Qui a besoin de Cyber Essentials ?

Points clés

Point	Résumé
Contrats gouvernementaux	Requis pour les contrats manipulant des données personnelles, produits/services ICT, ou informations de défense
Fournisseurs NHS	Requis pour les fournisseurs manipulant des données patients ou systèmes médicaux connectés
Secteur privé	De plus en plus attendu dans les exigences de supply chain et appels d'offres
Bénéfice assurance	La certification inclut une couverture d'assurance cyber responsabilité (jusqu'à 25 000 £) pour les organisations éligibles
Basic vs Plus	Basic répond à la plupart des exigences contractuelles ; Plus peut être requis pour les travaux à haute sécurité

Réponse rapide : Vous aurez probablement besoin de Cyber Essentials si vous soumissionnez pour des contrats gouvernementaux britanniques impliquant des données personnelles ou services ICT. Les fournisseurs NHS et MoD en ont aussi généralement besoin. Dans le secteur privé, de nombreux clients enterprise et partenaires de supply chain l'attendent de plus en plus comme baseline.

Exigences des contrats gouvernementaux britanniques

Depuis 2014, le gouvernement britannique exige Cyber Essentials pour les fournisseurs soumissionnant sur certains contrats du secteur public.

Où la certification est requise

Contrats gouvernement central impliquant :

• La manipulation d'informations personnelles
• La fourniture de certains produits ou services ICT
• Les contrats au-dessus de seuils spécifiés

Contrats Ministère de la Défense :

• Tous les fournisseurs manipulant des informations de défense
• S'étend souvent à toute la chaîne d'approvisionnement

Contrats NHS :

• Fournisseurs manipulant des données patients
• Systèmes médicaux connectés

Collectivités locales :

• De plus en plus requis pour les contrats, bien que les exigences varient selon les conseils

Exigences Procurement Policy Note

Selon la PPN 014 et ses mises à jour ultérieures, les exigences s'appliquent typiquement comme suit :

Type de contrat	Exigence typique
Manipulation de données personnelles	Cyber Essentials requis
Produits/services ICT	Cyber Essentials requis
Informations de défense	Cyber Essentials requis
Systèmes connectés	Cyber Essentials requis
Contrats généraux à faible risque	Peut ne pas nécessiter de certification

Quel niveau est typiquement requis ?

Scénario	Exigence typique
Contrats gouvernementaux standards	Cyber Essentials (Basic)
Contrats à haut risque ou sensibles	Cyber Essentials Plus
Contrats de défense	Souvent Cyber Essentials Plus
NHS avec données patients	Cyber Essentials Plus recommandé

Pour la plupart des contrats, la certification Basic est suffisante. Plus n'est typiquement spécifié que lorsque le contrat implique des données ou systèmes particulièrement sensibles.

Attentes du secteur privé

Au-delà du gouvernement, Cyber Essentials est de plus en plus attendu dans les relations B2B :

Attentes par industrie

Industrie	Statut Cyber Essentials
Services financiers	Souvent requis par les partenaires
Santé (Privé)	De plus en plus attendu
Services juridiques	Exigence croissante
Services professionnels	Exigence client courante
Industrie manufacturière	Exigence supply chain
Technologie	Baseline attendue

Dynamiques de supply chain

Les grandes entreprises poussent de plus en plus les exigences de sécurité à travers leurs chaînes d'approvisionnement :

Tier 1 : Grandes entreprises

• Définissent les exigences de sécurité pour leurs fournisseurs
• Peuvent exiger ISO 27001 ou Cyber Essentials
• Auditent souvent les fournisseurs clés

Tier 2 : Fournisseurs directs

• Doivent répondre aux exigences Tier 1
• Cyber Essentials souvent suffisant
• Peuvent transmettre les exigences à leurs propres fournisseurs

Tier 3 : Sous-traitants

• Exigences héritées
• Cyber Essentials typiquement acceptable
• Peuvent devoir démontrer la conformité dans les questionnaires

Cet effet cascade signifie que même si vos clients directs n'exigent pas explicitement la certification, leurs clients pourraient, et cette exigence se propage.

Évaluer si la certification a du sens pour vous

Questions d'auto-évaluation

Travail gouvernemental :

• Fournissez-vous actuellement au gouvernement britannique ?
• Prévoyez-vous de soumissionner pour des contrats gouvernementaux ?
• Êtes-vous dans la chaîne d'approvisionnement défense ?
• Fournissez-vous à des organisations NHS ?

Secteur privé :

• Des clients enterprise exigent-ils une certification sécurité ?
• Êtes-vous dans une industrie réglementée ?
• Manipulez-vous des données clients sensibles ?
• Faites-vous partie d'une supply chain plus large ?

