L’essentiel
- Un audit organisationnel de PME coûte 2 000 à 5 000 € HT, un audit technique de l’architecture 5 000 à 12 000 € HT (fourchettes publiées par des cabinets, octobre 2026).
- Le Diag Cybersécurité de Bpifrance vaut 8 800 € HT, dont 50 % pris en charge : il reste 4 400 € HT à payer, pour les PME de plus de 10 salariés.
- Le diagnostic MonAideCyber de l’ANSSI est gratuit : c’est un premier état des lieux, pas un audit technique.
- Ce qui fait varier le prix : le nombre de jours d’audit, le périmètre (organisation, réseau, Active Directory, cloud) et l’exigence d’un prestataire qualifié PASSI.
- Délai type : 1 à 2 jours pour un diagnostic, 3 à 10 jours de travail pour un audit, rapport compris.
Nous étudions votre besoin et vous mettons en relation avec des prestataires adaptés. Ils vous recontactent directement.
Combien coûte un audit de cybersécurité ? Les tarifs par type d’audit
Le prix d’un audit de cybersécurité dépend d’abord du nombre de jours de travail de l’auditeur. Les cabinets qui publient leurs tarifs facturent ces jours entre 900 et 1 500 € HT. Le tableau ci-dessous reprend les fourchettes publiées pour une PME.
| Prestation | Durée | Prix HT observé |
|---|---|---|
| Diagnostic initial (questionnaire de maturité) | 1 à 2 jours | gratuit à 1 500 € |
| Audit organisationnel (politiques, accès, sauvegardes, sensibilisation) | 2 à 5 jours | 2 000 à 5 000 € |
| Audit Active Directory | variable | 2 500 à 6 000 € |
| Audit technique d’architecture | 5 à 10 jours | 5 000 à 12 000 € |
| Pré-audit NIS2 ou ISO 27001 | variable | 3 000 à 8 000 € |
| Audit de conformité NIS2 complet | 8 à 15 jours | 10 000 à 25 000 € |
| Diag Cybersécurité Bpifrance (8 jours sur 3 à 6 mois) | 8 jours | 8 800 € HT, reste à charge 4 400 € |
Sources : Ayinedjimi Consultants (guide audit PME 2026, mis à jour le 24/10/2026) pour les fourchettes de marché ; Infogreffe – Mes aides publiques (fiche Diag Cybersécurité, mise à jour le 31/08/2025). Fourchettes indicatives, relevées en octobre 2026.
Diagnostic, audit ou test d’intrusion : quelle différence ?
Un diagnostic mesure votre niveau de maturité à partir d’un questionnaire et d’un entretien. Un audit vérifie, preuves à l’appui, que vos pratiques respectent un référentiel (ANSSI, ISO 27001, NIS2), sans exploiter de faille. Un test d’intrusion va plus loin : l’auditeur attaque réellement votre système pour prouver qu’une faille est exploitable.
- Diagnostic : pour savoir par où commencer, en 1 à 2 jours.
- Audit organisationnel : pour une PME sans responsable sécurité qui veut un plan d’action priorisé.
- Audit technique : pour vérifier la configuration du réseau, des serveurs et de l’Active Directory.
- Test d’intrusion : quand un client, un assureur ou un donneur d’ordre exige une preuve.
Ce qui fait varier le prix d’un audit de cybersécurité
- Le périmètre — un seul site et 15 postes, ou plusieurs sites, du cloud et des applications métier : le nombre de jours double vite.
- Le référentiel — un audit de conformité NIS2 ou ISO 27001 demande plus de preuves qu’un audit de bonnes pratiques.
- La qualification de l’auditeur — certaines aides et certains donneurs d’ordre exigent un prestataire PASSI, qualifié par l’ANSSI.
- Les tests techniques — un scan de vulnérabilités ou un test d’intrusion ajoutent des jours.
- Le livrable — un plan d’action chiffré et priorisé vaut plus qu’une liste de constats.
Quelles aides publiques pour financer un audit de cybersécurité ?
Trois dispositifs nationaux ou régionaux réduisent la facture. Vérifiez votre éligibilité avant de signer : la plupart exigent que le devis soit validé avant le début de la mission.
- Diag Cybersécurité (Bpifrance) : 50 % de 8 800 € HT pris en charge, pour les PME indépendantes de plus de 10 salariés, un site de 250 personnes maximum.
