⏱ L’essentiel en 30 secondes
- Un audit cybersécurité vérifie votre niveau de sécurité par rapport à un référentiel et produit un rapport opposable. Ce n’est ni un diagnostic (plus court, gratuit chez nous) ni un test d’intrusion (qui attaque réellement).
- Budget 2026 : de 2 000 à 8 000 € HT pour un audit organisationnel de PME, 3 500 à 18 000 € HT pour un audit 360°, et à partir de 5 000 € HT pour un test d’intrusion.
- L’ordre compte : diagnostic → audit ciblé → test d’intrusion. Commencer par l’audit le plus cher sans savoir ce qu’on cherche, c’est le meilleur moyen de payer pour un rapport qu’on ne saura pas exploiter. Un diagnostic offert vous dit quel audit vous est réellement utile.
« Combien coûte un audit cybersécurité ? » est la question qui revient le plus souvent chez les dirigeants de TPE et de PME — juste après « en ai-je vraiment besoin ? ». Les deux méritent une réponse honnête, parce que le mot « audit » recouvre au moins cinq prestations différentes, dont les prix vont du simple au décuple. Cette page pose le vocabulaire, les fourchettes de prix constatées en France en 2026, et la séquence qui évite de dépenser au mauvais endroit.
Avant de commander un audit :
30 minutes pour savoir lequel vous est réellement utile — et si vous en avez besoin.
Audit, diagnostic, test d’intrusion : trois choses différentes
C’est la confusion la plus coûteuse du marché. Un prestataire qui vous vend un « audit » alors que vous aviez besoin d’un état des lieux vous facture dix fois le prix pour un document que vous ne saurez pas utiliser. Voici la distinction, dans l’ordre où ces prestations se pratiquent.
| Prestation | Ce que ça répond | Durée | Prix constaté 2026 | Livrable |
|---|---|---|---|---|
| Diagnostic | « Par où je commence ? » | 30 min à 1 j | 0 à 1 500 € HT | Plan d’action priorisé |
| Audit organisationnel | « Mes pratiques tiennent-elles la route ? » | 2 à 5 j | 2 000 à 8 000 € HT | Rapport + plan de remédiation |
| Audit technique / de vulnérabilités | « Qu’est-ce qui est exposé sur mon SI ? » | 3 à 8 j | 3 000 à 12 000 € HT | Inventaire des failles, criticité |
| Audit de conformité (NIS2, RGPD, ISO 27001) | « Suis-je en règle ? » | 4 à 10 j | 4 000 à 15 000 € HT | Écarts au référentiel, preuves |
| Test d’intrusion (pentest) | « Cette faille est-elle exploitable ? » | 5 à 15 j | à partir de 5 000 € HT | Preuves d’exploitation |
💡 La règle d’ordre : on fait le diagnostic, puis l’audit sur le périmètre identifié, puis le test d’intrusion pour prouver l’exploitabilité. Jamais l’inverse. Un pentest sur un SI dont personne n’a cartographié les actifs coûte cher et trouve les mêmes trois failles évidentes qu’un audit à 3 000 €.
Les 5 types d’audit cybersécurité, et à qui ils servent
1. Audit organisationnel
Il regarde vos pratiques : gestion des accès, politique de mots de passe, procédures de sauvegarde, gestion des départs, réponse à incident. C’est celui qui remonte le plus de risques réels dans une PME de moins de 100 salariés, parce que la majorité des incidents viennent de l’organisation, pas de la technique.
2. Audit technique
Scan de vulnérabilités, revue de configuration des serveurs, du pare-feu, de l’Active Directory ou du tenant Microsoft 365. Produit un inventaire des failles avec un niveau de criticité. Utile quand vous avez une infrastructure hybride ou des applications métiers exposées.
3. Audit de conformité
Mesure l’écart avec un référentiel précis : NIS2, RGPD, ISO 27001, HDS. C’est le seul qui produise un document opposable — celui qu’on présente à un donneur d’ordre, à un assureur ou à une autorité.
4. Audit applicatif / de code
Pour les entreprises qui éditent ou font développer un logiciel, un site e-commerce ou une application métier. Revue de code, tests sur l’authentification, les injections, la gestion des sessions. Rarement utile à une PME qui n’édite rien.
5. Audit de résilience
Il ne cherche pas les failles mais teste votre capacité à redémarrer : restauration réelle d’une sauvegarde, bascule, temps de reprise. C’est le plus négligé et souvent le plus révélateur — beaucoup d’entreprises découvrent à cette occasion que leurs sauvegardes ne se restaurent pas.
Combien coûte un audit cybersécurité en 2026 ?
Les fourchettes ci-dessous correspondent aux tarifs pratiqués en France par des cabinets indépendants et des prestataires spécialisés, pour une PME mono-site. Les grandes ESN facturent généralement 20 à 40 % de plus pour un périmètre équivalent.
Trois variables font l’essentiel du prix :
- Le nombre d’utilisateurs et de sites. Un mono-site de 25 personnes s’audite en 2 à 3 jours ; trois sites et 120 utilisateurs, rarement en moins de 6.
- La complexité de l’infrastructure. Un environnement 100 % Microsoft 365 s’audite vite. Une infra hybride avec serveurs physiques, VPN, ERP métier et postes hétérogènes, beaucoup moins.
