Le prix d’un audit cybersécurité dépend surtout du périmètre examiné et du niveau de preuve attendu. Pour une PME, une première évaluation peut démarrer à quelques milliers d’euros. Un audit global associant tests techniques, analyse organisationnelle et exigences de conformité atteint rapidement plusieurs dizaines de milliers d’euros. Pour comparer les devis, vérifiez ce qui est inclus, ce qui reste optionnel et ce qui devra être financé après la restitution.
Des repères de prix pour situer votre projet
Un audit de sécurité informatique ne répond pas toujours au même objectif. Il peut servir à obtenir une photographie rapide de l’exposition, à préparer une démarche ISO 27001, à répondre à une demande d’assureur ou à tester la résistance d’une application critique. Le tarif évolue donc avec la profondeur d’investigation, et pas seulement avec le nombre de collaborateurs.
Référentiels ANSSI PASSI 2.2 et PRIS 3.0 — Découvrez les versions mises à jour des référentiels officiels de qualification des prestataires d’audit et de réponse aux incidents de sécurité.
| Type de prestation | Ce qui est généralement examiné | Ordre de prix |
|---|---|---|
| Audit léger | Exposition externe, vulnérabilités principales, premières recommandations | 1 500 € à 3 000 € |
| Audit standard | Réseau, postes, comptes, sauvegardes, configurations et pratiques essentielles | 4 000 € à 8 000 € |
| Audit avancé | Environnement hybride, applications métier, Active Directory, gouvernance et risques | 10 000 € à 15 000 € |
| Audit global ou multi-sites | Technique, organisation, conformité, données sensibles et plan de remédiation détaillé | 20 000 € à 50 000 € |
Ces fourchettes donnent un repère, pas une promesse tarifaire. Une structure de 10 à 50 postes, installée sur un seul site avec un environnement standard, n’a pas le même besoin qu’une entreprise multi-sites utilisant des logiciels legacy, du cloud et des accès distants. Un audit global du système d’information coûte davantage, mais il évite de traiter séparément des sujets qui se recoupent.
Ce qui fait réellement varier le coût d’un audit
Le périmètre technique et la criticité des actifs
Le nombre de postes, de serveurs, de sites, de filiales et de comptes à privilèges pèse sur le temps d’analyse. Le prestataire doit aussi examiner les environnements cloud, les connexions VPN, les applications exposées sur Internet, les outils de sauvegarde et les interconnexions avec les partenaires. Plus les données sont sensibles et plus l’arrêt de service est critique, plus les vérifications doivent être approfondies.
Un système d’information ne forme pas un bloc homogène. Il s’organise autour des collaborateurs, des applications et des prestataires. Chaque connexion, qu’il s’agisse de la messagerie, d’un accès distant, d’une synchronisation cloud ou d’un compte fournisseur, devient un point de passage à examiner. Cartographier ces flux avant de demander un devis aide à éviter qu’un audit présenté comme économique laisse hors champ l’accès le plus exposé.
Le niveau de preuve attendu
Un scan de vulnérabilités automatisé fournit des indicateurs utiles, mais il ne remplace pas l’analyse humaine des faux positifs, des droits excessifs ou des scénarios d’attaque. Un test d’intrusion, ou pentest, demande davantage de préparation, de compétences et de temps. Il peut donc augmenter fortement le budget. Le devis doit préciser s’il vise uniquement l’extérieur, le réseau interne, une application web ou plusieurs scénarios.
L’urgence, les interventions sur site, les contraintes de disponibilité et le niveau de service attendu influencent aussi le prix. Une mission réalisée dans un délai très court ou nécessitant des tests hors des horaires de production coûtera plus cher qu’un audit planifié. Un tarif journalier de 700 à 900 € peut fournir un repère, mais le nombre de jours, la composition de l’équipe et la méthode comptent davantage que le TJM pris isolément.
