Un audit de cybersécurité en entreprise est une évaluation méthodique du système d’information qui identifie les vulnérabilités techniques et organisationnelles, mesure le niveau de protection réel des données et débouche sur un plan d’action priorisé. En 2026, cette démarche prend une dimension nouvelle : la directive NIS2, en cours de transposition en France via la loi Résilience, va soumettre environ 15 000 organisations françaises à des obligations de sécurité, contre 500 sous NIS1. Auditer maintenant, c’est prendre de l’avance sur un texte dont l’application laissera peu de temps aux retardataires.
Qu’est-ce qu’un audit de cybersécurité en entreprise ?
Concrètement, un auditeur examine trois dimensions complémentaires de votre système d’information.
L’audit organisationnel
Il passe en revue la gouvernance : politique de sécurité, gestion des accès et des mots de passe, procédures de sauvegarde, sensibilisation des équipes, plan de réaction en cas d’incident. C’est souvent là que se cachent les failles les plus faciles à corriger.
L’audit technique
Il couvre l’infrastructure : configuration des serveurs et des postes, réseau, messagerie, environnement cloud, annuaire Active Directory, mises à jour. L’auditeur réalise une analyse de vulnérabilités pour repérer les portes d’entrée exploitables.
Le test d’intrusion
Aussi appelé pentest, il consiste à attaquer le système comme le ferait un pirate, avec votre accord et dans un périmètre défini. Il ne remplace pas l’audit : il le complète en vérifiant si les failles identifiées sont réellement exploitables.
Un audit sérieux combine ces approches et s’appuie sur des référentiels reconnus, comme ceux de l’ANSSI ou le cadre CIS Controls.
NIS2 et loi Résilience : pourquoi auditer sans attendre le vote
C’est le point que la plupart des guides ignorent encore, et c’est pourtant lui qui change la donne.
Où en est la transposition française ?
La directive européenne NIS2 devait être transposée dans le droit de chaque État membre avant le 17 octobre 2024. La France a manqué cette échéance : le projet de loi Résilience, adopté au Sénat en mars 2025, n’a toujours pas été voté par l’Assemblée nationale. Son examen est désormais attendu au plus tôt en septembre 2026, et la Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 pour ce retard, comme le rapporte IT-Connect.
Méfiez-vous donc des dates butoirs précises qui circulent : aucune n’est officielle à ce jour. Ce qui est certain, c’est le contenu des obligations à venir :
- environ 15 000 entités concernées en France, dans 18 secteurs d’activité, incluant de nombreuses PME et ETI qui ne l’étaient pas sous NIS1 ;
- des mesures de gestion des risques cyber, un enregistrement auprès de l’ANSSI et une notification des incidents sous 24 à 72 heures ;
- des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes ;
- une responsabilité personnelle des dirigeants, pouvant aller jusqu’à une interdiction temporaire d’exercer.
Ces éléments sont détaillés dans le guide NIS2 et loi Résilience de Cyberini, qui rappelle aussi que la période transitoire prévoit un enregistrement des entités fin 2026 et des premiers contrôles en 2027.
Ce que l’ANSSI met déjà à disposition
Le retard législatif ne signifie pas qu’il faut attendre. L’ANSSI a publié le 17 mars 2026 son référentiel ReCyF (Référentiel Cyber France), qui recense les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Le portail MonEspaceNIS2, accessible sur cyber.gouv.fr, propose déjà un parcours d’identification, des outils d’autoévaluation et des modèles de documentation, comme le détaille IT Social.
Un audit réalisé aujourd’hui sur la base du ReCyF vous donne une photographie de votre écart de conformité. Une fois la loi promulguée, la mise en conformité prendra des mois : ceux qui auront audité en amont partiront avec ce temps d’avance.
Comment se déroule un audit de cybersécurité ?
La démarche suit généralement cinq étapes.
- Cadrage : définition du périmètre (sites, applications, cloud, prestataires), des objectifs et du calendrier.
- Collecte : entretiens avec les équipes, revue documentaire, cartographie du système d’information.
- Analyse : scans de vulnérabilités, revue des configurations, évaluation des pratiques face au référentiel choisi (ReCyF, ISO 27001, CIS Controls).
