Votre DSI ou votre prestataire informatique vous parle d’audit de sécurité depuis des mois. Vous avez lu que 60 % des PME victimes d’une cyberattaque mettent la clé sous la porte dans les 18 mois qui suivent. Vous savez que vous devriez faire quelque chose. Mais vous ne savez pas exactement ce qu’un audit implique, combien ça coûte, et si votre entreprise a vraiment besoin d’un audit formel ou si quelques bonnes pratiques suffisent.
Ce guide répond à ces trois questions. Il s’adresse aux dirigeants et responsables informatiques de PME françaises – pas aux RSSI de grands groupes qui ont déjà leurs propres équipes. À la fin de cet article, vous saurez ce qu’un audit cybersécurité couvre concrètement, ce que les prestataires font vraiment pendant la mission, combien vous devez budgéter, et comment accéder aux aides publiques qui peuvent couvrir jusqu’à 50 % de la facture.
Pourquoi une PME doit auditer sa cybersécurité en 2026 ?
Le contexte réglementaire a changé
Jusqu’en 2023, la pression réglementaire sur la cybersécurité des PME était essentiellement théorique. La directive NIS2, transposée progressivement en droit français depuis 2024, change la donne pour un nombre important d’entreprises de taille intermédiaire – notamment celles qui sous-traitent pour des entités essentielles ou importantes au sens de NIS2.
Si votre entreprise figure dans la chaîne d’approvisionnement d’un hôpital, d’un opérateur d’infrastructure critique ou d’une collectivité locale, vous pouvez être soumis à des exigences de sécurité indirectes. La directive impose à ces entités de vérifier le niveau de sécurité de leurs sous-traitants. Un audit cybersécurité devient alors le moyen de prouver que vous remplissez vos obligations contractuelles – et de conserver vos clients.
L’article détaillé sur NIS2 et les PME sous-traitantes développe ce point si votre situation entre dans ce cadre.
L’assurance cyber l’exige de plus en plus
Les assureurs cyber – Stoïk, Hiscox, Axa, Generali, Coalition – durcissent leurs conditions de souscription. Depuis 2023, la plupart exigent un questionnaire de maturité détaillé avant d’émettre une police. Certains exigent une preuve d’audit récent pour les contrats supérieurs à 1 M€ de garantie.
Si vous souhaitez souscrire ou renouveler une cyber-assurance, un audit préalable augmente vos chances d’obtenir une prime acceptable – et vous évite les mauvaises surprises lors d’un sinistre sur les clauses d’exclusion liées à un « défaut de mesures de sécurité élémentaires ».
Le guide complet sur la cyber-assurance PME détaille ce point.
L’effet catalogue : les attaquants ne ciblent plus, ils scannent
Une idée fausse très répandue dans les PME : « je suis trop petit pour être ciblé ». En 2026, les attaques par ransomware ne ciblent plus les entreprises – elles scannent des plages d’adresses IP entières à la recherche de vulnérabilités connues. Votre taille ne vous protège pas. Votre niveau de vulnérabilité, si.
Selon le rapport CESIN 2024, 65 % des entreprises françaises de moins de 500 salariés ont subi au moins un incident de sécurité significatif au cours des 12 mois précédents. L’audit n’est pas une dépense préventive abstraite – c’est la mesure de base qui détermine où vous en êtes.
Les quatre types d’audit cybersécurité pour une PME
Tous les « audits cybersécurité » ne se ressemblent pas. Le terme recouvre des prestations très différentes en termes de périmètre, de profondeur et de coût. Voici les quatre familles que vous rencontrerez en tant que PME.
1. L’audit organisationnel (ou audit de gouvernance)
C’est souvent le premier audit recommandé pour une PME qui n’a jamais formalisé sa sécurité. Le prestataire évalue votre organisation : existe-t-il une politique de sécurité documentée ? Qui est responsable de la sécurité informatique ? Les accès sont-ils gérés selon le principe du moindre privilège ? Les sauvegardes sont-elles testées ?
Ce type d’audit se base sur des référentiels comme la norme ISO 27001 ou le référentiel ANSSI. Il ne comprend pas de tests techniques sur vos systèmes. Il produit un rapport de maturité avec une cotation par domaine et un plan d’actions priorisé.
