Chèques cybersécurité pour PME franciliennes : aides financières en Île-de-France

Les cyberattaques contre les petites entreprises ne font plus la une des journaux, mais elles paralysent chaque semaine des dizaines de structures franciliennes. Un rançongiciel qui chiffre les fichiers comptables, un hameçonnage qui vide un compte bancaire professionnel, une fuite de données clients qui déclenche une mise en demeure de la CNIL : pour une TPE ou une PME, ces incidents peuvent signifier plusieurs semaines d’arrêt d’activité, voire la cessation pure et simple. La région Île-de-France a mis en place deux dispositifs concrets pour aider les entreprises à se protéger avant que le pire arrive : le chèque diagnostic cyber et le chèque investissement cyber. Comprendre leur fonctionnement, leurs montants réels, les conditions d’éligibilité et les pièges à éviter au moment du dépôt de dossier, c’est exactement ce que ce guide propose.

Pourquoi la région Île-de-France finance la cybersécurité des pme

La France est l’un des pays européens les plus ciblés par les groupes cybercriminels. Les chiffres publiés par les autorités nationales sont sans ambiguïté : les TPE, PME et ETI représentent la grande majorité des victimes de cyberattaques recensées, non pas parce qu’elles sont des cibles plus lucratives que les grands groupes, mais parce qu’elles sont infiniment plus vulnérables. Un grand groupe dispose d’une direction des systèmes d’information, d’une équipe sécurité dédiée, de budgets de protection. Une PME de 40 salariés gère souvent son informatique avec un prestataire externe qui intervient en mode réactif, sans politique de sécurité formalisée ni plan de continuité d’activité.

Le tissu économique francilien amplifie ce risque. L’Île-de-France concentre à elle seule environ 30 % du PIB national et héberge des centaines de milliers de TPE et PME dans des secteurs variés : services aux entreprises, commerce, industrie, santé, logistique. Une attaque par rançongiciel qui touche un sous-traitant francilien peut paralyser une chaîne d’approvisionnement entière. L’hameçonnage ciblé — aussi appelé spear phishing — vise de plus en plus les PME pour accéder, via elles, aux systèmes de leurs donneurs d’ordre. La menace n’est donc pas abstraite : elle a un coût économique direct et mesurable pour le territoire.

C’est dans ce contexte que la région Île-de-France a structuré ses aides à la cybersécurité. L’objectif déclaré est double : réduire l’exposition des entreprises franciliennes aux incidents cyber et créer une dynamique de mise à niveau collective. En subventionnant les diagnostics et les investissements de protection, la région cherche à abaisser le coût d’entrée dans une démarche de sécurité pour des structures qui n’auraient pas engagé ces dépenses seules. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) et la CCI Paris Île-de-France jouent un rôle d’appui dans l’orientation des entreprises vers ces dispositifs et dans la qualification des prestataires acceptés.

Les entreprises les plus touchées par la cybercriminalité partagent plusieurs caractéristiques communes :

• Absence de politique de mots de passe et d’authentification à double facteur
• Sauvegardes inexistantes ou non testées, stockées sur le même réseau que les données de production
• Logiciels métiers et systèmes d’exploitation non mis à jour, parfois en fin de support
• Personnel non sensibilisé aux techniques d’hameçonnage et d’ingénierie sociale
• Absence de segmentation réseau, permettant à un incident localisé de se propager à l’ensemble du système d’information

Ces vulnérabilités ne sont pas une fatalité. Elles sont précisément ce que les dispositifs régionaux visent à corriger, en finançant d’abord le diagnostic qui les identifie, puis les investissements qui les corrigent. La section suivante détaille ce que chaque chèque finance concrètement.

Chèque diagnostic cyber et chèque investissement cyber : ce que financent les aides

Les deux dispositifs sont complémentaires mais distincts. Confondre leur périmètre est l’une des erreurs les plus courantes au moment du montage de dossier. Voici ce qu’il faut retenir avec précision.

Le chèque diagnostic cyber finance une prestation intellectuelle : l’audit de sécurité de votre système d’information. Concrètement, un prestataire spécialisé en cybersécurité vient analyser votre infrastructure, vos pratiques, vos politiques internes, et produit un rapport avec un plan d’actions priorisé. La prise en charge régionale atteint jusqu’à 50 % des dépenses éligibles. Le dispositif couvre l’ensemble des huit départements franciliens : Paris, Seine-Saint-Denis, Hauts-de-Seine, Essonne, Val-de-Marne, Val-d’Oise, Seine-et-Marne et Yvelines.

