Une dépense est éligible si elle contribue à l'atteinte des objectifs du domaine. Toute dépense qui concourt directement à la remédiation ou à la détection immédiate d'éléments nécessitant la remédiation, est éligible. Les dépenses suivantes n'y concourant pas, elles ne sont pas éligibles (liste non exhaustive) :
- Une application SaaS exposée par un fournisseur
- Une analyse de risque, un EDR ou un abonnement PRIS
- Mise en place d'un gestionnaire de mot de passe
- Mise en place d'un outil de MAJ sur des serveurs LINUX sans les arrêter