Durée typique : 2 à 5 jours.
2. L’audit technique de configuration (ou revue de sécurité)
Le prestataire examine la configuration de vos équipements et de votre infrastructure : pare-feu, annuaire Active Directory, configuration des postes de travail, politique de mots de passe, gestion des mises à jour, segmentation réseau.
Il ne s’agit pas de tests d’intrusion mais d’une vérification de conformité aux bonnes pratiques. C’est souvent l’audit le plus utile pour une PME car il identifie les failles « faciles » – celles que les ransomwares exploitent en premier.
Durée typique : 3 à 8 jours selon la taille de l’infrastructure.
3. Le test d’intrusion (pentest)
Le prestataire simule le comportement d’un attaquant réel pour identifier les vulnérabilités exploitables dans votre infrastructure. Il existe deux variantes principales pour les PME.
Le pentest « boîte noire » simule un attaquant externe sans information préalable. Le pentest « boîte grise » part d’un niveau d’accès limité – par exemple celui d’un employé ou d’un prestataire – pour évaluer ce qu’un attaquant interne ou un compte compromis pourrait faire.
Un pentest est plus coûteux qu’un audit de configuration et produit des résultats plus directement exploitables par un attaquant. Pour une PME, il est rarement recommandé comme premier audit – il a plus de sens quand les bases sont déjà en place et qu’on cherche à tester leur résistance.
Durée typique : 5 à 15 jours selon le périmètre.
4. L’audit mixte (le plus courant en PME)
La plupart des prestataires proposent aux PME une formule combinant revue organisationnelle et audit technique de configuration, avec parfois un pentest limité sur les points de surface d’attaque prioritaires (VPN, messagerie, accès RDP exposés).
C’est ce format que référencent les prestataires spécialisés PME comme XMCO, Tenexa, Sekost ou Cyberprotect. C’est aussi le format que vise le dispositif France 2030 Cyber PME (voir section aides financières).
Le déroulement concret d’un audit cybersécurité PME
Savoir à quoi s’attendre concrètement aide à préparer la mission et à en extraire le maximum de valeur. Voici comment se déroule typiquement une mission d’audit pour une PME de 30 à 150 personnes.
Phase 1 : cadrage et collecte d’informations (1 à 2 jours)
La mission commence toujours par un entretien de cadrage avec le dirigeant ou le responsable informatique. L’auditeur cherche à comprendre votre activité, vos données sensibles (données clients, données de santé si applicable, propriété industrielle), votre infrastructure technique et vos contraintes opérationnelles.
Il vous demande un questionnaire préliminaire à remplir avant la mission : inventaire des équipements, liste des logiciels critiques, description de l’architecture réseau, politique de sauvegarde existante. Plus ce questionnaire est rempli sérieusement, plus l’audit sera efficace.
Phase 2 : audit sur site ou à distance (2 à 5 jours)
Selon le périmètre choisi, l’auditeur intervient sur site ou à distance via un accès sécurisé. Il examine les configurations, réalise des entretiens avec les utilisateurs clés et les administrateurs, et effectue les tests techniques convenus.
Contrairement à ce que beaucoup imaginent, un audit n’est pas une intrusion permanente dans vos systèmes. L’auditeur travaille avec des accès qui lui sont explicitement accordés, dans un périmètre contractuellement défini.
Phase 3 : restitution et rapport (1 à 3 jours après la mission)
Le prestataire livre un rapport structuré qui comprend :
- Un résumé exécutif accessible aux dirigeants non-techniques
- Une cartographie des risques identifiés, cotés par criticité (critique, majeur, modéré, mineur)
- Pour chaque vulnérabilité : description technique, impact potentiel, recommandation de correction, effort estimé de remédiation
- Un plan d’actions priorisé avec une feuille de route à 3, 6 et 12 mois
La restitution orale est aussi importante que le rapport écrit. Exigez un temps de présentation en présence des décideurs – pas seulement du responsable IT. Les décisions de budget et de priorité doivent impliquer la direction.