Les actions couvertes par un tel diagnostic incluent typiquement :

• L’évaluation de la gouvernance cyber (qui décide quoi, avec quelles règles)
• L’analyse des politiques de mise à jour logicielles et systèmes
• L’examen des dispositifs de gestion de crise et de continuité d’activité
• L’audit des règles d’authentification et de gestion des accès
• La vérification des procédures de sauvegarde et de restauration
• Des exercices de crise, en complément des activités d’audit

Le chèque investissement cyber prend le relais : il finance les dépenses matérielles et logicielles qui découlent du diagnostic, c’est-à-dire la mise en œuvre concrète des recommandations. Les montants maximaux sont les suivants :

Les dépenses finançables dans le cadre du chèque investissement cyber sont précisément définies :

• Protection réseau : antivirus, pare-feu, systèmes de détection d’intrusion
• Mise en conformité réglementaire : RGPD, RGS
• Protection des sites et applications web
• Cyberveille (surveillance des menaces)
• Scanners de vulnérabilité
• Évolutions technologiques de l’environnement informatique, mises à jour logicielles et systèmes
• Investissements matériels liés à la sécurité (caméra de surveillance, matériel de protection physique)
• Protection de l’administration technique des systèmes d’information

En revanche, certaines dépenses sont explicitement exclues et leur présence dans un devis suffit à faire rejeter ou sous-optimiser un dossier : l’achat d’ordinateurs, de téléphones professionnels, et toute acquisition en leasing. Un prestataire qui inclut le remplacement du parc informatique dans son devis de sécurisation ne vous rend pas service si vous déposez une demande de chèque investissement.

Point crucial à noter : le chèque investissement cyber n’accepte plus de nouvelles demandes depuis le 21 février 2025. La région l’indique explicitement comme n’étant plus proposé à ce jour. Il est donc indispensable de se renseigner auprès de la CCI Paris Île-de-France ou directement auprès de la région sur une éventuelle réouverture ou sur les dispositifs de substitution actifs. Le chèque diagnostic cyber, lui, mérite d’être vérifié séparément quant à son état d’ouverture actuel.

Cette distinction entre diagnostic et investissement conditionne aussi les critères d’éligibilité, qui varient selon le dispositif et la taille de l’entreprise — c’est ce que la section suivante détaille.

Entreprises éligibles et critères à vérifier avant de candidater

Avant de contacter un prestataire ou de préparer un devis, il faut vérifier que votre structure remplit les conditions d’éligibilité. Certains critères semblent évidents mais cachent des cas limites qui génèrent des refus.

La forme juridique n’est pas un critère discriminant. Toutes les formes sont acceptées : SARL, SAS, SA, entreprise individuelle, mais aussi les associations loi 1901 ayant une activité économique. Une association qui gère une activité marchande (formation professionnelle, service à la personne, restauration collective) peut donc candidater, à condition de remplir les autres critères.

Les conditions cumulatives à vérifier sont les suivantes :

• Implantation francilienne : le siège social et/ou un établissement de l’entreprise doit être situé en Île-de-France.
• Ancienneté : l’entreprise doit être immatriculée depuis au moins 6 mois, que ce soit au RCS, au registre national des entreprises (pour les artisans) ou au répertoire national des associations.
• Situation financière saine : l’entreprise ne doit pas répondre à la notion d’entreprise en difficulté au sens européen du terme (capitaux propres négatifs, procédure collective en cours, etc.).
• Indépendance : l’entreprise ne doit pas appartenir à un groupe dont les effectifs ou le chiffre d’affaires consolidés dépassent les seuils PME.

Les seuils d’effectifs et financiers à respecter sont précis :

Un cas limite fréquent concerne les filiales de groupes. Une PME de 80 salariés dont le chiffre d’affaires propre est de 8 M€ peut sembler éligible, mais si elle appartient à un groupe dont le chiffre d’affaires consolidé dépasse 50 M€, elle ne l’est pas. Il faut toujours raisonner à l’échelle du groupe, pas de l’entité juridique isolée.

