Cyberscore : qu'est-ce que c'est ?

Le Cyber score a été mis en place par la loi du 3 mars 2022, qui modifie le code de la consommation. Inspiré du Nutri-score, ce nouvel indicateur fait son apparition depuis le 1er octobre 2023 sur les plateformes numériques destinées au grand public. 

Qu'est-ce que le Cyber score ?

Le Cyber score est basé sur un audit de sécurité. Cet audit doit être réalisé par des prestataires qualifiés par l’Agence nationale de la sécurité des systèmes d’information (Anssi). Le nouvel article L.111-7-3 du code de la consommation précise que cet audit porte « sur la sécurisation et la localisation des données qu’ils hébergent, directement ou par l’intermédiaire d’un tiers, et sur leur propre sécurisation ». 

La loi renvoyait à un décret et un arrêté pour fixer les critères pris en compte durant l’audit et lister les plateformes concernées par cette nouvelle obligation. Des travaux avaient été lancés avec les parties prenantes. Cependant, dans une communication du 4 octobre 2023, soit trois jours après l’entrée en vigueur de l’obligation, la Fédération du e-commerce et de la vente à distance (Fevad) regrettait l’absence de ces textes d’application.  

Un projet d’arrêté permet toutefois de connaître les grandes catégories de l’audit de sécurité permettant de délivrer la notation Cyber score. Parmi ces catégories, on retrouve notamment : 

• L’organisation et la gouvernance cybersécurité (existence d’une assurance cyber, certification de sécurité…) 

• Les mesures mises en place en matière de protection des données (hébergement des données, exposition des données à des lois étrangères, partage des données avec des tiers…) 

• La connaissance et la maîtrise du service numérique (cartographie des informations traitées…) 

• Le niveau d’externalisation, notamment en ce qui concerne les infrastructures d’hébergement 

• Le niveau d’exposition sur internet 

• Le dispositif de traitement des incidents de sécurité. 

Quelle est l'utilité du futur Cyber score ? 

Hameçonnage, rançongiciels, piratage de compte : la liste des attaques informatiques est aussi nombreuse que variée. Or, il n’est pas toujours facile, lorsqu’on est néophyte, de détecter au premier coup d’œil un site fiable. C’est pourquoi la loi a mis en place cet étiquetage très visuel de la sécurité des sites et services numériques utilisés par les Français. 

Bon à savoir

Pour bien réagir en cas de fraude, découvrez les 5 décisions à prendre après une cyberattaque.

Qui est concerné par le Cyber score ?

Le Cyber score devrait concerner les éditeurs de services tels que les plateformes de cloud, les logiciels de visioconférence, les systèmes de messagerie instantanée ou encore les réseaux sociaux qui sont soumis au Règlement général sur la protection des données (RGPD). Les comparateurs de prix pourraient être également inclus dans la démarche.