Phase 4 : suivi de remédiation (optionnel mais recommandé)
Certains prestataires proposent un accompagnement post-audit pour vous aider à corriger les vulnérabilités identifiées et vérifier l’efficacité des mesures prises. Ce suivi peut prendre la forme d’un audit de contrôle 6 mois plus tard ou d’une relation de prestataire MSSP (Managed Security Services Provider).
Les outils et méthodes que les prestataires utilisent
Sans entrer dans des détails techniques qui n’ont pas de valeur opérationnelle pour un dirigeant, voici les grandes familles d’outils que vous verrez mentionnés dans les propositions commerciales.
Scanners de vulnérabilités
Des outils comme Nessus, OpenVAS ou Qualys permettent d’identifier automatiquement les systèmes exposant des vulnérabilités connues (CVE). Ces scans produisent des résultats bruts que l’auditeur interprète et priorise – la liste brute seule n’a pas de valeur sans cette contextualisation.
Outils d’analyse de configuration Active Directory
Pour les PME sous Windows, l’annuaire Active Directory est souvent la cible prioritaire des ransomwares. Des outils comme BloodHound ou PingCastle permettent de cartographier les chemins d’escalade de privilèges dans votre annuaire – c’est-à-dire les failles qui permettraient à un attaquant de prendre le contrôle de tout votre système informatique depuis un seul compte compromis.
Référentiels méthodologiques
L’ANSSI publie des guides méthodologiques de référence : le guide d’hygiène informatique (42 mesures de base), la méthode EBIOS Risk Manager pour l’analyse de risques formelle, et les guides sectoriels. Les meilleurs prestataires alignent leurs recommandations sur ces référentiels, ce qui facilite votre conformité avec les exigences réglementaires (NIS2, DORA si applicable).
Combien coûte un audit cybersécurité PME : tarifs réels 2026
C’est la question que tout le monde se pose et que peu d’articles traitent honnêtement. Voici une grille tarifaire réaliste basée sur les tarifs du marché français en 2026.
| Type d’audit | Périmètre typique | Tarif indicatif |
|---|---|---|
| Audit organisationnel seul | PME 10-50 salariés | 2 000 – 5 000 € HT |
| Revue de configuration technique | Infrastructure standard PME | 3 000 – 8 000 € HT |
| Audit mixte (orga + technique) | PME 20-100 salariés | 5 000 – 15 000 € HT |
| Pentest externe (boîte noire) | Périmètre exposé | 5 000 – 12 000 € HT |
| Pentest interne + externe | Infrastructure complète | 10 000 – 25 000 € HT |
| Audit complet + suivi 6 mois | PME 50-200 salariés | 15 000 – 35 000 € HT |
Ces fourchettes varient selon plusieurs facteurs : la complexité de votre infrastructure (nombre de sites, présence d’un Active Directory, applications métier spécifiques), le niveau de certification du prestataire (prestataires qualifiés ANSSI vs. prestataires non qualifiés), et la région (les prestataires parisiens facturent généralement 20 à 30 % au-dessus de la moyenne nationale).
Ce que les tarifs très bas signalent
Méfiez-vous des offres à moins de 1 500 € pour un « audit cybersécurité complet ». Dans la pratique, ces offres se limitent à un scan automatisé de vulnérabilités sans analyse humaine, sans rapport contextualisé et sans restitution orale. Ce n’est pas un audit – c’est un scan, utile mais insuffisant.
Un audit qui mérite ce nom implique des jours-homme d’experts. En dessous d’un certain seuil tarifaire, vous achetez un rapport automatisé habillé en prestation.
Coût de l’inaction
Pour mettre les tarifs en perspective : le coût moyen d’un incident ransomware pour une PME française est estimé entre 50 000 et 200 000 € selon les analyses du marché (coûts de remédiation, perte d’exploitation, rançon éventuelle, frais juridiques). Un audit à 8 000 € qui permet d’éviter un tel incident représente un ROI considérable – même si cet audit ne garantit évidemment pas l’absence d’incident.
Aides financières pour financer votre audit cybersécurité
C’est l’une des informations les moins connues des dirigeants PME : des aides publiques existent spécifiquement pour financer les audits cybersécurité. En 2026, deux dispositifs principaux sont accessibles.
