En moyenne, une cyberattaque coûte 466 000 € à une PME française. 60 % des entreprises touchées ferment dans les 18 mois qui suivent. Et pourtant, la plupart des PME dépensent moins de 2 000 € par an en cybersécurité. Le problème n'est pas l'argent. C'est que personne ne sait combien ça coûte vraiment, en défense comme en dégâts. Voici les chiffres.
1. Ce que coûte l'absence de protection
Quelques ordres de grandeur, avant de parler budget :
- Coût moyen d'une cyberattaque pour une PME en France : 466 000 € (données 2025).
- 60 % des PME victimes d'une attaque majeure cessent leur activité dans les 18 mois.
- La cybercriminalité coûte environ 100 milliards d'euros par an à l'économie française (estimation 2026).
Autrement dit, le budget cybersécurité, c'est de l'assurance. Pas au sens théorique : au sens « si ça arrive, est-ce que l'entreprise survit ? ».
2. Combien paie concrètement une PME ?
Le tableau ci-dessous regroupe les fourchettes de prix qu'on constate sur le marché français en 2026. Ce sont des ordres de grandeur, pas des devis :
| Poste | Fourchette indicative | Ce que ça couvre |
|---|---|---|
| Audit de maturité | 1 500 – 8 000 € | État des lieux, gap analysis NIS2/ANSSI, plan d'action priorisé |
| Pentest | 3 000 – 18 000 € | Tests d'intrusion web, réseau, Active Directory, API |
| RSSI externalisé | 2 000 – 5 000 €/mois | Pilotage sécurité, gouvernance, suivi des plans d'action |
| SOC managé | 1 500 – 6 000 €/mois | Détection 24/7, réponse aux incidents, SIEM |
| Formation & sensibilisation | 500 – 3 000 €/an | Simulation phishing, e-learning, exercices de crise |
Pour une lecture détaillée par type de mission, consultez notre page prix d'un audit cybersécurité.
3. Pourquoi un pentest à 3 000 € et un autre à 18 000 €
L'écart de prix d'un pentest s'explique par ce qu'il y a vraiment dessous :
- Le TJM d'un pentester qualifié est entre 800 et 1 800 € HT.
- Le périmètre change tout : tester une app web, c'est 3 jours. Tester un SI complet avec Active Directory, API et réseau interne, c'est 10 jours.
- Scanner avec Nessus et rédiger un PDF, c'est une chose. Exploiter manuellement les failles et prouver la compromission, c'en est une autre.
- Et puis il y a la question du livrable : un rapport technique avec restitution à la direction et retest inclus, ça coûte plus qu'un export automatisé.
Un pentest sérieux prend 3 à 10 jours au minimum. En dessous de 4 000 €, vous payez probablement un scan automatisé, pas un test d'intrusion.
4. Les aides qui existent (et ce qu'elles couvrent vraiment)
Il y a des dispositifs publics pour aider les PME. Le plus connu :
- Le Diag Cybersécurité BPI France coûte 8 800 € HT. BPI subventionne 50 % du diagnostic : le reste à charge est de 4 400 € HT.
- France Num prend en charge jusqu'à 30 % sur les dépenses de transformation numérique.
- Conditions d'éligibilité : PME ou ETI indépendante, au moins 2 ans d'existence, siège en France.
Ces aides se cumulent. Pour beaucoup de PME, elles permettent de couvrir un premier audit et les premières corrections sans que le budget ne dérape.
5. Trois scénarios de budget, selon la taille
Ce qu'on constate chez nos clients, en enveloppe annuelle :
| Scénario | Profil | Budget annuel indicatif |
|---|---|---|
| Socle essentiel | 20-50 salariés, exposition modérée | 5 000 – 12 000 € |
| Conformité NIS2 | 50-150 salariés, données sensibles | 15 000 – 40 000 € |
| Sécurité opérationnelle | 100-250 salariés, SOC + pentest + RSSI | 50 000 – 120 000 € |
Le budget « juste », c'est celui qui correspond aux risques réels de l'entreprise, pas celui qui fait le plus gros chiffre sur un tableur.
Un mot sur le choix du prestataire
On voit souvent des PME choisir un prestataire parce qu'il est le moins cher. C'est un mauvais critère. Ce qui compte, c'est la clarté du périmètre proposé, les compétences démontrables et la capacité à impliquer votre direction dans les arbitrages. Un prestataire qui n'a posé aucune question avant de vous chiffrer… n'a probablement pas compris votre contexte.
Questions fréquentes
Combien coûte un audit cybersécurité pour une PME ?
Quel est le prix d'un pentest en France ?
Le Diag Cybersécurité BPI est-il vraiment gratuit ?
Quel budget cybersécurité minimum pour une PME de 50 salariés ?
Un pentest à moins de 4 000 € est-il fiable ?
Passez à l'action
Ces chiffres vous aident à cadrer. Maintenant, reliez-les à votre contexte.
Voir nos offres PME Faire le pré-diagnosticEquipe Securigeek
Direction Conseil