ExpertCyber Monaco : bien choisir

L'achat le plus difficile pour une entreprise

Demandez à un dirigeant monégasque comment il a choisi son prestataire informatique : la réponse est presque toujours la même. On le lui a recommandé, ou bien il était déjà là quand la société a été créée. Personne ne l'a audité. Personne ne lui a demandé de prouver que la personne disposant des droits d'administration sur les systèmes de l'entreprise sait réellement les sécuriser.

Ce n'est pas de la négligence, mais un vrai problème d'information. La cybersécurité est l'un des rares achats où l'acheteur n'a pratiquement aucun moyen d'évaluer le vendeur. Vous ne pouvez pas juger la configuration d'un pare-feu. Vous ne distinguez pas un bon spécialiste de la réponse à incident d'un simple bavard sûr de lui — jusqu'au jour où quelque chose casse, et l'évaluation devient alors très coûteuse.

Monaco a construit une réponse formelle à ce problème. La Principauté a créé le label ExpertCyber Monaco, destiné aux entreprises de services informatiques capables de démontrer une expertise réelle en cybersécurité, placé sous l'autorité de l'AMSN, l'Agence Monégasque de Sécurité Numérique. C'est une brique modeste, mais elle transforme une décision que la plupart des entreprises prennent aujourd'hui à l'instinct.

Ce qu'est réellement le label

ExpertCyber Monaco repose sur deux textes publiés en juillet 2025 : l'Ordonnance Souveraine n° 11.325 du 10 juillet 2025, qui habilite l'AMSN à labelliser les prestataires, et l'Arrêté Ministériel n° 2025-342 du 3 juillet 2025, qui fixe les critères d'évaluation et les modalités de gestion du dispositif.

Le fonctionnement mérite d'être compris, car il explique le poids du label :

• L'AMSN pilote le dispositif. Son directeur accorde le label, tient le registre des prestataires labellisés et peut le suspendre ou le retirer si les exigences ne sont plus respectées.
• AFNOR Certification réalise les vérifications de conformité au référentiel : l'évaluation n'est donc pas une simple auto-déclaration du prestataire.
• Les collaborateurs intervenant sous le label font l'objet d'une habilitation individuelle, renouvelée tous les trois ans, et le prestataire doit tenir à jour la liste des personnes autorisées.

C'est ce dernier point que les acheteurs oublient le plus souvent. Le label ne se limite pas à un badge d'entreprise : il s'attache à des personnes nommées. L'exigence est nettement supérieure à une simple mention commerciale sur un site web.

Ce qu'un prestataire doit démontrer

L'évaluation ne se résume pas à un examen unique. Un candidat est examiné sur quatre axes :

1. La conformité administrative et réglementaire, y compris son traitement des données personnelles. À Monaco, cela renvoie à la Loi n° 1.565 du 3 décembre 2024 et au contrôle de l'APDP — et non au RGPD européen, qui ne s'applique pas directement à Monaco.
2. La qualité de l'offre de services de sécurité : ce qui est réellement vendu, comment les prestations sont cadrées, comment les incidents sont traités.
3. Les compétences des collaborateurs, évaluées individuellement et non au niveau de la société.
4. La maîtrise technique, vérifiée par un test en temps limité plutôt que décrite sur le papier.

Les domaines couverts incluent l'identification et la caractérisation des cyberattaques, la sécurisation de l'architecture d'un système d'information, l'analyse des vulnérabilités logicielles et des outils de sécurité, ainsi que la compréhension des cadres juridiques et des juridictions compétentes lorsqu'un incident prend une tournure pénale.

Le périmètre est volontairement concret pour les petites structures : systèmes d'information professionnels, téléphonie d'entreprise, administration et protection des sites web. Autrement dit, les trois piliers du quotidien d'une PME monégasque.

