Cyberscore : la loi, ce qu'elle impose, et ce que ça
change vraiment

Petite mise au point avant de commencer, parce que la confusion est fréquente : si vous cherchez la plateforme de succès pour joueurs qui agrège vos trophées PlayStation, Xbox et Steam, ce n'est pas le sujet ici. Le cyberscore dont on parle n'a rien à voir avec le gaming. C'est un dispositif français, inscrit dans la loi, qui vise à noter la cybersécurité de certains services numériques grand public et à afficher cette note aux utilisateurs. Le nom est le même, l'objet n'a aucun rapport.

L'idée derrière la loi cyberscore tient dans une image que tout le monde connaît : le Nutri-Score. Vous retournez un paquet de céréales, vous tombez sur une lettre coloriée, du vert au rouge, et en une fraction de seconde vous savez si vous avez affaire à un produit sain ou à une bombe de sucre. Personne ne lit le tableau des valeurs nutritionnelles au dos ; tout le monde lit la couleur. Le cyber-score transpose exactement ce réflexe à la sécurité informatique : donner à un utilisateur lambda un repère visuel immédiat sur le niveau de protection d'un service qu'il s'apprête à utiliser, sans lui demander de comprendre ce qu'est un chiffrement de bout en bout ou un audit de sécurité.

Le cyberscore, un Nutri-Score de la cybersécurité

Le mécanisme est volontairement simple à lire. Une plateforme concernée fait réaliser un audit de cybersécurité par un prestataire qualifié, cet audit débouche sur une évaluation, et cette évaluation se traduit par un indicateur coloré présenté à l'utilisateur au moment où il se connecte ou s'inscrit. La logique est identique à celle de l'alimentaire : on ne demande pas au public de devenir expert, on lui donne un signal qu'il peut interpréter sans effort. Rouge, vous vous méfiez ; vert, vous y allez ; la nuance se loge entre les deux.

Ce que l'indicateur cherche à rendre lisible ne se limite pas à « le service est-il piratable ? ». Le diagnostic porte sur la sécurisation des données hébergées et traitées, mais aussi sur leur localisation : où sont physiquement stockées les informations que vous confiez au service, et sous quelle juridiction. Pour un utilisateur, savoir que ses messages transitent et reposent dans un environnement soumis à des règles de protection données n'est pas un détail, c'est souvent la vraie question derrière le choix d'une messagerie ou d'un outil de visioconférence.

L'échelle colorée n'est pas de la décoration. C'est le résultat d'une évaluation qui empile plusieurs niveaux de lecture, de la donnée technique brute jusqu'au repère grand public. On peut se représenter cette pile ainsi :

Qui doit afficher un cyberscore ?

La loi ne vise pas toutes les entreprises du web, loin de là. Elle cible les grandes plateformes numériques destinées au grand public : typiquement les réseaux sociaux, les messageries, les services de visioconférence, bref les services de communication en ligne à forte audience. Le critère déterminant est le volume d'activité : seules les plateformes qui dépassent un certain seuil de trafic, fixé par voie réglementaire, entrent dans le périmètre. Une application confidentielle avec quelques milliers d'utilisateurs n'est pas concernée ; un service utilisé par des millions de Français, oui.

La raison de ce ciblage est cohérente avec l'esprit du texte. Le cyberscore est un dispositif de protection du consommateur autant que de cybersécurité. Là où une masse critique d'utilisateurs confie ses conversations, ses documents et ses données personnelles à un service, le déséquilibre d'information est maximal : l'utilisateur n'a aucun moyen de juger par lui-même du sérieux de la protection. C'est précisément là que l'affichage d'une note prend son sens, et pas sur un outil de niche dont les usagers savent déjà à quoi s'en tenir.

La logique d'audit derrière la note

Une couleur ne sort pas d'un algorithme magique. Derrière chaque cyberscore, il y a un travail d'audit de cybersécurité mené par un prestataire compétent, et c'est la partie qui nous parle le plus, parce que c'est notre métier. Évaluer la sécurité d'un service, ce n'est pas cocher une liste déclarative : c'est regarder ce que le service expose réellement, comment il gère l'authentification, comment il chiffre les données au repos et en transit, où ces données atterrissent, et à quel point sa surface exposée résiste à quelqu'un qui la sonde sérieusement.