Choisir le bon niveau d’audit plutôt que le moins cher
Le bon format dépend de votre maturité cyber et de la décision à prendre. Une TPE qui n’a jamais évalué ses protections peut commencer par un audit ciblé : inventaire des actifs, contrôle des accès, analyse des sauvegardes et définition des priorités immédiates. Une PME déjà structurée aura intérêt à rapprocher l’analyse technique des procédures, de la sensibilisation des équipes et de la gestion des incidents.
- Audit de vulnérabilités : il identifie rapidement les failles techniques connues et les configurations exposées.
- Audit de configuration : il convient au cloud, aux pare-feux, aux postes, aux sauvegardes ou à Active Directory.
- Audit organisationnel : il examine la gouvernance, les rôles, les processus d’accès, le télétravail et la réponse à incident.
- Audit de conformité : il rapproche les contrôles des exigences du RGPD, de NIS2, d’ISO 27001 ou de DORA, selon l’activité.
- Pentest : il vérifie, dans un cadre contrôlé, si des vulnérabilités sont réellement exploitables.
Demander un pentest sans cadrage préalable n’est pas toujours le meilleur premier investissement. Si les comptes dormants, les sauvegardes ou les responsabilités de sécurité ne sont pas maîtrisés, un audit technique et organisationnel peut produire un plan plus directement exploitable. À l’inverse, une application client, un portail de paiement ou une interface exposée justifie souvent un test d’intrusion ciblé.
Un devis fiable détaille les livrables et les exclusions
Un devis cohérent ne se limite pas à une ligne « audit cybersécurité ». Il décrit les actifs inclus, les hypothèses de volumétrie, les méthodes de collecte, les limites de test et les interlocuteurs sollicités. Il doit aussi indiquer clairement les exclusions : remédiation, licences d’outils, déplacements, audit de code, simulations de phishing, tests applicatifs ou accompagnement à la certification.
Les résultats à exiger
La mission doit aboutir à un rapport exécutif lisible par la direction, à un rapport technique utilisable par les équipes IT et à un plan d’action priorisé. Les recommandations gagnent à être classées selon la criticité, l’effort de correction, le responsable désigné et l’échéance. Sans cette hiérarchisation, l’audit risque de se réduire à une liste de constats difficile à transformer en décisions.
Prévoyez aussi une restitution orale. Elle permet de distinguer les actions urgentes, comme des droits d’administration trop larges ou une sauvegarde insuffisamment protégée, des chantiers de fond. Certains prestataires proposent un suivi post-audit. Son coût et sa fréquence doivent apparaître dans le devis dès le départ.
Comparer les prestataires et rentabiliser l’investissement
Cabinet spécialisé, consultant indépendant ou outil automatisé : ces options ne fournissent pas le même niveau d’intervention. Un outil peut accélérer un contrôle récurrent, mais il ne remplace ni le cadrage métier ni l’interprétation des risques. Un indépendant peut convenir à un périmètre ciblé. Un cabinet apporte souvent plusieurs expertises pour les environnements complexes. Comparez d’abord des offres portant sur le même périmètre, puis examinez la méthodologie, l’expérience dans votre secteur, les références et, lorsque c’est nécessaire, les qualifications comme PASSI.
L’audit est rentable s’il déclenche des corrections mesurables : réduction des comptes à risque, amélioration de la restauration, sécurisation des accès et clarification des responsabilités. Il fournit aussi un élément utile dans les échanges liés à la cyber-assurance et aux obligations de conformité. Le coût de la mission doit donc être comparé au risque d’interruption, de perte de données, de remédiation d’urgence et d’atteinte à la confiance des clients.
Avant de solliciter un devis, préparez un inventaire simple : nombre de sites et d’utilisateurs, services cloud, applications critiques, données sensibles, incidents récents et contraintes réglementaires. Demandez deux ou trois propositions sur ce même périmètre, avec une option pentest clairement séparée. Vous obtiendrez un prix plus lisible et, surtout, un audit capable de déboucher sur des actions réellement prioritaires.