- Tests : le cas échéant, tentatives d’intrusion contrôlées pour vérifier l’exploitabilité des failles.
- Restitution : rapport hiérarchisant les risques et plan d’action priorisé, avec des correctifs classés par criticité et par effort.
Comptez de quelques jours pour un diagnostic ciblé à plusieurs semaines pour un audit complet multi-sites. L’activité de l’entreprise n’est normalement pas perturbée : les tests intrusifs sont planifiés et encadrés.
Combien coûte un audit de cybersécurité ?
C’est la question la plus posée, et la moins traitée. Les tarifs varient selon le périmètre, la taille de l’entreprise et la profondeur d’analyse. À titre de repères, Digitemis publie des fourchettes de marché :
- petite structure (1 à 50 postes) : entre 3 000 et 7 000 euros pour un audit de configuration ou un pentest ciblé ;
- PME et ETI (50 à 500 postes) : entre 7 000 et 20 000 euros pour un audit technique et de gouvernance ;
- grands comptes et environnements complexes : de 20 000 à 50 000 euros et au-delà.
Les prestataires facturent le plus souvent au temps passé, avec des taux journaliers compris entre 800 et 1 200 euros pour des profils seniors, selon le panorama tarifaire de La Fabrique du Net. Des dispositifs d’aide existent par ailleurs, notamment via Bpifrance et certains programmes régionaux : renseignez-vous avant de budgéter.
Pour relativiser l’investissement, mettez-le en face du coût d’un arrêt d’activité de plusieurs jours après une attaque, des pertes de données et de l’impact sur la confiance de vos clients.
Après l’audit : transformer le rapport en protection réelle
Un rapport d’audit qui dort dans un tiroir ne protège rien. La valeur se joue dans l’exécution du plan d’action :
- corriger d’abord les vulnérabilités critiques (accès exposés, systèmes obsolètes, absence de double authentification) ;
- renforcer les sauvegardes et tester leur restauration ;
- former les équipes, premier vecteur d’attaque via le phishing ;
- mettre en place une surveillance pour détecter les incidents au plus tôt.
Ce dernier point est décisif : beaucoup d’intrusions restent invisibles pendant des semaines. Si vous avez un doute sur l’état actuel de votre parc, notre guide pour repérer les signes d’un piratage en cours dans votre entreprise liste les signaux à surveiller.
Enfin, un audit n’est pas un exercice unique. La pratique courante consiste à le renouveler régulièrement, au minimum après chaque évolution majeure du système d’information : migration cloud, déménagement, rachat, nouveau logiciel métier.
FAQ : audit de cybersécurité en entreprise
C’est une évaluation indépendante et méthodique de la sécurité du système d’information d’une entreprise. Elle identifie les vulnérabilités techniques et organisationnelles, mesure le niveau de risque et aboutit à un plan d’action priorisé pour corriger les failles.
Définissez d’abord le périmètre, puis faites intervenir un prestataire qui suivra cinq étapes : cadrage, collecte d’informations, analyse des vulnérabilités, tests éventuels d’intrusion, puis restitution d’un rapport avec plan d’action. Appuyez-vous sur un référentiel reconnu comme le ReCyF de l’ANSSI ou la norme ISO 27001.
Comptez de 3 000 à 7 000 euros pour une petite structure, de 7 000 à 20 000 euros pour une PME ou une ETI, et au-delà de 20 000 euros pour un environnement complexe. Le tarif dépend du périmètre, du nombre de postes et de la profondeur des tests.
Un prestataire spécialisé en cybersécurité, idéalement doté de références vérifiables et de certifications reconnues. Pour les besoins les plus sensibles, l’ANSSI qualifie des prestataires d’audit de la sécurité des systèmes d’information (PASSI). Un audit externe garantit un regard indépendant, sans conflit d’intérêt avec l’équipe informatique interne.
Environ 15 000 entités françaises le seront, dans 18 secteurs incluant l’énergie, la santé, les transports, le numérique, l’agroalimentaire ou encore la gestion des déchets. Le critère combine secteur d’activité et taille. L’outil d’autoévaluation du portail MonEspaceNIS2 de l’ANSSI permet de vérifier votre situation en quelques minutes.
