Combien coûte un audit de cybersécurité pour une PME ?

Les grilles publiques existent, et elles ne se recoupent pas. Lues directement le 18 septembre 2026 : 500 à 8 000 € chez Vectisec, 2 000 à 8 000 € chez Sicollab, et chez Deefense trois niveaux allant de 1 500 € (formule express, dix à vingt-cinq salariés) à 50 000 € (formule complète, plus de cent salariés).

Un écart de un à cent n'est pas un désordre commercial : c'est le signe que le mot audit désigne des travaux qui n'ont ni le même périmètre, ni la même profondeur, ni le même livrable. Tant qu'on ne dit pas lequel des trois on achète, comparer deux prix n'a pas de sens.

L'audit d'exposition externe. Il mesure ce que votre entreprise laisse voir depuis Internet : domaines et sous-domaines, services accessibles, accès distants, certificats, identifiants de salariés déjà présents dans des fuites publiques. Il ne demande aucun accès à votre système d'information et ne mobilise pas vos équipes. C'est le moins cher des trois, et le seul qui se conduise sans rien perturber.

L'audit organisationnel ou de conformité. Il porte sur vos procédures, vos responsabilités, votre documentation, et se conduit par entretiens avec vos équipes. Son prix se compte en jours d'intervention, et il monte dès qu'un référentiel est visé. C'est la forme qu'a le Diag Cybersécurité de Bpifrance, détaillé plus bas.

Le test d'intrusion. Un expert tente réellement d'entrer sur un périmètre convenu à l'avance, souvent avec des accès fournis. Il se facture au jour d'expert, et c'est la prestation la plus chère des trois. Elle suppose un prérequis rarement dit : elle vérifie en profondeur un périmètre que vous avez déjà défini. Si la cartographie n'a jamais été faite, elle testera ce que vous connaissez, pas ce que vous avez oublié.

L'ordre logique pour une PME sans service informatique interne est donc celui du coût croissant : on établit d'abord la carte, on corrige ce qu'elle révèle, et on ne paie un test en profondeur qu'ensuite.

Les six mêmes facteurs reviennent, presque mot pour mot, sur les grilles publiées par les prestataires français (Deefense et Vectisec, pages lues le 18 septembre 2026).

1. Le périmètre. Le nombre de salariés compte moins qu'on ne le croit : ce qui compte, c'est le nombre de domaines, de sites, de filiales et d'applications accessibles depuis l'extérieur. Une entreprise de quarante salariés née de deux fusions successives expose souvent plus qu'une entreprise de deux cents salariés mono-site.

2. La profondeur. Constater qu'un service est exposé et vulnérable, ou tenter de l'exploiter pour le prouver, ne demandent pas le même travail : la seconde démarche coûte plusieurs fois la première.

3. Le livrable et la restitution. Un rapport envoyé par courriel, ou un rapport avec une synthèse pour la direction, un détail technique exploitable par votre prestataire et une restitution où l'on tranche les priorités avec vous : ce n'est pas le même prix, et c'est souvent là que se joue l'écart.

4. L'échéance. Un questionnaire client à rendre sous trente jours, ou le renouvellement d'un contrat d'assurance, change le prix : l'urgence se paie partout, et ce secteur ne fait pas exception.

5. Le référentiel visé. Un audit destiné à alimenter une démarche de conformité coûte plus qu'un audit destiné à savoir où l'on en est : il faut produire une preuve documentée par exigence. Une PME de trente à cinquante salariés est le plus souvent hors du champ direct de NIS2, et se voit pourtant demander des preuves par ses clients qui, eux, y sont soumis. La règle exacte, avec ses bornes, est détaillée sur notre page NIS2 et les PME de moins de 50 salariés.

6. Ce qui vient après. L'accompagnement à la correction et la contre-vérification sont facturés séparément chez la plupart des prestataires. C'est la ligne à faire expliciter avant de comparer deux montants.

Le Diag Cybersécurité de Bpifrance est le point de comparaison le plus concret, parce que son prix est public : 8 800 € HT, subventionnés à 50 %, soit 4 400 € restant à la charge de l'entreprise, pour un accompagnement annoncé sur 8 jours (fiche officielle Bpifrance, lue le 18 septembre 2026). La même fiche décrit un volet organisationnel et un volet technique, avec réalisation de tests. C'est un accompagnement sérieux, et la différence avec un audit d'exposition externe n'est pas la technicité : c'est le format, huit jours d'intervention et la mobilisation de vos équipes d'un côté, une analyse conduite depuis l'extérieur sans accès ni installation de l'autre.

