Le périmètre réel
Nombre de sites, d'applications, de tenants, de contrôleurs de domaine ou d'utilisateurs : c'est le premier facteur d'effort, et donc de prix.
Repères tarifaires 2026
Prix d'un audit cybersécurité : grille et repères 2026.
Le prix indicatif d’un audit 360° SecuriGeek commence à 3 500 € HT pour un périmètre PME mono-site. Le devis dépend des systèmes à examiner, de la profondeur des vérifications et des livrables attendus. Cette grille vous aide à préparer votre budget et à comparer les périmètres proposés.
Tous les montants ci-dessous sont indicatifs, en euros hors taxes, et varient selon le périmètre réel de la mission. Le cadrage initial aboutit toujours à un devis ferme. Voir aussi nos niveaux d'engagement cybersécurité pour PME.
La grille
Combien coûte chaque type d'audit ?
Cinq familles de missions, cinq logiques de prix. Les montants sont des points de départ « à partir de », hors taxes, pour un périmètre type de PME ou d'ETI française — le devis ferme dépend toujours du périmètre réel.
| Type d'audit | Périmètre type | Prix indicatif | En savoir plus |
|---|---|---|---|
| Audit cybersécurité 360° | PME ou ETI, un site, gouvernance + organisation + socle technique | à partir de 3 500 € HTselon périmètre | détail de l'audit 360° |
| Test d'intrusion (pentest) | Périmètre défini : application web, exposant internet, infrastructure ou Active Directory | à partir de 5 000 € HTselon périmètre | détail du pentest entreprise |
| Audit ISO 27001 (analyse d’écarts) | Préparation à la certification : écarts, déclaration d’applicabilité, audit blanc | à partir de 8 000 € HTselon périmètre | détail de l'audit ISO 27001 |
| Audit Microsoft 365 | Tenant unique : MFA, accès conditionnels, Exchange, SharePoint, Teams, journaux | à partir de 4 000 € HTselon périmètre | détail de l'audit Microsoft 365 |
| Audit Active Directory | Annuaire on-premise : comptes à privilèges, GPO, délégations, surface kerberoasting | à partir de 6 000 € HTselon périmètre | détail de l'audit Active Directory |
Ce qui est inclus
Quels livrables prévoir dans le devis ?
Le devis doit préciser la méthode, le contenu du rapport et les personnes associées à la restitution. Voici les livrables proposés selon la mission ; leur détail et le calendrier sont confirmés au cadrage.
| Mission | Livrables | Durée indicative | Restitution |
|---|---|---|---|
| Audit 360° | Rapport priorisé, matrice des écarts, plan de remédiation à 90 jours | en général 3 à 6 semaines | Restitution direction + atelier technique |
| Pentest | Rapport de test avec preuves, chemins d’exploitation et corrections | en général 1 à 3 semaines de test | Restitution technique + synthèse direction |
| Audit ISO 27001 | Analyse d'écarts, déclaration d'applicabilité, plan de traitement | en général 4 à 9 semaines selon phases | Restitution direction + audit blanc |
| Audit Microsoft 365 | Matrice des configurations, risques classés, plan de durcissement | en général 2 à 4 semaines | Restitution technique + synthèse direction |
| Audit Active Directory | Cartographie des chemins d'attaque, rapport d'écarts, plan de tiering | en général 2 à 4 semaines | Restitution technique + atelier administrateurs |
Prévoir aussi le budget des corrections
Le prix de l’audit ne couvre pas automatiquement les changements de configuration, l’achat de licences, la formation ou la vérification après correction. Le devis doit indiquer les prestations incluses et celles à chiffrer séparément. Pour un audit ISO 27001, les frais de l’organisme certificateur sont également distincts de la mission de préparation. Pour construire le SMSI dans la durée, distinguez le budget de l’audit de celui d’un accompagnement ISO 27001.
Ce qui fait varier le prix
Pourquoi le prix varie-t-il d’une entreprise à l’autre ?
Ces quatre facteurs permettent d’expliquer le travail prévu dans le devis. Notre article coût de la cybersécurité en PME en 2026 détaille les budgets poste par poste.
