pour la protection des données.

Fiscalité : un dispositif a disparu

Le crédit d’impôt pour la formation des dirigeants (article 244 quater M du code général des impôts) ne s’applique plus aux heures de formation suivies depuis le 1er janvier 2025, et la loi de finances pour 2026 l’a abrogé (BOFiP, 2026). Beaucoup de pages le présentent encore comme disponible : ne bâtissez pas votre budget dessus.

Il reste le droit commun : les dépenses de formation et d’abonnement logiciel sont des charges déductibles du résultat imposable, et certains équipements s’amortissent. Votre expert-comptable vous dira comment traiter chaque dépense.

Cumuler les aides sans se tromper

La logique la plus sûre consiste à financer chaque poste de dépense par le dispositif fait pour lui :

1. Le diagnostic : gratuit avec l’ANSSI, ou financé à 50 % avec Bpifrance.
2. La formation des salariés : l’OPCO, complété au besoin par le CPF d’un salarié volontaire.
3. Le plan d’actions et les outils : les aides régionales, selon leur règlement.

L’ordre compte. Le diagnostic vient d’abord : ses recommandations légitiment les demandes suivantes. Déposez ensuite les dossiers OPCO avant de réserver les formations, puis montez les dossiers régionaux pour les investissements. Le total des aides ne peut pas dépasser le coût de la dépense financée, et chaque dossier doit mentionner les autres aides obtenues. Prévoyez la trésorerie : la plupart des aides sont versées après la dépense.

nophi.sh et le financement

nophi.sh est une plateforme de simulation de phishing et de formation courte pour les PME. Voici, honnêtement, où elle se situe par rapport aux dispositifs ci-dessus.

L’OPCO finance des actions portées par un organisme de formation déclaré : un abonnement logiciel n’entre en général pas dans ce cadre. Si votre OPCO l’accepte, la plateforme peut accompagner une action de formation plus large, mais posez-lui la question avant.

Après un diagnostic, l’ANSSI comme Bpifrance recommandent en général des mesures humaines (sensibilisation, procédure de signalement) à côté des mesures techniques. Une plateforme de sensibilisation peut alors figurer dans le plan d’actions présenté à une aide régionale, si le règlement du dispositif couvre ce type de dépense.

Les rapports de nophi.sh (rapport d’audit PDF, exports CSV, suivi des formations) servent aussi de preuves pour le volet formation de NIS2, pour un audit ISO 27001 et pour votre assureur cyber. Le prix est fixe par formule, à partir de 99 € HT par mois jusqu’à 50 utilisateurs : voir les tarifs et les preuves de sensibilisation pour vos audits. Pour un premier geste gratuit, notre test de sécurité email vérifie la configuration SPF, DKIM et DMARC de votre domaine.

Questions fréquentes

Mon entreprise de 30 salariés est-elle éligible aux aides cybersécurité ?

Oui pour la plupart. Le diagnostic gratuit de l’ANSSI (Cyberdépart, porté par les Aidants MonAideCyber) vise les TPE, PME, ETI, associations et collectivités. Le Diag Cybersécurité de Bpifrance s’adresse aux PME indépendantes de plus de 10 salariés. Les OPCO financent la formation dès le premier salarié. Les aides régionales ont leurs propres critères : vérifiez-les avant de déposer un dossier.

Existe-t-il un diagnostic cybersécurité gratuit pour les PME ?

Oui. L’ANSSI propose un diagnostic gratuit d’environ 1 h 30, mené par un Aidant cyber bénévole formé par l’agence, dans vos locaux ou en visioconférence. Vous repartez avec six mesures prioritaires et un suivi possible six mois plus tard. La demande se fait sur MesServicesCyber.

Combien coûte le Diag Cybersécurité de Bpifrance ?

Le diagnostic coûte 8 800 € HT par site, financé à 50 % par Bpifrance : il reste 4 400 € HT à la charge de l’entreprise. Il concerne les PME indépendantes de plus de 10 salariés, avec 250 salariés au plus par site, et il est réalisé par un expert référencé par Bpifrance.

Peut-on cumuler plusieurs aides cybersécurité ?

Oui quand elles financent des dépenses distinctes : un diagnostic, une formation, un plan d’actions. Le total des aides ne peut pas dépasser le coût de la dépense financée, et chaque dispositif a ses règles de cumul : déclarez les autres aides dans chaque dossier.

Le CPF peut-il financer une formation cybersécurité pour mes salariés ?

Le CPF appartient au salarié : l’employeur ne peut pas imposer son usage. Il peut informer, proposer des formations éligibles et compléter le financement par un abondement. Pour une formation collective décidée par l’entreprise, l’OPCO est le bon interlocuteur.

Le crédit d’impôt formation des dirigeants existe-t-il encore ?

Non. Il ne s’applique plus aux heures de formation suivies depuis le 1er janvier 2025, et la loi de finances pour 2026 l’a abrogé. Les dépenses de formation restent des charges déductibles du résultat, comme les autres frais de l’entreprise.

nophi.sh est-il finançable via les aides cybersécurité ?

Pas directement par l’OPCO, qui finance des actions de formation portées par un organisme de formation déclaré : un abonnement logiciel n’entre en général pas dans ce cadre. Une plateforme de sensibilisation peut en revanche figurer dans un plan d’actions financé par une aide régionale, si le règlement du dispositif le prévoit. Vérifiez-le avant de vous engager.

Sources (consultées le 13 octobre 2026) : ANSSI, MesServicesCyber : le diagnostic cyber gratuit ; Bpifrance, Diag Cybersécurité ; France Num, aides financières et dispositifs pour la cybersécurité des TPE et PME ; BOFiP, retrait des commentaires relatifs au crédit d’impôt pour dépenses de formation des dirigeants (loi n° 2026-103 du 19 février 2026, art. 17) ; moncompteformation.gouv.fr.