Les autodiagnostics gratuits proposés par le réseau des CCI se présentent sous forme de questionnaire (dix-sept questions pour celui de la CCI Hauts-de-France, consulté le 18 septembre 2026), suivi d'un rendez-vous possible avec un conseiller. C'est déclaratif et volontairement sans jargon : une sensibilisation utile, qui ne comporte aucune mesure technique.

17Cyber, de Cybermalveillance.gouv.fr, est souvent cité comme un diagnostic gratuit. Il répond en réalité à une autre question : il aide à qualifier un incident déjà survenu et à trouver de l'aide. Il répond à « nous avons été touchés, que faire », pas à « sommes-nous exposés ».

La distinction tient en une phrase : un autodiagnostic mesure ce que vous savez de vous, un audit externe mesure ce qu'un tiers peut voir de vous. Les deux ont leur place, et ne se remplacent pas.

Le baromètre national de la maturité cyber des TPE et PME, publié par Cybermalveillance.gouv.fr le 6 octobre 2025 (enquête OpinionWay auprès de 588 entreprises de moins de 250 salariés, terrain du 2 juin au 7 juillet 2025) : 16 % des entreprises interrogées déclarent avoir subi au moins un incident dans les douze derniers mois. Parmi les entreprises victimes qui ont su identifier la cause, 43 % l'attribuent à l'hameçonnage, contre 24 % un an plus tôt.

L'équipement, lui, est déjà là : 84 % disposent d'un antivirus, 78 % de sauvegardes, 69 % d'un pare-feu. Ce qui manque relève de la vérification : 26 % utilisent la double authentification et 16 % une solution de détection d'attaque (même source). Autrement dit, le budget cyber d'une PME part dans des outils, rarement dans la mesure de ce qu'ils laissent passer.

Un chiffre que nous n'utiliserons pas. Vous lirez souvent que « 60 % des PME ferment dans les six mois suivant une cyberattaque ». Cette statistique circule depuis le début des années 2010, le plus souvent attribuée à une organisation américaine qui a fini par déclarer ne pas en être à l'origine. Nous n'avons trouvé aucune étude primaire qui l'établisse. Un budget ne se décide pas sur un chiffre dont personne ne retrouve la source.

Deux personnes vont lire le devis, et elles ne cherchent pas la même chose.

Ce que le dirigeant vérifie. Le périmètre est-il listé nommément ? Le prix est-il ferme, ou indicatif ? Combien d'heures cela demande-t-il à vos équipes ? La contre-vérification après correction est-elle comprise, et dans quel délai ? Le rapport est-il transmissible en l'état à un assureur ou à un donneur d'ordre ?

Ce que votre prestataire informatique vérifie. Le rapport nomme-t-il les actifs concernés, leurs versions et les références publiques des vulnérabilités identifiées ? Donne-t-il un ordre de correction, avec l'effort associé ? Un rapport qui se contente d'attribuer une note globale n'est pas exécutable : celui qui corrige a besoin de savoir quelle machine, quelle configuration, quelle action, et dans quel ordre.

Un devis qui répond à ces deux listes est comparable à un autre. Un devis qui n'y répond pas est un montant, pas une offre.

Nous ne publions pas de grille tarifaire, pour une raison simple : le prix dépend du périmètre réellement exposé, et nous ne le connaissons pas avant de l'avoir regardé. Ce que nous pouvons dire, c'est ce qui le fait varier : le nombre de domaines et de services réellement exposés, le délai souhaité, et la contre-vérification après correction. Un audit d'exposition externe ne consomme ni jours d'expert sur site, ni temps de vos équipes, ce qui le place dans un autre ordre de grandeur qu'un audit traditionnel ou qu'un test d'intrusion.

Le point de départ est gratuit et ne vous engage à rien : nous vous montrons ce que votre entreprise expose aujourd'hui. Le devis qui suit est ferme, avec son périmètre écrit et sa date de remise.