Guide Kerndyne · Budget cyber
Devis audit cybersécurité PME : combien ça coûte vraiment ?
Grille tarifaire 2026 par taille d'entreprise et type d'audit. Compare les prestataires et comprends ce qui est inclus.
Publié le 14 septembre 2026 · Lecture 8 minutes
Combien coûte un audit cybersécurité pour une PME française en 2026 ? La réponse courte : entre 1 500 € et 30 000 € selon le périmètre. Mais cette fourchette cache des différences majeures. Voici ce qui détermine le prix et comment comparer les devis.
Grille tarifaire 2026
| Type d'audit | TPE/Startup | PME | ETI |
|---|---|---|---|
| Scan automatisé seul (Nuclei) | 0 - 500 € | 500 - 2 000 € | 2 000 - 5 000 € |
| Audit externe site web | 1 000 - 1 500 € | 1 500 - 3 000 € | 3 000 - 6 000 € |
| Audit applicatif web | 1 500 - 2 500 € | 2 500 - 5 000 € | 5 000 - 10 000 € |
| Pentest web | 2 500 - 4 000 € | 4 000 - 8 000 € | 8 000 - 20 000 € |
| Pentest interne (LAN) | 3 000 - 5 000 € | 6 000 - 12 000 € | 12 000 - 25 000 € |
| Audit mobile (iOS/Android) | 3 000 - 6 000 € | 8 000 - 15 000 € | 15 000 - 30 000 € |
| Audit réseau complet | 4 000 - 6 000 € | 8 000 - 15 000 € | 15 000 - 30 000 € |
| Audit cloud (AWS/Azure/GCP) | 2 500 - 4 000 € | 4 000 - 8 000 € | 8 000 - 18 000 € |
| Audit NIS2-ready complet | 2 000 - 3 500 € | 3 500 - 8 000 € | 8 000 - 20 000 € |
| Red team (multi-vecteurs) | 8 000 - 15 000 € | 15 000 - 30 000 € | 30 000 - 80 000 € |
Ce qui est inclus dans un audit sérieux
Phase 1 : Cadrage (1 jour)
- Réunion de kick-off (1-2h)
- Définition du périmètre précis
- Liste des actifs à tester
- Règles d'engagement (heures, méthodes)
- Signatures NDA + RGPD
Phase 2 : Scan automatisé (1-2 jours)
- Nuclei (templates communautaires)
- Nmap (scan réseau)
- sqlmap (injection SQL)
- Dalfox (XSS)
- WPScan (WordPress)
Phase 3 : Tests manuels (2-4 jours)
- Analyse logique métier (humain)
- IDOR (accès non autorisé)
- XSS stockée/réfléchie
- SSRF (Server-Side Request Forgery)
- Authentification cassable
- Logique métier contournable
Phase 4 : OSINT (1 jour)
- HaveIBeenPwned (fuites credentials)
- GitHub Security Advisories
- Shodan / Censys (exposition publique)
- Shadow IT (services non déclarés)
Phase 5 : Rapport (5-10 jours après)
- Rapport PDF signé SHA-256
- Résumé exécutif (1 page pour la direction)
- Liste des vulnérabilités classées CVSS
- Preuves d'exploitation (screenshots, payloads)
- Plan de remédiation priorisé
- Annexes techniques
Phase 6 : Restitution (1h)
- Présentation au CODIR ou RSSI
- Questions/réponses
- Plan d'action conjoint
Phase 7 : Retest (30-90 jours après)
- Vérification des corrections
- Attestation de conformité
- Mise à jour du score de risque
Ce qui N'est PAS inclus (et devrait l'être)
Certains devis trop bas omettent des étapes importantes :
| Élément | Devis sérieux ✅ | Devis low-cost ❌ |
|---|---|---|
| Cadrage | ✅ | ⚠️ rapide |
| Scan automatisé | ✅ | ✅ seul |
| Tests manuels experts | ✅ | ❌ absent |
| OSINT | ✅ | ❌ absent |
| Rapport signé SHA-256 | ✅ | ⚠️ PDF non signé |
| Réunion restitution | ✅ | ❌ absent |
| Retest inclus | ✅ 30-90j | ❌ absent |
| Support post-audit | ✅ 6 mois | ❌ absent |
Comment comparer 2 devis d'audit ?
