Prix d'un audit cybersécurité PME : les tarifs 2026
Combien coûte un audit de cybersécurité pour une PME ? Tarifs 2026 par type d'audit, ce que chacun couvre vraiment, et comment savoir lequel vous concerne.
En bref
En France, un audit de cybersécurité pour une PME coûte entre 990 € et 8 000 € selon son type. Un test d'intrusion sur un site web démarre autour de 990 €. Un audit organisationnel complet se situe entre 2 000 € et 8 000 €. Une surveillance continue automatisée, elle, se facture au mois, de 0 € à environ 150 €. Ces trois choses ne répondent pas à la même question, et c'est pour cela que les prix n'ont rien à voir.
Combien coûte chaque type d'audit ?
| Type | Prix constaté en France | Durée | Ce qu'il répond |
|---|---|---|---|
| Scan de surface exposée | 0 € à 150 € par mois | quelques secondes, en continu | « Qu'est-ce qu'un attaquant voit de moi depuis Internet, aujourd'hui ? » |
| Test d'intrusion (pentest) web | 990 € à 5 000 € | 3 à 10 jours | « Un attaquant peut-il réellement entrer, et jusqu'où ? » |
| Audit organisationnel | 2 000 € à 8 000 € | 2 à 6 semaines | « Mes processus, mes accès et mes sauvegardes tiennent-ils ? » |
| Audit de conformité (RGPD, NIS2, ISO 27001) | 3 000 € à 15 000 € et plus | 1 à 3 mois | « Suis-je en règle, et puis-je le prouver ? » |
Ces fourchettes sont des ordres de grandeur relevés sur les offres publiques de prestataires français en 2026. Elles varient fortement avec la taille du périmètre, le nombre d'applications et la localisation du prestataire. Demandez toujours ce que couvre exactement le devis : le mot « audit » ne garantit rien à lui seul.
Pourquoi un écart de 1 à 15 entre les prix ?
Parce que ce qui coûte cher, ce n'est pas la détection, c'est le temps humain.
Un scan de surface exposée est automatisé. Il interroge vos DNS, vos certificats, vos en-têtes HTTP et les bases publiques de vulnérabilités. La machine fait le travail, le coût marginal est proche de zéro, et le résultat est reproductible tous les jours.
Un test d'intrusion mobilise un consultant qui essaie vraiment d'entrer. Il enchaîne des hypothèses, teste des combinaisons, exploite ce qu'il trouve. C'est un travail d'artisan, il se facture en jours-homme, et il n'est valable qu'à la date où il a été fait.
Un audit organisationnel ajoute des entretiens, de la lecture de procédures et un rapport argumenté. Le livrable est un document, pas une liste technique.
La règle pratique : plus l'audit répond à une question qu'une machine ne sait pas poser, plus il coûte cher.
Quel audit vous concerne vraiment ?
Répondez à ces trois questions dans l'ordre.
1. Quelqu'un vous réclame-t-il un document ? Un client grand compte, un assureur cyber, un appel d'offres. Si oui, vous avez besoin d'un livrable écrit, daté et signé. Un scan automatisé produit un rapport, mais c'est le donneur d'ordre qui dit s'il l'accepte. Demandez-lui avant de commander quoi que ce soit, cela vous évitera de payer deux fois.
2. Avez-vous eu un incident, ou une alerte précise ? Un compte compromis, une fuite signalée, un comportement anormal. Si oui, un scan de surface ne suffira pas. Il vous faut quelqu'un qui regarde à l'intérieur.
3. Sinon, vous êtes dans le cas le plus fréquent : vous voulez savoir où vous en êtes, et vous n'avez ni incident ni obligation. C'est exactement ce que couvre un scan de surface exposée, et c'est le seul des quatre qui coûte quelques dizaines d'euros par mois plutôt que quelques milliers d'euros une fois.
Ce qu'un scan automatisé ne remplace pas
C'est la partie que la plupart des pages sur ce sujet passent sous silence, et c'est celle qui vous évitera une mauvaise surprise.