Sécurité générale :

• Voulez-vous démontrer votre engagement sécurité extérieurement ?
• Cherchez-vous une baseline sécurité structurée ?
• Avez-vous besoin d'une cyber assurance ?
• Vous préparez-vous pour des certifications plus complètes plus tard ?

Si vous avez répondu "oui" à l'une de ces questions, la certification vaut probablement la peine d'être considérée.

Un cadre de décision pratique

Fournissez-vous au gouvernement britannique ?

• Oui → Cyber Essentials est probablement requis. Vérifiez les exigences spécifiques du contrat.

Des clients enterprise exigent-ils des preuves de sécurité ?

• Oui → Cyber Essentials est recommandé. Cela satisfait souvent les évaluations fournisseurs.

Manipulez-vous des données sensibles ?

• Oui → Cyber Essentials est recommandé. Cela démontre la diligence raisonnable.

Voulez-vous une assurance sécurité baseline ?

• Oui → Cyber Essentials peut être bénéfique comme point de départ.

Quel niveau ?

• Besoins business standards → Basic
• Exigences de sécurité plus élevées → Plus
• Manipulation de données sensibles → Plus
• Secteur défense → Plus

Bénéfices de la certification

Bénéfices business

Accès au marché

• Éligibilité aux contrats gouvernementaux
• Approbation vendeur enterprise
• Statut fournisseur NHS
• Accès au secteur défense

Positionnement concurrentiel

• Différenciateur dans les appels d'offres
• Signal de confiance pour les clients
• Confiance partenaire
• Acceptation supply chain

Gestion des risques

• Environ 80% des attaques courantes adressées
• Exigences d'assurance souvent satisfaites
• Alignement réglementaire démontré
• Réduction potentielle des coûts de breach

Assurance incluse

• Organisations britanniques
• Sous 20M £ de chiffre d'affaires
• Jusqu'à 25 000 £ de couverture
• Automatique avec la certification

Bénéfices sécurité

Bénéfice	Impact
Prévention des attaques	Adresse environ 80% des cyberattaques courantes
Identification des lacunes	L'évaluation révèle les failles de sécurité
Baseline sécurité	Fondation pour d'autres améliorations
Sensibilisation employés	Le processus de certification augmente souvent la sensibilisation à la sécurité
Réduction des incidents	Moins d'événements de sécurité quand les contrôles sont maintenus

Réfléchir aux coûts et retours

Vue d'ensemble de l'investissement

Niveau	Coût direct	Investissement temps
Basic	300-500 £	Variable selon la préparation
Plus	1 500-5 000 £+	Variable selon le périmètre et la préparation

Retours potentiels

Bénéfice	Valeur potentielle
Éligibilité contrats gouvernementaux	Valeur des contrats variable
Accès aux ventes enterprise	Tailles des deals variables
Cyber assurance incluse	Jusqu'à 25 000 £ de couverture
Prévention des breaches	Coût moyen d'une breach PME autour de 8 460 £
Protection de réputation	Difficile à quantifier

Pour de nombreuses organisations, un seul contrat gouvernemental ou deal enterprise peut plus que justifier l'investissement de certification.

Considérations de timing

Quand poursuivre la certification

Scénario	Timing suggéré
Appel d'offres gouvernemental à venir	Commencer 4-6 semaines avant la deadline
Besoin business général	Prévoir 2-4 semaines selon la préparation
En train de soumissionner	Dès que possible
Renouvellement annuel	Commencer 1 mois avant expiration

Prérequis Plus

Exigence	Détails
Certificat Basic	Doit être valide
Limite de temps	Plus doit être obtenu dans les 90 jours suivant Basic
Préparation technique	Tous les contrôles doivent passer la vérification

Si vous prévoyez de poursuivre Plus, il vaut la peine de considérer de commencer le processus peu après avoir obtenu Basic pour rester dans la fenêtre de 90 jours.

Comment Bastion peut aider

Nous aidons les organisations à déterminer si Cyber Essentials a du sens pour leur situation et les guidons à travers le processus de certification.

Besoin	Comment nous aidons
Évaluation des exigences	Nous évaluons votre situation spécifique et les exigences contractuelles
Analyse des écarts	Nous identifions ce qui est nécessaire pour la certification dans votre environnement
Support d'implémentation	Notre équipe apporte des mains supplémentaires pour implémenter correctement les contrôles du premier coup
Accompagnement certification	Nous naviguons le processus et évitons les pièges courants
Conformité continue	Nous aidons à maintenir la certification et gérer les renouvellements

Travailler avec un partenaire de services managés signifie que vous ne naviguez pas en territoire inconnu seul. Nous avons aidé de nombreuses organisations à travers ce processus, et cette expérience signifie moins de faux départs et de retravail coûteux.

---

Vous demandez si Cyber Essentials est fait pour vous ? Parlez à notre équipe