Audit de cybersécurité pour PME : déroulé, prix et comment choisir son prestataire

Publié le 9 novembre 2026 · 8 min de lecture

Qu'est-ce qu'un audit de cybersécurité ?

Un audit de cybersécurité est une évaluation, par un prestataire extérieur, de la façon dont l'entreprise protège ses données, ses postes, ses serveurs et ses applications. Il compare la situation réelle à un référentiel (bonnes pratiques de l'ANSSI, norme ISO 27001, exigences d'un client ou d'une réglementation) et en tire une liste de failles et de mesures à prendre.

On parle aussi d'audit de sécurité informatique. Les deux expressions désignent la même démarche ; « cybersécurité » insiste davantage sur les menaces venues d'internet (rançongiciels, hameçonnage, intrusions).

Les différents types d'audit

Le mot « audit » recouvre plusieurs prestations. Les cinq types ci-dessous correspondent aux domaines d'audit de la qualification PASSI de l'ANSSI, ce qui en fait une bonne grille de lecture pour comparer des devis.

Pour une première démarche, une PME commence en général par un audit organisationnel complété d'un audit de configuration. Le test d'intrusion vient ensuite, sur un périmètre précis (site web, accès à distance, application).

Comment se déroule un audit

Les méthodes varient d'un prestataire à l'autre, mais on retrouve presque toujours quatre temps. Le Diag Cybersécurité de Bpifrance, par exemple, se déroule en 4 étapes sur 8 jours.

1. Le cadrage. Le prestataire et le dirigeant fixent le périmètre (sites, postes, serveurs, cloud, applications), les interlocuteurs, le calendrier et les autorisations. Pour un test d'intrusion, une autorisation écrite est indispensable.
2. La collecte. Entretiens avec la direction et la personne chargée de l'informatique (salarié ou prestataire), revue des documents, contrôles techniques.
3. L'analyse. Chaque écart est noté selon sa gravité et sa probabilité d'exploitation.
4. La restitution. Un rapport et, surtout, un plan d'action classé par priorité, présenté à la direction.

Prévoyez la disponibilité de votre prestataire informatique pendant l'audit : c'est lui qui connaît les réglages et qui appliquera une bonne partie des recommandations.

Combien coûte un audit de cybersécurité ?

Un audit se facture au nombre de jours de consultant. Le prix dépend donc du périmètre : nombre de sites, de postes, de serveurs, d'applications et types d'audit retenus.

Le repère public le plus solide est le Diag Cybersécurité de Bpifrance : 8 jours de mission pour 8 800 € HT, subventionné à 50 % pour les PME éligibles, soit 4 400 € HT à la charge de l'entreprise. Il couvre un seul site physique, de 250 personnes au plus (sources en fin d'article, relevées le 9 novembre 2026).

Pour comparer des devis, demandez systématiquement le nombre de jours, le prix par jour et le détail de ce qui est inclus (rapport, restitution, contre-audit après corrections). Un devis qui ne détaille pas les jours est difficile à comparer.

Les aides publiques à connaître

• MonAideCyber (ANSSI) : un diagnostic gratuit d'1h30 avec un « aidant cyber » formé par l'ANSSI, qui débouche sur six mesures prioritaires. C'est un premier niveau, pas un audit technique, mais c'est le bon point de départ pour une petite structure.
• Diag Cybersécurité (Bpifrance) : un diagnostic approfondi réalisé par un expert habilité, subventionné à 50 % pour les PME éligibles, avec un plan d'action priorisé.
• Dispositifs régionaux : plusieurs régions et CCI financent ou organisent des diagnostics. Les conditions changent souvent : vérifiez auprès de votre région ou de votre CCI.

Comment choisir son prestataire

Six points à vérifier avant de signer :

1. La qualification PASSI, si un client, un donneur d'ordre ou une réglementation l'exige. L'ANSSI publie la liste des prestataires qualifiés. Pour un audit que vous faites pour vous-même, elle n'est pas obligatoire.
2. Les références auprès d'entreprises de votre taille et, si possible, de votre secteur.
3. Le livrable : demandez un exemple de rapport anonymisé. Le plan d'action doit être compréhensible par un dirigeant, pas seulement par un technicien.
4. L'indépendance : un prestataire qui vend aussi des logiciels ou des services peut être tenté de recommander les siens. Ce n'est pas un problème en soi, mais demandez-lui de le dire clairement.
5. La confidentialité : convention d'audit, engagement de confidentialité, conservation et destruction des données collectées.
6. L'après-audit : le prestataire peut-il accompagner les corrections, ou faire un contre-audit pour vérifier qu'elles sont efficaces ?

Et après l'audit ?

Un audit ne protège de rien s'il reste dans un tiroir. Commencez par les mesures classées urgentes, souvent simples et peu coûteuses (double authentification, sauvegardes déconnectées, mises à jour, comptes administrateurs). Fixez un responsable et une date pour chaque action, puis prévoyez un point d'étape à six mois et un nouvel audit après un changement important (déménagement, nouvel outil, croissance rapide).

Questions fréquentes

Sources

• MonAideCyber, plaquette de présentation (ANSSI)
• Cybersécurité : subventions et accompagnements publics (entreprises.gouv.fr)
• Diag Cybersécurité de Bpifrance (Mes aides publiques, Infogreffe)
• Diagnostic Cybersécurité, fiche mise à jour le 26 mai 2026 (les-aides.fr, CCI)
• Catalogue des prestataires qualifiés par l'ANSSI

Une erreur ou une information à mettre à jour ? Écrivez-nous.