Le prix d’un audit cybersécurité varie fortement selon le périmètre retenu, et beaucoup de PME attendent un incident ou une obligation contractuelle pour s’y intéresser. Cet article détaille les fourchettes de coût observées sur le marché français, les facteurs qui font varier la facture, et les signaux qui doivent déclencher la démarche avant qu’un problème ne la déclenche à votre place.
En bref
Un audit cybersécurité coûte le plus souvent entre 2 500 € et 15 000 € pour une PME sur un périmètre organisationnel ou technique standard, et davantage pour une mission multi-volets. Le bon moment pour le lancer se situe avant une obligation réglementaire ou contractuelle, pas après un incident.
Le périmètre choisi pèse plus sur le prix que la taille de l’entreprise : une évaluation organisationnelle légère coûte nettement moins qu’un test d’intrusion mené par un prestataire qualifié PASSI. Cadrer ce périmètre avant de demander des devis évite les écarts de prix injustifiés.
Qu’est-ce qu’un audit cybersécurité, concrètement
Cette évaluation mesure l’exposition réelle d’une organisation face aux risques numériques : configuration des systèmes, gestion des accès, sauvegardes, sensibilisation des équipes, et parfois résistance face à une intrusion simulée. Elle se distingue d’un simple scan automatisé par la présence d’un consultant qui interprète les résultats et priorise les correctifs.
Trois familles de missions coexistent sous ce terme générique : l’audit organisationnel et physique, l’audit technique (configuration, architecture, code), et le test d’intrusion, qui simule une attaque réelle sur un périmètre défini. Un cabinet sérieux cadre ce périmètre avant de chiffrer, plutôt qu’un forfait générique.
Combien coûte un audit cybersécurité selon le périmètre
Le prix d’un audit cybersécurité dépend d’abord du périmètre retenu, pas du nombre d’employés. Une évaluation organisationnelle légère coûte nettement moins qu’un test d’intrusion sur une infrastructure applicative complexe. Le tableau ci-dessous donne des ordres de grandeur constatés sur le marché français.
| Type de mission | Fourchette de prix HT | Durée type | Livrable principal |
|---|---|---|---|
| Audit organisationnel et physique (TPE/PME) | 2 500 € – 6 000 € | 3 à 5 jours | Rapport de conformité et plan d’action priorisé |
| Audit de configuration ou d’architecture | 4 000 € – 10 000 € | 5 à 10 jours | Cartographie des failles techniques |
| Test d’intrusion ciblé (pentest) | 6 000 € – 15 000 € | 5 à 15 jours | Preuve d’exploitation et plan de remédiation |
| Mission multi-volets (organisationnel + technique + intrusion) | 15 000 € – 35 000 € | 15 à 30 jours | Diagnostic complet et feuille de route |
Ces montants concernent une mission ponctuelle. Un dispositif récurrent, avec réévaluation annuelle et suivi trimestriel, change la logique budgétaire : mieux vaut souvent négocier un forfait pluriannuel qu’une succession de missions isolées.
Les facteurs qui font varier la facture
Le nombre de systèmes exposés pèse moins que leur criticité. Une évaluation portant sur une API de paiement coûte plus cher qu’une évaluation sur un site vitrine, parce que le temps de vérification augmente avec l’impact potentiel d’une faille.
La qualification du prestataire influence aussi le prix. Un cabinet qualifié PASSI par l’ANSSI applique une méthodologie encadrée, avec un coût généralement supérieur à celui d’un freelance non qualifié. Pour une mission exigée par une obligation réglementaire, cette qualification n’est pas négociable.
Enfin, l’accès fourni au prestataire change la donne : un test en boîte noire prend plus de temps qu’un test en boîte grise ou blanche, où l’équipe partage une partie de la documentation en amont.
Quand lancer la démarche : les signaux qui ne trompent pas
Le bon moment n’est presque jamais après un incident. Plusieurs signaux doivent déclencher une évaluation avant que le sujet ne devienne urgent : une levée de fonds qui exige un état des lieux, une clause de sécurité dans un appel d’offres client, une migration d’infrastructure, ou l’entrée dans le périmètre de la directive NIS2.
Un changement d’équipe technique ou de prestataire d’hébergement est aussi un déclencheur pertinent : les zones d’ombre héritées de configurations anciennes sont les plus faciles à repérer à ce moment-là.