Un scan de surface exposée ne teste pas vos mots de passe, ne vérifie pas vos sauvegardes, ne regarde pas vos droits d'accès internes, n'audite pas votre poste de travail, et ne dit rien de vos procédures. Il ne tente pas non plus d'exploiter les failles qu'il détecte : il constate qu'une porte est mal fermée, il ne la pousse pas.
Autrement dit : il couvre ce qu'un attaquant voit avant de vous attaquer. C'est la première étape, ce n'est pas la seule.
Si un prestataire vous vend un scan automatisé en l'appelant « audit de cybersécurité complet », posez-lui les cinq questions du paragraphe précédent. Sa réponse vous dira ce que vous achetez.
Combien coûte la surveillance continue ?
C'est la catégorie qui a le plus changé depuis 2024, parce qu'elle est passée du sur-mesure à l'abonnement.
Chez Aiomi, le scan de votre domaine est gratuit et sans compte : vous obtenez un score et vos principaux points faibles en quelques secondes. La surveillance continue, avec l'historique, le suivi des corrections et les rapports, commence à 19 € par mois, et monte à 149 € par mois pour 25 sites surveillés. Le détail des offres est ici.
Rapporté à un audit ponctuel à 4 000 €, la comparaison honnête n'est pas « c'est 20 fois moins cher ». C'est : l'audit ponctuel vous donne une photographie très détaillée d'un jour donné, la surveillance continue vous donne une photographie moins détaillée tous les jours. La plupart des PME ont besoin des deux, mais pas au même moment, et rarement la même année.
Les aides publiques existent, et elles sont mal connues
Bpifrance propose un diagnostic cybersécurité subventionné pour les PME. Certaines régions financent une partie des audits via leurs dispositifs de transformation numérique. Les Campus Cyber régionaux et les CCI orientent gratuitement.
Ces dispositifs évoluent chaque année et leurs conditions varient selon votre région et votre effectif. Renseignez-vous avant de signer un devis : selon les cas, une part significative du coût peut être prise en charge.
Par où commencer, concrètement
Commencez par le moins cher et le plus rapide, parce qu'il vous dira si vous avez besoin du reste.
Lancez un scan gratuit de votre domaine, sans compte et sans engagement. En quelques secondes vous saurez si vos certificats, vos en-têtes et votre configuration d'e-mail sont en ordre. Si le score est bon, vous venez d'économiser un devis. S'il ne l'est pas, vous saurez quoi demander, et à qui.
Questions fréquentes
Un audit de cybersécurité est-il obligatoire pour une PME ?
Non, pas en tant que tel. Ce qui peut devenir obligatoire, ce sont les exigences qui en découlent : la directive NIS2 impose des mesures de sécurité aux entités concernées, le RGPD impose des mesures adaptées au risque, et de plus en plus de donneurs d'ordre l'exigent contractuellement. L'audit est le moyen de prouver que vous les respectez, pas l'obligation elle-même.
À quelle fréquence faut-il refaire un audit ?
Un test d'intrusion perd sa valeur dès que le code change, donc au minimum une fois par an et après chaque refonte. Un scan de surface exposée, lui, n'a de sens qu'en continu : un certificat expire un mardi matin sans prévenir.
Un audit gratuit, c'est sérieux ?
Cela dépend de ce qu'il couvre. Un scan automatisé gratuit est parfaitement sérieux pour ce qu'il fait, à savoir constater l'exposition publique de votre domaine. Un « audit complet gratuit » qui promet de tout couvrir est, lui, un argument commercial : le temps humain n'est jamais gratuit.
Quelle différence entre un audit et un pentest ?
Le pentest est un type d'audit, le plus offensif. L'auditeur essaie réellement d'entrer. Un audit peut aussi être documentaire, organisationnel ou automatisé, sans jamais tenter d'exploitation.
Combien coûte un audit de sécurité pour un site web seul ?
C'est le périmètre le plus courant et le moins cher. Comptez à partir de 990 € pour un test d'intrusion applicatif, et quelques dizaines d'euros par mois pour une surveillance automatisée du même périmètre.