France 2030 Cyber PME
Le programme France 2030 Cyber PME, piloté par Bpifrance en partenariat avec l’ANSSI, propose des chèques cybersécurité permettant de financer un diagnostic ou un audit de cybersécurité à hauteur de 50 % du coût, dans la limite de 5 000 € de subvention.
Conditions d’éligibilité principales : entreprise de moins de 250 salariés, activité en France, prestataire de l’audit référencé par le dispositif ou qualifié ANSSI. Le dossier se monte directement sur la plateforme francenum.gouv.fr.
Ce dispositif est particulièrement pertinent pour les PME qui n’ont jamais réalisé d’audit et qui souhaitent démarrer avec une mission de cadrage.
Dispositifs régionaux
Plusieurs régions ont mis en place leurs propres aides à la cybersécurité dans le cadre des contrats de plan État-Région. Les montants et modalités varient. Le plus simple est de contacter votre CCI (Chambre de Commerce et d’Industrie) régionale ou votre conseiller Bpifrance de proximité pour connaître les dispositifs disponibles dans votre département.
Déductibilité fiscale
Les dépenses d’audit cybersécurité constituent des charges d’exploitation déductibles du résultat imposable. Ce n’est pas une aide mais un avantage fiscal mécanique à intégrer dans votre calcul de coût réel.
Comment choisir son prestataire d’audit cybersécurité
Le marché des « auditeurs cybersécurité » est hétérogène. Voici les critères que j’utilise pour distinguer les bons prestataires des moins bons.
La qualification PRIS ANSSI : le critère de référence
L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) qualifie les prestataires d’audit selon un référentiel rigoureux – le PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information). Un prestataire qualifié PASSI a démontré la compétence de ses équipes et la qualité de ses processus.
La liste des prestataires qualifiés est publique sur cyber.gouv.fr. Travailler avec un prestataire qualifié est une garantie de sérieux – et une exigence pour bénéficier du chèque France 2030 Cyber PME.
Parmi les acteurs qualifiés qui interviennent régulièrement sur des dossiers PME : XMCO, Tenexa, Synacktiv (pour les pentests), et plusieurs cabinets régionaux.
Les questions à poser avant de signer
Avant de retenir un prestataire, posez ces questions directement :
Avez-vous des références dans mon secteur d’activité et pour des entreprises de ma taille ? Un auditeur qui n’a jamais travaillé sur des infrastructures PME de taille comparable risque de produire des recommandations inadaptées à vos contraintes.
Qui réalise concrètement la mission ? Certains prestataires vendent des audits et sous-traitent la réalisation à des consultants indépendants de niveau variable. Demandez les CVs des intervenants.
Que contient exactement le rapport livrable ? Demandez un exemple de rapport anonymisé. Un bon rapport n’est pas juste une liste de vulnérabilités – c’est un document d’aide à la décision avec des priorités claires et des recommandations actionnables par votre équipe.
Proposez-vous un accompagnement post-audit ? La valeur d’un audit réside dans sa mise en œuvre. Un prestataire qui disparaît après la livraison du rapport vous laisse avec une liste de problèmes et sans aide pour les résoudre.
Red flags à éviter
Certains comportements doivent vous alerter. Un prestataire qui vous propose un audit complet en moins d’une journée pour une infrastructure de 50 postes n’est pas sérieux – le temps de mission minimum pour produire quelque chose d’utile est incompressible.
Un prestataire qui ne vous pose pas de questions sur votre activité, vos données sensibles et vos contraintes opérationnelles avant de proposer un périmètre ne comprend pas que la sécurité est contextuelle.
Enfin, un rapport livré sans restitution orale est un signal négatif. Les meilleures missions incluent toujours un temps d’échange pour s’assurer que les recommandations sont comprises et actionnables.
Ce qu’un audit ne fait pas
Pour poser des attentes réalistes : un audit de cybersécurité n’est pas une garantie d’invulnérabilité. Il photographie votre niveau de sécurité à un instant T et identifie les actions prioritaires. Mais la sécurité est un processus continu, pas un état stable.