PASSI ANSSI : pourquoi le référentiel du prestataire compte
L’ANSSI qualifie les prestataires d’audit de la sécurité des systèmes d’information via le référentiel PASSI, qui couvre cinq activités : audit d’architecture, audit de configuration, audit de code source, test d’intrusion, et audit organisationnel et physique. Cette qualification impose des exigences précises sur les auditeurs et la conduite des missions.
Un audit cybersécurité mené par un prestataire qualifié PASSI est souvent requis pour répondre à un marché public, à une exigence d’un grand donneur d’ordre, ou à une obligation issue de la directive NIS2. Pour une PME sans contrainte immédiate, un cabinet compétent non qualifié peut suffire, mais la qualification reste le repère le plus fiable pour comparer des prestataires.
Ce qui se passe après l’audit
Un rapport sans plan de remédiation chiffré reste théorique. La restitution doit distinguer les correctifs urgents, les correctifs prioritaires à impact fort, et les recommandations de fond sur la gouvernance. Sans ce tri, les équipes traitent souvent les correctifs les plus simples plutôt que les plus critiques.
Prévoir un budget de remédiation représentant, selon l’ampleur des failles trouvées, entre 30 % et 100 % du coût de la mission initiale évite la situation la plus fréquente : un rapport détaillé qui reste sans suite faute de ressources allouées en amont.
Note terrain Lead4you
Sur les missions de cadrage qu’on accompagne côté conseil IT, le poste le plus souvent sous-budgété n’est pas l’évaluation elle-même mais le temps de restitution et de suivi post-mission. Une entreprise qui provisionne 8 000 € pour le diagnostic mais rien pour la remédiation se retrouve avec un rapport de 40 pages que personne ne traite dans les trois mois suivants. Le repère qu’on donne systématiquement : budgéter au minimum un tiers du coût de la mission pour le suivi des correctifs.
Checklist rapide avant de lancer un audit cybersécurité
- Définir le périmètre exact (systèmes, applications, locaux) avant de demander un devis.
- Vérifier la qualification PASSI du prestataire si une obligation réglementaire ou contractuelle s’applique.
- Choisir le type de test (boîte noire, grise ou blanche) selon le temps disponible et l’objectif.
- Provisionner un budget de remédiation distinct du coût de la mission.
- Planifier la restitution avec les équipes techniques et la direction, pas uniquement avec le service IT.
- Fixer une date de réévaluation, notamment après tout changement d’infrastructure majeur.
Faire cadrer votre audit cybersécurité avec Lead4you
À lire ensuite
Sources et repères utiles
FAQ
Quelle est la différence entre un audit cybersécurité et un test d’intrusion ?
Le test d’intrusion est une des composantes possibles d’une telle mission, centrée sur la simulation d’attaque technique. L’évaluation complète couvre aussi l’organisation, les procédures et la sensibilisation des équipes. Un prestataire sérieux cadre ce périmètre avant de chiffrer.
Un audit qualifié PASSI est-il obligatoire ?
Non, sauf exigence contractuelle ou réglementaire précise : marché public, cahier des charges d’un grand donneur d’ordre, ou obligation liée à la directive NIS2. Pour une PME sans contrainte immédiate, un cabinet compétent non qualifié peut suffire.
Combien de temps dure un audit cybersécurité pour une PME ?
Une mission organisationnelle légère se boucle en 3 à 5 jours. Une mission technique ou un test d’intrusion prend généralement entre 5 et 15 jours selon le périmètre et l’accès fourni. Une mission multi-volets peut s’étaler sur 15 à 30 jours.
Cette démarche couvre-t-elle la conformité RGPD ?
Pas directement : elle évalue la sécurité technique et organisationnelle, tandis que la conformité RGPD porte sur le traitement légal des données personnelles. Les deux se recoupent sur le contrôle d’accès, mais une évaluation RGPD spécifique reste nécessaire pour couvrir les obligations propres à la CNIL.
Quel budget prévoir en plus de la mission elle-même ?
Prévoir un budget de remédiation représentant entre 30 % et 100 % du coût de la mission initiale selon l’ampleur des failles identifiées. Sans cette provision, une grande partie des recommandations reste sans suite.