C'est là que le cyberscore rejoint une préoccupation bien plus large que le seul dispositif légal : rendre le risque cyber mesurable et lisible. Une note n'a de valeur que si ce qui la produit est solide. Un diagnostic bâclé donne un joli vert rassurant sur un service qui prend l'eau, et c'est le pire des scénarios, celui qui trompe l'utilisateur au lieu de l'informer. La qualité de l'audit sous-jacent fait toute la différence entre un repère utile et un badge cosmétique.

Cyberscore légal et cyber rating d'entreprise, à ne pas confondre

Il faut distinguer deux choses qui portent des noms proches. Le cyberscore au sens de la loi est un objet précis : une note grand public, réglementée, affichée par des plateformes à forte audience pour informer leurs utilisateurs. À côté existe tout un marché de la notation cyber d'entreprise, le fameux « cyber rating », où des sociétés attribuent un score de sécurité à une organisation à partir de signaux collectés en externe, souvent pour les besoins d'un assureur, d'un investisseur ou d'un donneur d'ordre qui évalue un fournisseur. Les deux partagent l'idée de résumer un niveau de sécurité en un indicateur, mais leur finalité, leur public et leur cadre n'ont rien de commun.

Ce qui les relie, en revanche, c'est la matière première : dans les deux cas, la note se construit sur ce que l'organisation expose. Domaines et sous-domaines, services accessibles depuis internet, certificats, configurations, données qui traînent : c'est cette surface externe qui est auscultée. Un score d'entreprise dégradé traduit presque toujours une surface d'attaque mal maîtrisée, des actifs oubliés, une exposition que personne n'avait cartographiée. La lisibilité du risque commence par la connaissance de ce qu'on montre au monde, ce que couvre la gestion de la surface d'attaque externe (EASM).

Cyberscore, NIS2, DORA : la même famille d'exigences

Le cyberscore n'est pas un texte isolé, c'est une pièce d'un mouvement plus vaste où le législateur, français et européen, cherche à rendre la cybersécurité opposable et vérifiable. Là où la loi cyberscore mise sur la transparence vis-à-vis du public, d'autres textes imposent directement des obligations de sécurité aux organisations. La directive NIS2 étend un socle de mesures de gestion des risques à des dizaines de milliers d'entités, et le règlement DORA fait de même pour le secteur financier, avec des tests de résilience à la clé. Trois angles différents, une même intention de fond : sortir la sécurité du déclaratif et la fonder sur des preuves.

Le point commun opérationnel de tous ces cadres est là aussi la visibilité. Que vous deviez afficher un cyberscore, documenter vos mesures NIS2 ou passer les tests DORA, la première question reste la même : savez-vous exactement ce que vous exposez ? Un inventaire d'actifs faux, et c'est presque toujours le cas, condamne l'exercice avant même de commencer. Un actif qu'on ne voit pas, on ne le note pas correctement et on ne le sécurise pas davantage.

À retenir

• Ce n'est pas le jeu vidéo. La loi cyberscore n'a aucun rapport avec la plateforme de succès pour joueurs qui porte le même nom.
• Une note façon Nutri-Score. Instauré par la loi n° 2022-309 du 3 mars 2022, le cyberscore affiche un indicateur coloré pour informer les utilisateurs sur la sécurisation et la localisation de leurs données.
• Les grandes plateformes grand public. Réseaux sociaux, messageries, visioconférence à forte audience : le périmètre se joue sur des seuils de trafic, précisés par le décret d'application.
• Un audit derrière la couleur. La note ne vaut que ce que vaut le diagnostic technique qui la produit ; un audit faible donne un vert trompeur.
• À ne pas confondre avec le cyber rating d'entreprise.Objets distincts, mais tous deux bâtis sur la surface d'attaque exposée.

Que l'enjeu soit un cyberscore, une conformité NIS2 ou simplement de savoir où vous en êtes, tout commence par la même chose : cartographier ce que vous exposez et le rendre lisible. C'est exactement ce qu'on fait chez own2pwn. Pour mesurer votre surface d'attaque externe et transformer un ressenti flou en une image nette de votre risque, parlez-en avec nous via la page contact.