Un audit sans plan de remédiation suivi est un document inutile. La valeur de la mission réside dans ce que vous faites des recommandations dans les 6 à 12 mois qui suivent.
Un audit ne couvre pas nécessairement le facteur humain. Le phishing reste le vecteur d’attaque numéro un. Un audit technique ne remplace pas une politique de sensibilisation des collaborateurs – un sujet que nous traitons dans l’article dédié à la sensibilisation cybersécurité en entreprise.
Questions fréquentes
Quelle est la différence entre un audit cybersécurité et un diagnostic cybersécurité ?
Le diagnostic est généralement moins approfondi et moins coûteux. Il produit une évaluation de maturité rapide (souvent sous forme de score ou de radar par domaine) sans entrer dans l’analyse technique détaillée. Le dispositif France 2030 Cyber PME finance aussi bien les diagnostics que les audits. Pour une PME qui n’a jamais formalisé sa sécurité, un diagnostic est souvent un bon premier pas avant d’engager un audit complet.
Mon prestataire informatique habituel peut-il réaliser l’audit ?
C’est une question d’indépendance. Si votre prestataire informatique administre votre infrastructure, il audite sa propre configuration – ce qui constitue un conflit d’intérêts évident. Un audit crédible est réalisé par un tiers indépendant. Votre prestataire peut vous aider à mettre en œuvre les recommandations après l’audit, mais pas à conduire la mission.
Faut-il être certifié ISO 27001 pour avoir besoin d’un audit cybersécurité PME ?
Non. La certification ISO 27001 est un objectif avancé, souvent pertinent pour des ETI ou des PME avec des enjeux de conformité contractuelle forts. Un audit cybersécurité PME est une démarche beaucoup plus accessible et pragmatique – c’est son premier intérêt.
À quelle fréquence faut-il refaire un audit ?
La recommandation de l’ANSSI pour les PME est un audit tous les 2 à 3 ans, avec une revue annuelle plus légère. En pratique, tout changement majeur de l’infrastructure (migration cloud, fusion-acquisition, déploiement d’un nouvel ERP, arrivée d’un nouveau prestataire avec accès à vos systèmes) devrait déclencher une révision du périmètre de sécurité.
Un audit cybersécurité est-il obligatoire pour les PME ?
Non, pas de manière générale. Mais il peut devenir contractuellement obligatoire si vous travaillez pour un donneur d’ordre soumis à NIS2 qui impose des exigences de sécurité à sa chaîne d’approvisionnement. La tendance est à une extension progressive de ces exigences contractuelles.
Quelle est la durée minimale d’un audit sérieux pour une PME de 30 personnes ?
Difficile de faire quelque chose d’utile en moins de 3 jours pour une PME de cette taille avec une infrastructure Active Directory standard. Les missions de 1 à 2 jours existent mais se limitent à une revue de surface sans profondeur suffisante pour identifier les vulnérabilités sérieuses.
Conclusion : par où commencer
Si vous n’avez jamais réalisé d’audit cybersécurité, voici la séquence recommandée.
Commencez par vérifier votre éligibilité au chèque France 2030 Cyber PME sur francenum.gouv.fr – c’est 5 minutes et potentiellement 5 000 € de subvention.
Identifiez deux ou trois prestataires qualifiés PASSI ANSSI dans votre région ou à l’échelle nationale. Demandez des propositions sur un périmètre d’audit mixte (organisationnel + technique) calibré pour votre taille.
Cadrez la mission avec un objectif clair : la priorité est-elle de répondre à une exigence client/contractuelle, de préparer une souscription cyber-assurance, ou d’avoir une vision claire de vos risques pour prioriser vos investissements IT ?
Si vous souhaitez être mis en contact avec des prestataires d’audit qualifiés qui interviennent sur des dossiers PME, contactez-nous – nous pouvons vous orienter selon votre secteur et votre localisation.
Pour aller plus loin sur les sujets connexes :
- Cyber-assurance PME : le guide complet 2026 – comment choisir votre assurance et combien prévoir
- NIS2 : votre PME est-elle concernée ? – le test en 10 questions
- DPO obligatoire ou non : l’arbre de décision pour PME – clarifier vos obligations RGPD