La filière française de la cybersécurité a atteint un premier palier de maturité, mais certains segments stratégiques restent sous-dotés. C'est le constat qui a conduit le Centre national de coordination en cybersécurité (NCC-FR), incarné par l'ANSSI, à ouvrir un appel à projets intitulé « Soutien au développement de solutions de cybersécurité et à l'amélioration de la maturité de l'offre dans l'écosystème ». Opéré par Bpifrance, il est financé à parts égales par France 2030 et par l'Union européenne au titre du programme Digital Europe.

Le format est volontairement court et ciblé : des projets de 8 à 10 mois, une subvention comprise entre 30 000 et 100 000 euros, et un dépôt ouvert en continu jusqu'en janvier 2028. Voici ce qu'il faut savoir avant de candidater.

Un financement européen « en cascade »

Ce dispositif relève du mécanisme européen de soutien financier à des tiers (FSTP, pour Financial Support for Third Parties), parfois appelé financement en cascade. Le principe : la Commission européenne confie des fonds aux centres nationaux de coordination, qui les redistribuent à des entreprises via des appels à projets simplifiés.

Concrètement, cela se traduit par un dossier plus léger que les grands programmes européens comme l'EIC Accelerator, un projet porté par une seule entreprise, et des montants calibrés pour des travaux de courte durée : prototypage, démonstration, montée en maturité. C'est une porte d'entrée réaliste vers les financements européens pour une PME de la cyber qui n'a pas encore la taille d'un grand consortium.

Trois axes pour trois types de projets

Chaque projet doit s'inscrire dans un seul axe, clairement identifié.

Axe 1 - Solutions cyber et développements techniques

C'est l'axe le plus technologique : il finance le prototypage et la démonstration de briques ou de solutions répondant à des enjeux de doctrine technique ou réglementaire. Sept thématiques prioritaires sont définies :

  • Cryptographie post-quantique (PQC) : inventaire automatisé des actifs cryptographiques, implémentation sécurisée de mécanismes post-quantiques sur de l'embarqué, bibliothèques cryptographiques. La cryptographie quantique, elle, est exclue.
  • Analyse des dépendances logicielles : cartographie et signature des SBOM, analyse de risques, détection de composants compromis dans la chaîne d'approvisionnement, automatisation des correctifs.
  • Passerelle OT vers IT : une passerelle d'interconnexion légère, abordable et intégrant une diode physique, destinée aux petites installations industrielles.
  • Authentification des périphériques USB, côté périphérique ou côté hôte (Windows, Linux), sur la base des protocoles standardisés.
  • Veille des certificats d'accès liés au futur portefeuille européen d'identité numérique, avec détection d'anomalies.
  • Mutualisation et réutilisation du matériel : cloisonnement durci, effacement et chiffrement des supports.
  • Usage de l'IA dans l'évaluation en cybersécurité, au service des centres d'évaluation et des prestataires qualifiés.

Pour toutes ces thématiques, l'ANSSI attend une conformité à ses guides, des pratiques de développement sécurisé, une anticipation d'un futur Visa de sécurité, et une vraie réflexion sur la pérennité des développements, y compris en open source.

Axe 2 - Préparer une qualification ANSSI

Cet axe s'adresse aux prestataires de services de cybersécurité qui visent une qualification ANSSI (PACS, PRIS, PDIS, PAMS, PASSI), ainsi qu'aux organismes d'évaluation de la conformité qui certifient ces prestataires.

L'ANSSI constate que l'accès aux qualifications reste difficile pour certaines structures, en raison de leur taille, de leur implantation ou de leurs moyens. Le projet consiste donc à réaliser, avec un prestataire accompagnateur lui-même qualifié, un audit d'écart complet au regard du référentiel choisi, puis à bâtir un plan de montée en compétences débouchant sur un dépôt de candidature à une échéance précise.

Avec l'entrée en vigueur de NIS2, la qualification devient un argument commercial décisif auprès des entités régulées. Cet axe permet de financer une partie de ce chemin, souvent long et coûteux.

Axe 3 - Peser dans la normalisation

Les PME et startups sont encore peu représentées dans les instances de normalisation, alors même que les normes harmonisées en appui de NIS2, du Cyber Resilience Act, de DORA, de RED ou d'eIDAS vont structurer leurs marchés. L'axe 3 finance l'engagement des PME dans ces travaux : formations à la normalisation, temps passé et frais de participation des experts, mécanismes de parrainage, et rédaction de profils de protection pour la certification de nouveaux types de produits (EUCC, FiT CEM).

C'est un axe à fort effet de levier stratégique : contribuer à écrire la norme, c'est s'assurer que son produit y sera conforme.

Qui peut candidater

Les conditions sont claires et non négociables :

  • une PME au sens européen, immatriculée au RCS en France à la date de dépôt ;
  • un projet mono-partenaire : pas de consortium, et les établissements de recherche ne sont pas éligibles ;
  • des travaux réalisés sur le territoire de l'Union européenne et non engagés avant le dépôt du dossier ;
  • une assiette de dépenses qui n'a pas déjà été financée par un autre dispositif public ;
  • une entreprise à jour de ses obligations fiscales et sociales, et non « en difficulté » au sens européen.