Pour le chèque investissement cyber, une condition supplémentaire s’applique aux PME de 10 à 250 salariés : elles doivent avoir réalisé un diagnostic cybersécurité labellisé ou qualifié dans les 12 mois précédant la demande. Ce diagnostic doit avoir été effectué par un acteur reconnu, c’est-à-dire un prestataire certifié PASSI (Prestataire d’Audit de Sécurité des Systèmes d’Information, qualification délivrée par l’ANSSI), porteur du label France Cybersécurité, ou labellisé CCI. Les TPE de moins de 10 salariés, elles, sont dispensées de cette condition préalable.

Les pièces généralement demandées au moment du dépôt comprennent :

• Justificatif d’identité du représentant légal
• Extrait Kbis de moins de 3 mois
• RIB au nom de l’entreprise
• Justificatif comptable attestant de l’activité (exercice N ou N-1), avec modèle d’attestation d’expert-comptable selon que l’entreprise en dispose ou non
• Attestation sur l’honneur relative aux aides dites « de minimis » perçues et demandées sur les deux derniers exercices fiscaux et l’exercice en cours
• Devis pour les dépenses prévisionnelles
• Pour les PME de 10 à 250 salariés : factures acquittées du diagnostic cyber et attestation de certification du prestataire

L’attestation de minimis mérite une attention particulière. Le régime de minimis européen plafonne le cumul des aides publiques reçues par une entreprise sur trois exercices fiscaux. Si votre entreprise a déjà bénéficié d’autres subventions régionales, nationales ou européennes, vérifiez que vous n’approchez pas du plafond autorisé avant de déposer votre dossier. Une fois ces critères vérifiés, la question du budget réel à prévoir avec un prestataire devient centrale.

Combien coûte un prestataire cybersécurité et quel reste à charge prévoir

La question du tarif d’un prestataire cybersécurité est légitime et souvent mal anticipée par les PME. Les ordres de grandeur varient fortement selon la taille de l’entreprise, la complexité du système d’information et le niveau de prestation attendu.

Pour un audit de sécurité (chèque diagnostic cyber), les tarifs pratiqués par des prestataires qualifiés PASSI ou labellisés CCI oscillent généralement entre 1 500 € et 6 000 € HT pour une TPE ou une PME de taille modeste. Une PME de 50 salariés avec plusieurs sites, un ERP métier, des accès distants et une infrastructure cloud peut voir ce coût monter entre 5 000 € et 15 000 € HT selon la profondeur de l’audit. Le chèque diagnostic cyber prenant en charge jusqu’à 50 % des dépenses éligibles, le reste à charge pour une PME qui débourse 4 000 € d’audit sera de l’ordre de 2 000 €.

Pour les investissements de mise en œuvre (chèque investissement cyber), les fourchettes sont plus larges car elles dépendent directement des recommandations du diagnostic :

Pour une TPE de 5 salariés, un plan d’actions réaliste post-diagnostic peut représenter entre 2 000 € et 5 000 € HT d’investissements. Le chèque investissement cyber couvrant jusqu’à 2 500 € pour cette catégorie, il peut financer une part significative — voire la totalité — d’un projet de sécurisation ciblé. Pour une PME de 30 salariés, le même plan d’actions peut atteindre 15 000 € à 30 000 € HT sur deux ans, et le plafond de 10 000 € ne couvrira qu’une partie du programme.

Plusieurs facteurs font varier les prix à la hausse :

• La présence de plusieurs sites ou agences à auditer ou sécuriser
• L’existence d’un environnement industriel (OT/SCADA) en plus de l’informatique de gestion
• Des contraintes réglementaires sectorielles (santé, finance, défense)
• Un historique d’incidents non documentés qui complexifie l’analyse
• Le recours à des prestataires certifiés PASSI, dont les tarifs sont structurellement plus élevés qu’un prestataire informatique généraliste

Un point de vigilance important : le devis présenté à la région doit correspondre exactement aux dépenses éligibles listées. Un devis qui mélange installation d’un pare-feu (éligible) et remplacement de postes de travail (non éligible) ne sera pas rejeté en bloc, mais la base de calcul de la subvention sera réduite aux seules lignes éligibles. Mieux vaut demander à votre prestataire de ventiler clairement les postes de dépenses dès la phase de devis. La section suivante explique comment structurer cette démarche de bout en bout.

Comment demander les chèques cybersécurité en Île-de-France sans se faire recaler

Le dépôt d’un dossier de demande d’aide régionale suit une logique précise. La connaître en amont évite les allers-retours chronophages et les refus sur forme.

