Ce qu'est la catégorie Cybersécurité du Kit Consulting
La plupart des PME avec qui je travaille n'ont pas un problème « d'outils » de sécurité : elles ont un problème de jugement. Elles ont acheté un antivirus, peut-être un pare-feu, activé des sauvegardes… et pourtant personne ne peut répondre à la question clé : « sommes-nous réellement protégés, et où sommes-nous le plus faibles ? ». Cette photographie honnête du risque, c'est exactement ce que finançait la catégorie Cybersécurité du Kit Consulting.
Le Kit Consulting est un programme public géré par Red.es, au titre du Composant 13 du Plan de Relance, Transformation et Résilience (PRTR) et financé par les fonds NextGenerationEU. Sa logique diffère de celle du programme Kit Digital : le Kit Digital finance la mise en œuvre de solutions (y compris une solution de cybersécurité), tandis que le Kit Consulting finance le conseil d'expert qui décide quoi faire et comment. Si vous cherchez la vue d'ensemble du programme, vous la trouverez dans mon guide sur ce qu'est le Kit Consulting.
Au sein du programme, la cybersécurité était l'une des catégories les plus demandées, et pour de bonnes raisons : le nombre d'incidents affectant les PME espagnoles ne cesse d'augmenter, et beaucoup ne se remettent pas bien d'une attaque grave. Il convient de préciser que cet article décrit la catégorie de conseil dans son ensemble. Si vous vous intéressez spécifiquement à la préparation d'une certification ISO 27001 avec le Kit Consulting, je traite ce sujet en détail dans cybersécurité et ISO 27001 avec le Kit Consulting ; ici je me concentre sur la portée générale, les livrables et le profil du conseiller.
Que couvre le conseil en cybersécurité du Kit Consulting ?
Le programme structurait la cybersécurité en trois sous-niveaux, conçus pour accompagner l'entreprise selon son point de départ. L'approche raisonnable était de commencer par le niveau de base avant de passer aux niveaux avancés.
Cybersécurité de base. C'est le point d'entrée. Le conseiller aide à développer un plan de cybersécurité de base adapté aux besoins spécifiques de la PME : identifier les actifs importants, évaluer les principaux risques et proposer des mesures de protection essentielles. Pour une entreprise partant de zéro, ce niveau représente déjà un saut énorme en matière de maîtrise.
Cybersécurité avancée. Pour les entreprises ayant davantage de maturité, elle approfondit des domaines tels que la gestion des incidents, la continuité d'activité, la sécurité des fournisseurs ou des mesures techniques plus exigeantes. Elle exige généralement d'avoir déjà réalisé le niveau de base.
Préparation à la certification. Destinée aux PME qui veulent prouver formellement leur sécurité à leurs clients ou dans des appels d'offres. Elle prépare le terrain pour des certifications comme l'ISO 27001 ou l'Esquema Nacional de Seguridad, en laissant la documentation et les processus prêts pour affronter l'audit.
Livrables : que rapportait-on chez soi ?
Ce qui distingue un vrai conseil d'une simple discussion, c'est le livrable tangible. Dans la catégorie cybersécurité, voici ce qu'une PME devait s'attendre à recevoir à la fin. Je l'ai résumé dans le tableau ci-dessous, qui fait aussi office de liste de contrôle pour évaluer toute proposition de conseil en sécurité :
| Livrable | Ce qu'il comprend | À quoi il sert |
|---|---|---|
| Diagnostic de sécurité | Inventaire des actifs, analyse des risques et vulnérabilités détectées | Savoir où l'on est réellement faible |
| Plan de cybersécurité | Mesures techniques et organisationnelles priorisées par risque | Disposer d'une feuille de route, pas d'une liste de craintes |
| Politiques et procédures | Règles d'usage, mots de passe, sauvegardes et réponse aux incidents | S'assurer que l'équipe sait comment agir |
| Plan de continuité | Comment continuer à fonctionner après un incident grave | Ne pas être paralysé après une attaque |
| Préparation à la certification | Documentation et processus prêts pour l'ISO 27001 ou l'ENS | Prouver sa sécurité aux clients |
Notez une nuance importante : le conseil ne met pas en œuvre les mesures techniques, il les planifie. Installer le pare-feu, déployer l'authentification à deux facteurs ou souscrire des sauvegardes en cloud relève de l'exécution, pour laquelle une autre voie (comme le Kit Digital) convient mieux. Le Kit Consulting vous donne le plan ; construire la maison vient après.