- La profondeur attendue. Un rapport de constat coûte moins cher qu’un rapport assorti d’un plan de remédiation chiffré et d’un accompagnement.
⚠ Le piège du devis au forfait sans périmètre écrit. Un audit « à partir de 1 500 € » sans nombre de jours ni liste des systèmes couverts finit systématiquement en avenant. Exigez le périmètre, le nombre de jours-homme et la liste des livrables avant de signer.
De quel audit avez-vous besoin ? Le test en 1 minute
Cochez ce qui correspond à votre situation. L’outil vous oriente vers la prestation adaptée — et vous dit quand un audit n’est pas encore la bonne dépense.
Le déroulé d’un audit, étape par étape
- Cadrage (0,5 j)Définition du périmètre écrit : sites, systèmes, applications, nombre d’utilisateurs, référentiel retenu. C’est l’étape qui détermine le prix et la pertinence du reste.
- Collecte (1 à 3 j)Entretiens avec la direction, le référent informatique et les métiers ; récupération des configurations, des politiques existantes, de l’inventaire des actifs.
- Analyse (1 à 4 j)Confrontation au référentiel, scans techniques si le périmètre le prévoit, hiérarchisation des écarts par criticité et par facilité de correction.
- Restitution (0,5 j)Présentation orale à la direction en langage clair, puis remise du rapport écrit. Une restitution qu’un dirigeant non technique ne comprend pas est un audit raté.
- Plan de remédiationCe qui doit être corrigé cette semaine, ce trimestre, cette année — chiffré. C’est le seul livrable qui transforme un audit en décisions.
Ce que doit contenir le rapport (et ce qui doit vous alerter)
| Un bon rapport contient ✔ | Signal d’alarme ✘ |
|---|---|
| Le périmètre exact audité, et ce qui ne l’a pas été | Aucune mention de ce qui est hors périmètre |
| Une synthèse d’une page lisible par un dirigeant | 40 pages de sortie brute d’outil de scan |
| Des écarts hiérarchisés par criticité et par effort | Une liste de 200 vulnérabilités sans priorisation |
| Un plan de remédiation chiffré et daté | « Il est recommandé de renforcer la sécurité » |
| Les preuves collectées (captures, extraits de configuration) | Des constats sans élément probant |
| Un devis de remédiation séparé et optionnel | Un rapport qui ne débouche que sur l’offre du prestataire |
🚩 Le conflit d’intérêts à surveiller : un prestataire qui audite puis vend lui-même la remédiation n’est pas disqualifié pour autant — c’est fréquent et souvent efficace — mais le rapport doit rester exploitable par un tiers. S’il est illisible sans lui, ce n’est plus un audit, c’est une plaquette commerciale.
Financer son audit : les dispositifs réellement mobilisables
| Dispositif | Ce qu’il finance | Reste à charge | Délai |
|---|---|---|---|
| Diag Cybersécurité Bpifrance | Un diagnostic complet de 8 jours en 4 étapes | 4 400 € HT (subvention 50 % sur 8 800 €) | ~8 jours de mission |
| Mon bouclier cyber expert Région Sud PACA | Les investissements de sécurisation, pas le diagnostic | 50 % des dépenses, 4 000 € HT minimum | 1 à 3 mois d’instruction |
| Cyberdépart État / MesServicesCyber | Un premier questionnaire par un aidant bénévole | Gratuit | Selon disponibilité |
| ⭐ Notre diagnostic | L’état des lieux qui vous dit quel audit commander | 0 € — aucun dossier | Rappel sous 24 h ouvrées |
Montants relevés en août 2026 auprès des opérateurs. Ils évoluent selon les enveloppes budgétaires : vérifiez la fiche officielle avant de déposer un dossier.
🔗 La séquence la plus efficace : notre diagnostic est offert, donc il ne consomme aucune enveloppe. Il produit le plan d’action chiffré qu’on vous demandera de joindre à un dossier régional, ou de présenter en amont d’un Diag Bpifrance. Voir aussi notre page audit de conformité NIS2 et notre guide pour choisir un prestataire.
Les 6 erreurs qui font rater un audit
- Commander un audit sans savoir ce qu’on cherche. Sans question de départ, le rapport répond à celle du prestataire, pas à la vôtre.
- Auditer un périmètre trop large. Un audit qui couvre tout, superficiellement, ne déclenche aucune décision. Mieux vaut auditer à fond ce qui porte le risque.
- Ne pas mobiliser les métiers. Les écarts les plus graves se trouvent dans les usages quotidiens, pas dans la configuration du pare-feu.
- Confondre rapport et conformité. Un audit constate un écart ; il ne vous met pas en règle. La conformité vient de la remédiation.
- Laisser le rapport dormir. Un audit non suivi de correction aggrave votre position : vous ne pouvez plus invoquer l’ignorance, notamment vis-à-vis d’un assureur.
- Refaire le même audit tous les ans à l’identique. Le premier audit établit une base ; les suivants doivent mesurer l’écart avec le plan de remédiation précédent.
Savoir de quel audit vous avez besoin, ça ne coûte rien
En 30 minutes, un spécialiste fait le point sur vos sauvegardes, vos accès, votre exposition et vos obligations. Vous repartez avec un plan d’action priorisé — et la réponse claire à la question « quel audit, pour quel budget ». Réalisé par Phosphorus Technologies, dans le Var.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance