Prime cybersécurité à Bruxelles : financer un audit et une mission de sécurisation

01

Cybersécurité et Digitalisation : identifier le dispositif applicable

Une prime cybersécurité n’est pas un financement unique valable pour toutes les entreprises belges. À Bruxelles, la sécurisation informatique figure dans la prime Digitalisation. Le projet doit correspondre à une mission ponctuelle apportant des compétences externes, plutôt qu’à un contrat permanent rebaptisé audit.

La mission peut être décrite autour d’un problème concret : des accès trop larges, une application dont les dépendances ne sont plus suivies, une absence de preuve de restauration ou une configuration de production mal connue. Décrire le système, le risque à examiner et le résultat attendu évite un dossier limité au mot « cybersécurité ».

Au 3 novembre 2026, la Digitalisation figure parmi les aides maintenues dans la communication officielle bruxelloise. Cela ne garantit pas un accord individuel, un budget réservé ni un délai de versement. Le dépôt doit porter sur l’entreprise et la mission réelles.

02

Quelles PME peuvent demander cette aide ?

Vérifiez le siège d’exploitation bruxellois, le secteur et la catégorie de PME. L’adresse du consultant ne remplace pas celle du bénéficiaire. Le code NACE TVA, les liens avec d’autres sociétés et la situation administrative doivent être examinés avant de compter la prime dans le financement.

Le prestataire doit pouvoir démontrer sa spécialisation et son expérience, être indépendant et satisfaire aux critères de BEE, dont la durée minimale d’activité de consultance. Demandez qui intervient réellement et sur quel périmètre. Une compétence de développement web ne prouve pas à elle seule toute compétence d’audit ou de certification.

Précisez également les accès nécessaires et les contraintes du contrat. Si un hébergeur ou un éditeur tiers possède le système, faites valider les autorisations. L’éligibilité administrative et l’autorisation technique de réaliser des tests sont deux vérifications distinctes.

03

Audit, remédiation, surveillance : trois besoins différents

Un audit ou diagnostic recherche des écarts et les hiérarchise. La remédiation corrige ceux qui sont retenus dans le périmètre. La surveillance continue suit les signaux dans le temps. Un devis doit préciser lesquels de ces travaux sont inclus, qui valide les changements et qui vérifie les corrections.

Un simple scan automatisé peut aider à repérer des éléments, mais il ne prouve pas que tous les parcours, droits et configurations ont été contrôlés. À l’inverse, un audit très large peut absorber le budget sans qu’aucune correction soit prévue. Choisissez la profondeur en fonction du système et des enjeux de l’activité.

Le tableau décrit des périmètres à discuter et à faire examiner ; il ne déclare pas chaque ligne automatiquement subsidiable. Les abonnements, la supervision régulière et les frais de fonctionnement doivent être isolés de la mission ponctuelle.

04

Site web, application, accès et sauvegardes : où commencer ?

Commencez par les actifs utiles à l’activité : site, applications, espaces d’administration, messagerie, hébergement et données. Repérez les comptes sensibles, les accès de prestataires et les logiciels dont les mises à jour ne sont plus suivies. Le bon ordre dépend de l’exposition et des conséquences d’un incident, pas du nom du langage.

Pour une application web, le périmètre peut couvrir les droits d’accès, les dépendances, les secrets, la configuration et les parcours sensibles. Pour les sauvegardes, demandez une vérification de restauration sur un environnement approprié : une sauvegarde annoncée et une donnée récupérable ne constituent pas la même preuve.

Le Centre pour la Cybersécurité Belgique met à disposition des ressources pour les organisations et le cadre CyberFundamentals. Ces repères peuvent aider à organiser les priorités. Un audit ponctuel ne vaut toutefois ni certification CyFun ni déclaration générale de conformité NIS2.

05

Un devis cyber exploitable par la direction et pour la prime

Demandez une description des environnements, des objectifs et des exclusions. Le document doit distinguer les constats, les corrections et les recontrôles. Précisez le mode de remise des résultats et les personnes habilitées à recevoir les détails techniques sensibles.

Pour chaque constat retenu, le rapport doit permettre de comprendre l’impact possible, le système concerné et l’action recommandée. Une criticité sans contexte ne suffit pas à décider. La restitution de direction peut rester synthétique tout en conservant des preuves techniques dans un canal restreint.

Cette proposition de dossier de preuves est une méthode de réception Gaspa, pas une liste administrative universelle imposée par BEE. Gardez séparément les pièces requises par l’administration et les détails de sécurité qui n’ont pas besoin d’être diffusés largement.

06

Combien peut représenter la prime pour une mission cyber ?

Les simulations supposent 8 000 € HT entièrement admis, les taux justifiés et aucun plafond annuel déjà consommé. Ce ne sont ni des prix Gaspa ni une estimation du coût de tous les audits. L’effort dépend notamment du périmètre, des accès et de la profondeur des vérifications.

Le taux de base est de 25 %. Les majorations peuvent le porter jusqu’à 70 %, selon le profil de l’entreprise et les preuves admises. L’aide reste limitée à 10 000 € par bénéficiaire et par année civile, avec au maximum deux missions et un minimum d’intervention de 500 € par demande.

Ajoutez les postes non admis, la TVA applicable et les coûts de fonctionnement à la part restant à financer. La prime n’est pas une remise immédiate sur la facture. Si des corrections importantes restent hors de la mission, conservez un budget pour les traiter plutôt que de financer uniquement le diagnostic.

07

Quand demander la prime, et que faire en cas d’incident ?

La demande de Digitalisation doit précéder la mission. Définissez avec le prestataire la date du premier travail inclus, rassemblez l’offre et les annexes, puis conservez l’avis de réception MonBEE. Le calendrier permet un début au plus tôt le lendemain du dépôt, sans garantie de décision positive.

La mission peut durer au maximum six mois. Prévoyez les jalons, les validations et les pièces nécessaires au paiement. Consultez aussi les obligations après octroi. Une proposition, un brouillon de formulaire ou un accusé ne doit pas être présenté comme une aide versée.

En cas d’incident en cours, la priorité est la prise en charge adaptée : contenir le problème, préserver les éléments utiles et mobiliser les responsables. Ne retardez pas une action urgente uniquement pour attendre une prime et ne présentez pas une intervention déjà commencée comme une nouvelle mission non démarrée. Faites examiner séparément les travaux futurs réellement distincts.

08

Wallonie, Flandre et France : ne pas transposer les mêmes règles

La Région compétente change le dispositif, les conditions et les critères de prestataire. Une aide bruxelloise ne doit donc pas être présentée comme une prime nationale cybersécurité. Le SPF Économie oriente les PME vers les initiatives des autorités concernées : utilisez cette porte d’entrée pour une implantation située ailleurs.

En Wallonie, distinguez le chèque Cybersécurité du chèque Maturité numérique. Le portail officiel des Chèques-Entreprises publie en 2026 une suspension de ce dernier ; une ancienne page de conseil ne suffit pas à établir sa disponibilité. Vérifiez le chèque réellement visé et les règles du prestataire avant d’engager des travaux.

Pour une entreprise en France ou en Flandre, vérifiez les guichets et dispositifs de son territoire. Cet article ne leur attribue ni le taux bruxellois ni son plafond. Gaspa peut discuter du périmètre technique sans présenter un financement territorial comme acquis.

09

Sources, autres primes numériques et prochaines étapes

Informations vérifiées le 3 novembre 2026. Les liens officiels permettent de contrôler les règles en vigueur avant le dépôt. Ce guide traite de la Région de Bruxelles-Capitale : les conditions ne se transposent pas à une entreprise située uniquement en Wallonie, en Flandre ou en France.

Les quatre guides ci-dessous décrivent des usages différents d’un même dispositif. Ils ne correspondent pas à quatre enveloppes cumulables. Pour une décision sur votre situation, adressez votre question à Bruxelles Économie et Emploi ; pour cadrer les travaux, préparez votre besoin et vos contraintes avec le prestataire.