Combien finançait le bon de cybersécurité ?
Le Kit Consulting fonctionnait avec un bon dont le montant total dépendait de la taille de l'entreprise, et chaque service individuel avait un plafond de 6 000 €. Voici les trois segments :
| Segment | Taille de l'entreprise | Montant total du bon | Services (plafond de 6 000 €/service) |
|---|---|---|---|
| Segment A | De 10 à moins de 50 salariés | 12 000 € | Jusqu'à 2 services |
| Segment B | De 50 à moins de 100 salariés | 18 000 € | Jusqu'à 3 services |
| Segment C | De 100 à moins de 250 salariés | 24 000 € | Jusqu'à 4 services |
En pratique, une PME pouvait consacrer l'un de ses services à la cybersécurité et en combiner un autre, par exemple, avec la catégorie IA ou processus. L'aide était accordée sans mise en concurrence, au fil de l'eau jusqu'à épuisement des fonds.
Aide-t-il à préparer une ISO 27001 ou l'ENS ?
Oui, et c'est l'un des usages les plus sensés du niveau avancé et du niveau de préparation à la certification. Une PME qui veut candidater à des marchés publics ou travailler avec de grands clients a généralement besoin de démontrer sa sécurité, et les deux références habituelles sont l'ISO 27001 (la norme internationale de management de la sécurité de l'information) et l'Esquema Nacional de Seguridad (obligatoire pour le secteur public et, de facto, pour ses fournisseurs).
Le conseil ne vous remet pas la certification elle-même — celle-ci est délivrée par un organisme accrédité après un audit — mais il prépare le terrain : l'analyse de risques, les politiques, les procédures et la documentation que l'audit demandera. C'est la différence entre arriver à la certification avec ses devoirs faits ou repartir de zéro. Je traite l'angle spécifique de l'ISO 27001 dans cet article complémentaire, et si le plan directeur de sécurité vous intéresse comme cadre plus large, je le traite dans plan directeur de sécurité.
Pour quel type de PME a-t-il du sens ?
D'après mon expérience à accompagner des entreprises en Castilla y León et aux Canaries, le conseil en cybersécurité convient particulièrement quand :
Vous manipulez des données sensibles. Données clients, informations financières, propriété industrielle... Plus ce que vous détenez a de la valeur, plus vous êtes une cible attrayante pour un attaquant, et plus vous avez besoin d'un plan sérieux.
Vous dépendez de vos systèmes pour fonctionner. Si une attaque qui met hors service vos systèmes pendant des jours mettait en péril votre chiffre d'affaires, l'investissement en prévention se rentabilise de lui-même.
Vous avez des clients qui exigent des garanties. De plus en plus de contrats — publics et privés — vous demandent de démontrer des mesures de sécurité. Un bon plan ouvre des portes commerciales, il ne fait pas que vous protéger.
Vous n'avez jamais réalisé de diagnostic formel. Si votre sécurité repose sur « ce que nous avons acheté par hasard », il est très probable qu'il existe des failles que seule une analyse ordonnée révélera.
Qui fournit ce conseil ?
Seul un conseiller numérique adhéré au programme, inscrit au catalogue officiel de Red.es et disposant d'une solvabilité technique accréditée pour la catégorie cybersécurité. N'importe quel prestataire ne convenait pas : le programme exigeait l'inscription formelle du conseiller et la signature d'un accord de prestation de services avec la PME.
Pour la cybersécurité, cherchez un profil qui comprend à la fois le volet technique (risques, contrôles, réglementation) et la réalité opérationnelle d'une PME. Un plan de sécurité de manuel, recopié d'une grande entreprise, est généralement inapplicable — et donc inutile — dans une organisation de vingt personnes. La proportionnalité est essentielle : se protéger de ce qui vous menace réellement, sans faire grimper les coûts avec des contrôles dont vous n'avez pas besoin. Si vous voulez voir comment cela se traduit en services et coûts réels en dehors du programme, je le traite dans conseil en cybersécurité pour les entreprises.
Erreurs fréquentes en cybersécurité chez les PME
Un bon conseil vous aide à éviter les pièges que je constate le plus souvent. Voici les plus courants :
Penser « nous sommes trop petits pour que quelqu'un nous attaque ». C'est exactement le contraire : les attaquants automatisent et visent le maillon le plus faible, qui est généralement la PME peu défendue. La taille ne protège pas.