La profondeur technique
Une revue de configuration documentaire ne coûte pas le même prix qu'un test d'intrusion manuel avec démonstration d'exploitation et preuves.
Le niveau de preuve attendu
Un audit destiné à un assureur, un donneur d'ordre ou un auditeur de certification demande des livrables plus documentés qu'un état des lieux interne.
Les contraintes d'exploitation
Créneaux de test, environnements de production sensibles, disponibilité de vos équipes pour les entretiens : le calendrier réel pèse sur l'organisation de la mission.
Financement
Le Diag Cybersécurité de BPI France peut prendre en charge une partie du coût.
Pour les PME éligibles, BPI France subventionne 50 % d'un diagnostic cybersécurité dont le coût total est encadré à 8 800 € HT — soit un reste à charge de 4 400 € HT pour un premier état des lieux. Vérifier les conditions du financement BPI.
Votre demande
Préparer votre demande de devis
Quelques lignes suffisent pour commencer. Vous pouvez reprendre les points ci-dessous dans le message de votre demande, même si certaines réponses restent à préciser.
- Objectif : décision à prendre, demande d’un client ou exigence d’un assureur.
- Environnement : nombre de sites et d’utilisateurs, principales applications, messagerie et cloud utilisés.
- Priorité : systèmes à examiner et éléments à laisser hors de la mission.
- Organisation : échéance souhaitée, périodes à éviter et interlocuteur informatique disponible.
- Résultat attendu : destinataires du rapport et besoin éventuel de correction ou de vérification après correction.
Décrivez le besoin à ce stade ; les accès nécessaires seront précisés au cadrage.
Demander un devis pour ce périmètreVoir aussi nos conseils pour choisir un prestataire cybersécurité sans se tromper.
Questions fréquentes
Combien coûte un audit cybersécurité pour une PME de 50 salariés ?
Notre repère indicatif commence à 3 500 € HT pour un audit 360° sur un périmètre PME mono-site. L’effectif seul ne suffit pas à chiffrer la mission : les systèmes examinés, les accès disponibles et la profondeur des vérifications déterminent le devis. Les corrections et les vérifications ultérieures doivent être chiffrées si vous les souhaitez.
Comment comparer deux devis d’audit ?
Comparez d’abord les systèmes couverts, les vérifications manuelles et automatisées, les livrables et la restitution. Vérifiez ensuite les exclusions, les frais éventuels et la présence d’une vérification après correction. Deux prix ne sont comparables que si ces éléments sont équivalents.
Un audit à moins de 2 000 € est-il crédible ?
Le prix seul ne permet pas de juger la qualité. Une mission courte sur un système limité peut être utile. Demandez quels contrôles sont réalisés, par qui, et ce que le rapport permettra de décider. Un scan automatisé et un audit avec entretiens, analyse et restitution ne couvrent pas le même besoin.
Le Diag Cybersécurité de BPI France peut-il financer mon audit ?
Oui, si votre entreprise est éligible : le dispositif subventionne 50 % du diagnostic (coût total encadré à 8 800 € HT, soit un reste à charge de 4 400 € HT). C'est souvent le bon premier pas avant un audit plus profond. Les conditions sont détaillées sur notre page financement BPI.
Vaut-il mieux investir dans un audit ou dans un pentest ?
Un audit aide à déterminer les priorités et à examiner les contrôles en place. Un pentest recherche des failles exploitables sur un périmètre autorisé. Si votre client demande un test d’une application, un pentest peut être le bon choix directement. Si vous devez établir un budget de sécurité global, commencez par cadrer un audit.
Capacités d'intervention
Ce que l'on doit réellement savoir faire
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluer
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Audit 360°Test d'intrusionAudit CloudAudit Web & APIAudit IAM
Protéger
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
SOC 24/7Sécurité CloudPack SouverainRemédiation coordonnée
Gouverner
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
RSSI externaliséNIS2DORAISO 27001Coordination direction / DSI
Former
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
SensibilisationPhishing simuléCulture sécurité