Étape 1 — Choisir le bon dispositif. Si vous n’avez jamais réalisé d’audit de sécurité, commencez par le chèque diagnostic cyber. Ce diagnostic est d’ailleurs un prérequis obligatoire pour les PME de 10 à 250 salariés qui souhaitent ensuite accéder au chèque investissement. Pour les TPE de moins de 10 salariés, les deux démarches peuvent théoriquement être menées de front, mais il reste logique de partir du diagnostic pour identifier les investissements prioritaires.

Étape 2 — Identifier un prestataire qualifié. Pour que le diagnostic soit accepté comme pièce justificative d’un futur chèque investissement, il doit avoir été réalisé par un prestataire certifié PASSI, labellisé France Cybersécurité ou labellisé CCI. La CCI Paris Île-de-France dispose d’un annuaire de prestataires référencés. L’ANSSI publie également la liste des prestataires qualifiés PASSI sur son site. Ne choisissez pas un prestataire uniquement sur le prix : vérifiez sa qualification avant de signer.

Étape 3 — Obtenir un devis conforme. Le devis doit être précis, daté, signé par le prestataire, et ventiler les postes de dépenses de manière à identifier clairement ce qui est éligible. Demandez explicitement à votre prestataire d’exclure les lignes non éligibles (matériel informatique standard, téléphonie, leasing) ou de les présenter séparément. Un devis global indistinct est une source fréquente de litiges à l’instruction.

Étape 4 — Constituer le dossier complet. Rassemblez toutes les pièces listées dans la section précédente. L’erreur la plus courante est de présenter un Kbis de plus de 3 mois, ou une attestation de minimis incomplète. Pour les PME, n’oubliez pas les factures acquittées du diagnostic et l’attestation de certification du prestataire.

Étape 5 — Déposer sur la plateforme régionale. Le dépôt se fait en ligne sur la plateforme dédiée de la région Île-de-France. Un avis de décision est annoncé dans un délai d’environ 1 mois après examen de la demande. Ce délai peut varier selon les périodes et le volume de dossiers traités.

Étape 6 — Attendre la notification avant d’engager les dépenses. C’est une règle absolue : les dépenses engagées avant la notification d’aide ne sont pas remboursables. Ne signez pas le bon de commande définitif avant d’avoir reçu l’avis favorable. Le versement de la subvention intervient dans un second temps, sur transmission des factures acquittées.

Les erreurs qui font rejeter ou sous-optimiser les dossiers se regroupent en quelques catégories récurrentes :

• Périmètre flou : un devis qui décrit vaguement une « prestation de sécurisation informatique » sans détailler les actions ne permet pas à l’instructeur d’identifier les dépenses éligibles.
• Dépenses non éligibles mélangées : ordinateurs, téléphones, leasing inclus dans le devis sans séparation des lignes.
• Diagnostic non qualifié : pour les PME, un audit réalisé par un prestataire non certifié PASSI ou non labellisé ne sera pas accepté comme pièce justificative.
• Délai de diagnostic dépassé : le diagnostic doit dater de moins de 12 mois au moment du dépôt de la demande d’investissement.
• Dossier administratif incomplet : Kbis périmé, RIB au nom du dirigeant et non de l’entreprise, attestation de minimis manquante.

Une bonne pratique consiste à faire relire le dossier par un conseiller de la CCI Paris Île-de-France avant dépôt. Ces conseillers connaissent les critères d’instruction et peuvent signaler les points de fragilité. Ce travail de préparation en amont fait gagner plusieurs semaines sur le délai global de traitement. Une fois le processus de demande maîtrisé, il reste utile de situer ces chèques dans l’écosystème plus large des aides disponibles.

Autres aides utiles et dispositifs souvent confondus (dont l’aide de 400 €)

Les chèques cybersécurité franciliens sont souvent confondus avec d’autres dispositifs d’aide aux entreprises, ce qui génère des demandes mal orientées ou des tentatives de cumul incompatibles.

L’aide de 400 € pour la création d’entreprise est fréquemment citée dans les recherches liées aux aides régionales franciliennes. Il s’agit d’un dispositif distinct, sans lien avec la cybersécurité. Cette aide à la création est accessible via la CCI Paris Île-de-France, qui propose un accompagnement à la création et au développement d’entreprise. Pour en bénéficier, il faut se rapprocher directement de la CCI Paris Île-de-France, qui oriente les porteurs de projet vers les dispositifs adaptés à leur situation (statut juridique, secteur, stade de développement). Cette aide ne se cumule pas avec les chèques cybersécurité sur le même poste de dépense, mais les deux peuvent coexister si les projets sont distincts.