Tout confier à un seul outil. Un antivirus n'est pas un plan de sécurité. Sans politiques, formation et sauvegardes vérifiées, l'outil seul laisse d'énormes failles.
Ne pas tester les sauvegardes. Avoir des sauvegardes que personne n'a jamais restaurées revient à avoir un faux sentiment de sécurité. La sauvegarde jamais testée est celle qui échoue le jour de l'incident.
Oublier l'équipe. La plupart des incidents entrent par un clic humain : un e-mail de phishing, un mot de passe réutilisé. Sans former les personnes, même la meilleure technologie ne suffit pas.
Ignorer les fournisseurs. De nombreuses attaques passent par des tiers ayant accès à vos systèmes. Un bon plan examine aussi la sécurité de votre chaîne d'approvisionnement.
De base, avancé ou certification : quel niveau vous convient ?
L'un des doutes les plus fréquents est de savoir lequel des trois sous-niveaux choisir. La réponse dépend de votre maturité de départ, et il vaut la peine d'y réfléchir soigneusement car, dans un bon plafonné, chaque service compte. Voici la logique que j'applique en accompagnant une PME :
Si vous n'avez jamais rien fait de formel en sécurité, commencez par le niveau de base. Il vous donne le diagnostic et le plan qui mettent de l'ordre dans le chaos initial, et il révèle souvent des risques que l'entreprise ne soupçonnait même pas. Sauter cette étape pour passer directement à l'avancé se retourne généralement contre vous, car vous construiriez sur des fondations que vous ne comprenez pas.
Si vous avez déjà les bases couvertes — sauvegardes, antivirus, quelques politiques — et voulez approfondir la gestion des incidents, la continuité ou la sécurité des fournisseurs, le niveau avancé est votre place. Il suppose un point de départ plus mature.
Si votre objectif est commercial — prouver votre sécurité pour remporter des contrats ou satisfaire un grand client — la préparation à la certification est la voie à suivre. Mais attention : elle n'a de sens que si vous visez réellement la certification ; sinon, vous vous retrouverez avec une documentation que vous n'utiliserez pas.
Dans les entreprises disposant de plus d'un service dans leur bon, une combinaison courante et sensée était base + avancé, ou base + préparation à la certification, en enchaînant tout le parcours au sein d'un même appel.
Kit Consulting et Kit Digital en cybersécurité : ils se complètent
Un point qui prête à confusion : le Kit Consulting et le Kit Digital touchent tous deux à la cybersécurité, mais ils font des choses différentes et, bien utilisés, se complètent. Le Kit Consulting vous apporte le conseil : le diagnostic, le plan et les politiques, autrement dit le « quoi faire et pourquoi ». Le Kit Digital, quant à lui, finance la mise en œuvre de solutions de cybersécurité spécifiques — comme un antivirus avancé ou la protection des appareils — autrement dit le « le faire ».
La séquence idéale, quand les deux programmes étaient ouverts, était d'utiliser le conseil pour décider de ce dont vous aviez besoin et la mise en œuvre pour le mettre en place. Je compare les deux programmes en détail dans Kit Digital contre Kit Consulting, à lire si vous hésitez encore sur ce qui convient à chaque besoin.
État actuel du Kit Consulting et fonds restants
Pour éviter de créer de fausses attentes : la période de candidature ordinaire du Kit Consulting s'est terminée le 31 mars 2025 et l'appel apparaît comme clos sur le site Acelera Pyme. Les PME ayant obtenu un bon sont en phase d'exécution et de justification.
L'évolution 2026 est l'Orden TDF/38/2026, de 26 de enero (BOE-A-2026-2069), qui a modifié les bases réglementaires du programme pour permettre de redistribuer les fonds restants et de traiter les candidatures précédemment exclues faute de budget. Cela dit, l'arrêté lui-même n'a pas encore fixé de délais ni de procédure spécifique, donc la manière rigoureuse de le décrire est celle d'une « voie de fonds restants », et non d'une réouverture confirmée. Je tiens ce point à jour dans l'état du Kit Consulting en 2026.
Ma recommandation est simple : la cybersécurité n'attend pas les aides. Si votre entreprise n'a jamais réalisé de diagnostic sérieux, faites-le — avec ou sans bon. Et si la voie des fonds restants se concrétise, vous aurez déjà une longueur d'avance pendant que d'autres y réfléchissent encore. Si vous souhaitez un regard d'expert proportionné à votre cas, je serai heureux de vous aider à démarrer avec le diagnostic.