À qui cela s'adresse

ExpertCyber Monaco vise les entreprises de services informatiques travaillant pour une clientèle professionnelle : celles qui installent les systèmes, les maintiennent et interviennent quand tout s'arrête. C'est exactement la catégorie de fournisseur dont dépendent la plupart des PME monégasques, et celle qu'elles savent le moins évaluer.

Si vous dirigez une société de cinq à cent personnes — cabinet de conseil, agence, commerce, family office, groupe hôtelier — vous avez presque certainement un prestataire de ce type, et il détient probablement plus d'accès à votre entreprise que n'importe quel autre intervenant extérieur.

Il faut distinguer ce label d'un autre dispositif monégasque : la qualification PINH des prestataires d'informatique en nuage et d'hébergement, définie par l'Arrêté Ministériel n° 2026-59 de février 2026, porte sur l'endroit où vivent vos données. ExpertCyber Monaco porte sur qui touche à vos systèmes. Deux questions différentes, deux registres distincts, tous deux tenus par l'AMSN. Une entreprise bien gérée finit par s'intéresser aux deux.

Comment s'en servir concrètement

Un label ne sert à rien s'il ne rentre pas dans la conversation d'achat. Quelques réflexes utiles :

Consultez le registre avant de signer, pas après. L'AMSN tient la liste des prestataires labellisés et l'AFNOR publie les informations relatives au dispositif. Vérifiez à la source plutôt que de vous fier à un logo sur une page d'accueil : un label peut être affiché après son expiration.

Demandez quelles personnes sont couvertes. Le label s'attachant à des collaborateurs habilités, « notre société est labellisée » et « l'ingénieur affecté à votre compte est habilité » ne sont pas la même affirmation. Exigez la seconde.

Ne disqualifiez pas un prestataire non labellisé. Le dispositif est récent et le registre continue de se remplir. Beaucoup de professionnels compétents à Monaco n'y sont pas encore passés. Le label est une preuve positive forte ; son absence est simplement une invitation à poser des questions plus précises.

Utilisez-le comme grille de lecture, même si vous restez avec votre prestataire actuel. Les quatre axes d'évaluation constituent un bon ordre du jour de revue annuelle : qui a les accès, comment les incidents sont traités, ce qu'il advient des données personnelles, et qui dans l'équipe est réellement qualifié.

Séparez les rôles. L'entreprise qui gère votre réseau est rarement la mieux placée pour construire et sécuriser votre site public. Si votre site traite des demandes, des réservations ou des données clients, sa sécurité relève de celui qui assure votre développement web et votre maintenance de site — avec une responsabilité écrite et claire sur les mises à jour, les sauvegardes et les accès.

Ce que cela dit du contexte monégasque

Monaco met progressivement en place des points de repère officiels qui permettent aux entreprises de vérifier au lieu de croire : l'APDP comme autorité active de protection des données au titre de la Loi n° 1.565, la qualification PINH pour le cloud et l'hébergement, et désormais un label pour ceux qui interviennent sur vos systèmes. Aucun de ces dispositifs n'est une obligation qui pèse sur vous. Tous rééquilibrent l'information en faveur de l'acheteur.

Cela compte davantage à Monaco qu'ailleurs. Le vivier de prestataires est restreint, les relations sont longues, et changer de fournisseur est socialement inconfortable. Un référentiel externe et objectif vous donne une raison neutre de poser une question directe — souvent le plus difficile.

Une réserve, énoncée clairement : ces dispositifs évoluent, les registres changent, et les modalités d'éligibilité et de renouvellement sont administrées par l'AMSN. Si une décision fournisseur ou une question de conformité en dépend, vérifiez directement auprès de l'AMSN et faites-vous conseiller par un professionnel — cet article donne des repères, pas un avis juridique.

Si vous souhaitez déterminer quelles parties de votre dispositif numérique méritent ce niveau d'exigence — et lesquelles sont très bien comme elles sont — contactez-nous. Nous pouvons examiner votre site, votre traitement des données au regard des règles de l'APDP, et les points où votre stratégie digitale et vos relations fournisseurs gagneraient à être resserrées.