Le dossier doit aussi recenser l'ensemble des aides publiques à la R&D obtenues ou sollicitées sur les trois dernières années : elles servent à apprécier la capacité financière du porteur à mener le projet à terme.

Combien peut-on obtenir

Le projet doit présenter une assiette de dépenses comprise entre 30 000 et 100 000 euros, et l'aide prend la forme d'une subvention, plafonnée à 100 000 euros par porteur. Tout l'enjeu se joue sur le régime d'aide d'État applicable :

  • sous le régime de minimis, l'aide peut couvrir jusqu'à 100 % des dépenses éligibles, dans la limite du plafond de minimis déjà consommé par l'entreprise sur trois ans ;
  • sous le régime d'aides à la RDI, le taux est plafonné à 45 % pour une petite entreprise et 35 % pour une moyenne entreprise.

L'écart est considérable : pour un même projet à 100 000 euros, l'aide peut varier du simple au double. Le choix du régime dépend de l'historique d'aides de l'entreprise et doit être anticipé dès le montage, en cohérence avec le reste du plan de financement. C'est aussi l'occasion de se demander si la subvention est réellement le bon outil pour chaque besoin.

Côté trésorerie, l'aide est en principe versée en une fois, à la fin du projet, sur présentation d'un état récapitulatif des dépenses attesté par un expert-comptable. Une avance de 50 % peut être accordée lorsque le besoin de trésorerie est démontré. Il faut donc pouvoir préfinancer le projet, ou prévoir un relais.

Comment les projets sont sélectionnés

L'instruction se déroule en plusieurs temps : un contrôle de complétude par Bpifrance, une instruction technique par l'ANSSI, une vérification approfondie, puis un comité de pilotage réunissant Bpifrance, l'ANSSI et le Secrétariat général pour l'investissement. La décision finale revient au Premier ministre.

Les critères qui pèsent le plus :

  • l'adéquation aux thématiques du cahier des charges, et pour l'axe 1, le caractère innovant ;
  • le niveau de maturité de départ et la faisabilité technique ;
  • l'insertion dans l'écosystème cyber et l'effet de diffusion dans la filière ;
  • la cohérence entre la situation financière de l'entreprise et l'ampleur des travaux ;
  • la prise en compte de la menace cyber dès la conception (security by design) ;
  • la performance environnementale, évaluée selon le principe DNSH (« absence de préjudice important ») et une grille d'impact dédiée ;
  • les retombées socio-économiques et le caractère souverain de la solution.

Le volet environnemental est souvent sous-estimé par les acteurs de la cyber. Il est pourtant éliminatoire s'il est mal traité, et peut moduler le niveau d'aide. Il mérite d'être construit avec la même rigueur que le volet technique.

Calendrier : deux relèves

L'appel à projets est ouvert depuis sa publication, avec deux dates de relève des dossiers :

  • une relève intermédiaire le 17 février 2027 à midi ;
  • une clôture le 19 janvier 2028 à midi.

Les dossiers se déposent sur la plateforme de Bpifrance. Les projets de la seconde relève devront être achevés au plus tard le 31 mai 2029, sans possibilité de report. Enfin, l'appel peut être clôturé de manière anticipée en cas d'épuisement de l'enveloppe : viser la première relève est donc la stratégie la plus sûre.

Un complément : le Diag Cybersécurité

En parallèle, le NCC-FR finance la moitié du Diag Cybersécurité de Bpifrance, un diagnostic de huit jours mené par un expert habilité, qui débouche sur un plan d'action priorisé et une préparation à NIS2. Il ne s'adresse pas aux mêmes besoins : là où l'appel à projets finance des fournisseurs de solutions cyber, le diagnostic aide toute PME ou ETI à renforcer sa propre sécurité.

Les erreurs à éviter

Sur ce type d'appel à projets court et sélectif, quelques écueils reviennent souvent :

  • commencer les travaux avant le dépôt : les dépenses engagées en amont ne sont pas éligibles ;
  • viser plusieurs axes à la fois : le projet doit s'inscrire dans un axe précis, avec des livrables qui s'y rattachent ;
  • négliger la grille environnementale, perçue à tort comme secondaire ;
  • sous-estimer le besoin de trésorerie, puisque l'aide est versée à la fin ;
  • mal choisir le régime d'aide, ce qui peut diviser par deux le montant obtenu.

Notre rôle chez Storen

Un appel à projets de 100 000 euros ne se prépare pas comme un dossier à plusieurs millions, mais il exige la même précision : positionnement sur le bon axe, démonstration du caractère innovant auprès d'un instructeur aussi exigeant que l'ANSSI, choix du régime d'aide, budget cohérent et grille environnementale solide. Chez Storen, nous accompagnons les PME de la cybersécurité sur l'ensemble de ces points, et articulons cette aide avec leurs autres leviers de financement, de l'EIC Accelerator aux appels à projets France 2030 plus structurants.

Évaluer votre éligibilité à l'appel à projets cybersécurité NCC-FR →