Loi n° 2022-309 du 3 mars 2022
Cyberscore la loi, et son application réelle
Le cyberscore est souvent présenté comme le « Nutri-Score de la cybersécurité ». Le principe est adopté depuis 2022 ; son application, elle, dépend de textes qui conditionnent tout — seuils, référentiel d'audit, modalités d'affichage.
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Ce que dit la loi
La loi n° 2022-309 du 3 mars 2022 crée une certification de cybersécurité pour les plateformes numériques destinées au grand public. Les services dépassant un seuil d'activité doivent faire réaliser un audit par un prestataire qualifié et afficher le résultat de façon lisible et compréhensible, sous forme de diagnostic en code couleur.
La logique est celle de l'information du consommateur : rendre visible, au moment du choix, un niveau de sécurité qui ne l'était pas.
Ce que le dispositif prévoit d'évaluer
Le périmètre annoncé porte sur la sécurisation et la localisation des données hébergées, directement ou par un tiers.
- Où sont hébergées les données des utilisateurs, et sous quelle juridiction.
- Les mesures de sécurisation techniques appliquées à ces données.
- Le recours à des sous-traitants et ce qu'ils peuvent atteindre.
- La restitution du tout sous une forme immédiatement compréhensible par un utilisateur non technique.
Où en est l'application
C'est le point que la plupart des pages omettent : la loi renvoie à un décret pour les seuils et à un arrêté pris après avis de l'ANSSI pour le référentiel d'audit. Tant que ces textes ne sont pas publiés, l'obligation d'affichage n'est pas opposable en pratique.
Vérifiez l'état courant avant d'engager un budget sur ce seul motif : le calendrier a déjà glissé une fois. En revanche, si votre plateforme touche un large public, l'audit qui sous-tend le cyberscore recoupe très largement ce que vos clients grands comptes vous demandent déjà.
Ce qu'il est raisonnable de faire aujourd'hui
Ne pas attendre le décret pour connaître sa note. L'audit correspondant — hébergement, chiffrement, cloisonnement, exposition externe, sous-traitance — est le même travail que celui qui sert un questionnaire client ou une préparation NIS 2. Le faire une fois sert trois fois.
Ce qu'on vous répond avant que vous demandiez.
Mon site e-commerce est-il concerné ?
Le dispositif vise les plateformes grand public dépassant un seuil d'activité fixé par décret. Un site marchand de taille modeste sort du champ ; une place de marché à forte audience y entre. Le seuil précis dépend du décret d'application.
Qui peut réaliser l'audit ?
La loi renvoie à des prestataires qualifiés selon un référentiel arrêté après avis de l'ANSSI. Nous réalisons l'audit technique sous-jacent ; la délivrance d'un cyberscore opposable, elle, suppose ce cadre publié.
Un doute sur ce qui s'applique à votre situation ?
Trente minutes pour démêler ce qui vous concerne réellement — NIS 2, DORA, ISO 27001 — et par quoi commencer. Sans engagement.
Cette page est informative et ne constitue pas un conseil juridique. Les textes de référence font foi.