Pose ces questions à chaque prestataire :
- Quelle méthodologie ? OWASP, PTES, OSSTMM documentée ?
- Quelle part manuelle vs automatique ? Un audit 100% scan est 60% moins cher mais 60% moins bon
- Quel livrable ? Rapport signé SHA-256 (vérifiable cryptographiquement)
- Quelles certifications ? OSCP, CEH, CRTP pour les testeurs
- Quel retest ? Inclus sous 30-90 jours
- Quel support ? Durée du support post-audit
- Quelle NDA ? Avant tout échange technique
- Quel RGPD ? Processus de suppression des données après audit
Budget annuel recommandé pour une PME
| Poste | PME (10-50) | ETI (50-200) |
|---|---|---|
| Audit externe annuel | 3 000 - 6 000 € | 6 000 - 15 000 € |
| Surveillance continue 24/7 | 2 400 - 6 000 € | 6 000 - 15 000 € |
| Pentest (1×/2 ans) | 5 000 - 8 000 € | 8 000 - 15 000 € |
| EDR + MFA + sauvegardes | 2 000 - 5 000 € | 5 000 - 15 000 € |
| Formation employés | 500 - 2 000 € | 2 000 - 5 000 € |
| Total annuel | 13 000 - 27 000 € | 27 000 - 65 000 € |
Erreurs courantes dans les devis
- "Audit à 500 € pour 5 sites" : scan seul, aucune analyse manuelle, 60% faux positifs
- "Pentest à 1 500 € pour 50 IP" : impossible à ce prix (sous-traitance low-cost probable)
- "Audit sans rapport signé" : aucune valeur probante, impossible à transmettre
- "Audit en 1 jour" : scam, qualité nulle
- "Audit + scan de vulnérabilités" : confusion sémantique, attention
Comment demander un devis efficace ?
- Prépare un brief : liste de tes actifs, URLs, applications, contexte métier
- Contacte 3 prestataires avec le même brief
- Compare : méthodologie, livrables, certifications, support
- Demande des références clients (anonymisées)
- Méfie-toi du moins-disant (souvent signe de qualité médiocre)
- Privilégie le rapport qualité/prix, pas le prix seul
FAQ — Devis audit cybersécurité
Quel est le prix moyen d'un audit cybersécurité pour PME en 2026 ?
Le prix moyen d'un audit cybersécurité pour une PME française en 2026 est de 3 000 à 6 000 € pour un audit externe complet (site web, infrastructure, applicatif). Les PME peuvent démarrer à 1 500 € pour un audit ciblé sur un seul actif. Les ETI (50-200 personnes) dépensent en moyenne 6 000 à 15 000 € par audit.
Qu'est-ce qui est inclus dans un devis d'audit cybersécurité ?
Un devis d'audit cybersécurité professionnel inclut : (1) cadrage initial (1 jour), (2) scan automatisé (1-2 jours), (3) tests manuels experts (2-4 jours), (4) analyse OSINT (1 jour), (5) rapport signé SHA-256 (5-10 jours après la fin), (6) réunion de restitution (1h), (7) retest inclus (30-90 jours après corrections), (8) support post-audit.
Conclusion
Un audit cybersécurité sérieux coûte entre 3 000 € et 6 000 € pour une PME. C'est l'investissement le plus rentable : il évite des sinistres à 6-7 chiffres (ransomware, NIS2, perte clients). Demandez 3 devis, comparez les méthodologies, et méfiez-vous du moins-disant.
Demandez votre devis d'audit personnalisé. Réponse sous 24h.
Devis audit personnalisé — réponse sous 24h
Demander un devis →