- MonAideCyber (ANSSI) : diagnostic gratuit réalisé par un « Aidant cyber », avec 6 mesures prioritaires à appliquer sous 6 mois.
- Aides régionales : par exemple « Mon bouclier cyber expert » en Région Sud, qui finance 50 % des investissements (2 000 à 5 000 €) après un accompagnement reconnu. Le chèque diagnostic cyber d’Île-de-France est fermé depuis le 21/02/2025.
Exemple de budget pour une PME de 30 salariés
Simulation construite à partir des fourchettes ci-dessus, pas un devis réel. Une PME de 30 salariés sur un site, avec un serveur et Microsoft 365, qui veut un état des lieux et un plan d’action :
- Audit organisationnel, 3 jours : environ 3 000 € HT.
- Audit de l’Active Directory et des sauvegardes, 2 jours : environ 2 500 € HT.
- Total : 5 000 à 6 000 € HT, ou 4 400 € HT via le Diag Cybersécurité Bpifrance si l’entreprise est éligible et passe par un prestataire référencé.
Ce que les comparatifs de prix ne disent pas
Le prix de l’audit compte moins que ce qui se passe après. Un rapport de 80 pages sans priorités ne sert à rien à une PME sans service informatique. Demandez à voir un exemple de rapport anonymisé, et vérifiez que le prestataire peut aussi vous accompagner pour les corrections, ou au contraire qu’il est indépendant de l’entreprise qui les fera.
Comment choisir le prestataire d’audit ?
Comparez au moins trois devis sur le même périmètre. Vérifiez la qualification PASSI si une aide ou un client l’exige, le label ExpertCyber de cybermalveillance.gouv.fr pour les PME, des références dans votre secteur et la clarté du livrable. C’est ce que vous obtenez en décrivant votre besoin dans le formulaire.
Questions fréquentes
Combien coûte un audit de cybersécurité pour une PME ?
Comptez 2 000 à 5 000 € HT pour un audit organisationnel et 5 000 à 12 000 € HT pour un audit technique d’architecture, selon les tarifs publiés par des cabinets en 2026.
Le Diag Cybersécurité de Bpifrance est-il vraiment pris en charge à 50 % ?
Oui. La prestation vaut 8 800 € HT par site et Bpifrance en finance la moitié : il reste 4 400 € HT à l’entreprise, si elle est une PME indépendante de plus de 10 salariés.
Existe-t-il un diagnostic cyber gratuit ?
Oui, MonAideCyber, proposé par l’ANSSI et réalisé par des Aidants cyber bénévoles. C’est un premier état des lieux, pas un audit technique.
Combien de temps dure un audit de cybersécurité ?
De 2 à 5 jours de travail pour un audit organisationnel, 5 à 10 jours pour un audit technique, rapport compris. Le Diag Bpifrance s’étale sur 3 à 6 mois pour 8 jours de travail.
Faut-il un prestataire PASSI ?
Pas toujours. La qualification PASSI devient obligatoire quand un texte, une aide ou un donneur d’ordre l’exige, par exemple certains dispositifs régionaux ou le Diagnostic Cyber Défense.
Quelle différence entre audit et test d’intrusion ?
L’audit vérifie la conformité de vos pratiques à un référentiel ; le test d’intrusion exploite réellement les failles pour prouver qu’elles sont dangereuses.
Sources
- Ayinedjimi Consultants — Audit cybersécurité PME 2026 (guide)
- Infogreffe Mes aides publiques — Diag Cybersécurité (Bpifrance)
- Fiducial — MonAideCyber, diagnostic gratuit pour les TPE-PME
- Infogreffe Mes aides publiques — Mon bouclier cyber expert (Région Sud)
- Région Île-de-France — Chèque diagnostic cyber (fermé)
Comment nous travaillons. Cyber-Diagnostic est édité par B1NG SASU (Le Beausset, Var). Nous ne sommes pas un prestataire informatique : nous transmettons votre demande à 3 professionnels maximum, choisis selon votre besoin, votre taille et votre localisation. Les fourchettes de prix de cette page proviennent de tarifs publiés par des prestataires, d’organismes publics et de médias spécialisés, cités ci-dessous. Elles sont indicatives : seul un devis fixe le prix exact.