D’autres dispositifs sont régulièrement confondus avec les chèques cybersécurité :

• Les aides au numérique de la région Île-de-France : certains dispositifs financent la transformation numérique des PME (e-commerce, dématérialisation, outils collaboratifs). Ils peuvent couvrir des dépenses proches de la cybersécurité mais avec des critères différents. Il faut vérifier que le même prestataire et la même dépense ne font pas l’objet de deux demandes simultanées.
• Le dispositif MonAidecyber de l’ANSSI : il s’agit d’un diagnostic gratuit en ligne proposé par l’ANSSI, destiné à donner une première photographie de la maturité cyber d’une structure. Ce n’est pas une subvention mais un outil d’auto-évaluation. Il peut servir de point de départ avant de solliciter un audit qualifié éligible aux chèques régionaux.
• France Num : le programme national France Num propose des ressources et parfois des aides à la numérisation pour les TPE et PME. Certaines actions peuvent inclure des volets cybersécurité, mais le dispositif est distinct des chèques régionaux franciliens.
• Les aides sectorielles : certains secteurs (santé, industrie de défense, opérateurs d’importance vitale) bénéficient d’aides spécifiques pilotées par l’ANSSI ou des ministères de tutelle. Ces dispositifs ne se cumulent pas nécessairement avec les chèques régionaux.

La règle de base pour éviter le double financement incompatible est simple : une même dépense ne peut pas être financée deux fois par des fonds publics. En revanche, deux projets distincts (un audit financé par le chèque diagnostic, et une formation des salariés financée par un OPCO) peuvent parfaitement coexister. En cas de doute, un conseiller de la CCI Paris Île-de-France peut aider à cartographier les aides mobilisables sans risque de rejet pour cumul irrégulier.

FAQ

Quelle est la subvention pour la cybersécurité pour les PME ?

La région Île-de-France propose deux aides : le chèque diagnostic cyber, qui prend en charge jusqu’à 50 % des dépenses d’audit, et le chèque investissement cyber, plafonné à 2 500 € pour les TPE (moins de 10 salariés) et à 10 000 € pour les PME (10 à 250 salariés). Le chèque investissement n’accepte plus de nouvelles demandes depuis le 21 février 2025 ; renseignez-vous sur sa réouverture éventuelle auprès de la région ou de la CCI Paris Île-de-France.

Quel est le tarif d’un prestataire de cybersécurité ?

Un audit de sécurité réalisé par un prestataire qualifié coûte généralement entre 1 500 € et 6 000 € HT pour une TPE ou une petite PME, et peut dépasser 10 000 € HT pour une structure plus complexe. Les investissements de mise en œuvre (pare-feu, antivirus managé, authentification multifacteur) varient de quelques centaines d’euros à plusieurs milliers selon la taille du parc informatique et les recommandations du diagnostic.

Quelles sont les entreprises les plus touchées par la cybercriminalité ?

Les TPE et PME sont les premières victimes des cyberattaques en volume, principalement parce qu’elles disposent de moins de ressources dédiées à la sécurité informatique. Les secteurs les plus exposés incluent les services aux entreprises, la santé, le commerce et la logistique. Les vecteurs d’attaque les plus fréquents sont le rançongiciel et l’hameçonnage, souvent facilités par l’absence de mises à jour, de sauvegardes testées et de politique d’authentification robuste.

Où demander l’aide de 400 € pour la création d’une entreprise ?

Cette aide est accessible via la CCI Paris Île-de-France, qui accompagne les créateurs et repreneurs d’entreprise en Île-de-France. Il faut se rapprocher directement de la CCI pour vérifier les conditions d’éligibilité et les modalités de dépôt, car les critères peuvent évoluer. Ce dispositif est sans lien avec les chèques cybersécurité.

Les chèques cybersécurité franciliens ne sont pas des gadgets administratifs : pour une TPE ou une PME qui n’a jamais formalisé sa sécurité informatique, ils représentent une opportunité concrète de financer un audit sérieux et les premières actions de protection à un coût réduit. La condition pour en tirer parti reste la même qu’en matière de sécurité : anticiper, préparer, et ne pas attendre qu’un incident force la décision.