60 % des PME françaises victimes d’une cyberattaque ne s’en remettent pas financièrement. Pourtant, la majorité des failles exploitées par les cybercriminels auraient pu être détectées en amont avec un simple audit de sécurité informatique. Un audit cybersécurité PME n’est ni réservé aux grandes entreprises, ni conditionné à un budget conséquent : c’est avant tout une démarche méthodique que tout dirigeant peut initier.
Dans ce guide complet, vous trouverez : une méthode structurée en 6 domaines pour auditer votre PME, une checklist complète imprimable au format PDF avec plus de 50 points de contrôle, et un accès à notre outil d’autodiagnostic gratuit ; 12 questions pour connaître votre niveau de protection en 5 minutes. Que vous soyez dirigeant, responsable IT ou office manager, ce guide est votre point de départ.
Qu’est-ce qu’un audit cybersécurité pour une PME ?
Un audit cybersécurité est une évaluation systématique de l’état de la sécurité informatique de votre entreprise. Son objectif : identifier les vulnérabilités, mesurer les écarts par rapport aux bonnes pratiques du secteur, et prioriser les actions correctives selon leur niveau de risque.
On distingue deux approches complémentaires :
- Audit interne : réalisé par les équipes en place (dirigeant, responsable IT, office manager). Accessible, sans coût externe, adapté aux PME sans DSI dédiée. C’est l’objet de ce guide.
- Audit externe : conduit par un prestataire spécialisé (pentesteur, RSSI externalisé, cabinet de conseil). Recommandé tous les 2 à 3 ans, ou après un incident de sécurité.
Un audit interne bien conduit couvre déjà l’essentiel des risques courants. Il permet d’identifier rapidement les « quick wins », les corrections simples à fort impact, avant d’envisager un audit technique approfondi.
Fréquence recommandée : au minimum une fois par an, et systématiquement après tout changement structurant (déménagement, recrutement important, intégration d’un nouveau prestataire, migration cloud).
Pourquoi votre PME doit réaliser un audit cybersécurité dès maintenant
Les PME sont devenues la cible privilégiée des cybercriminels. Selon l’ANSSI, elles représentent désormais plus de 40 % des victimes de ransomwares en France, non pas parce qu’elles valent plus que les grandes entreprises, mais parce qu’elles sont plus accessibles.
La raison ? Des défenses insuffisantes, souvent non par négligence, mais par manque de visibilité. Avant même d’investir dans des outils de protection, il faut savoir ce que l’on protège et où se situent les failles. C’est exactement ce que permet l’audit. Les scanners de vulnérabilité comme Tenable, Qualys ou Rapid7 peuvent également être une solution pour vous aider à automatiser la détection des failles.
💡 À savoir : les erreurs les plus fréquentes révélées par un audit, mot de passe par défaut non changé, sauvegarde jamais testée, accès admin partagé, sont aussi les plus simples à corriger. Consultez notre article sur les erreurs de cybersécurité que font 90 % des PME pour une prise de conscience rapide.
L’audit cybersécurité est également le point d’entrée naturel vers une stratégie de protection cohérente et progressive. Il est aussi l’une des meilleures preuves de diligence en cas de contrôle ou de procédure. Notre article sur la responsabilité du dirigeant en cas de cyberattaque détaille pourquoi cette documentation protège aussi votre patrimoine personnel. Si vous n’avez pas encore de vision globale de votre niveau de sécurité, commencez ici, avant de plonger dans notre guide complet cybersécurité PME 2026.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Les 6 domaines clés d’un audit cybersécurité PME
Un audit cybersécurité complet couvre six domaines interdépendants. Chacun représente une surface d’attaque potentielle. Nous vous proposons pour chacun une grille d’évaluation et les points de contrôle prioritaires.
1. Gestion des accès et des identités
Le contrôle des accès est la première ligne de défense de toute organisation. La grande majorité des intrusions commence par la compromission d’un identifiant : mot de passe faible, credential volé, accès non révoqué d’un ex-employé.
- Tous les comptes utilisent-ils des mots de passe uniques et complexes ? Un gestionnaire de mots de passe pour PME est indispensable.
- L’authentification à deux facteurs (MFA) est-elle activée sur les accès critiques (email, VPN, outils cloud) ? Découvrez quelle solution MFA choisir pour votre PME.
- Les droits d’accès suivent-ils le principe du moindre privilège (chaque utilisateur accède uniquement à ce dont il a besoin) ?
- Les comptes des anciens employés sont-ils désactivés immédiatement lors de leur départ ?
- Avez-vous un inventaire à jour de tous les comptes administrateurs ?
🔑 Outil recommandé : NordPass pour PME
Après l’audit, remplacez tous les mots de passe faibles par NordPass : gestionnaire d’entreprise avec partage sécurisé en équipe.
Essayer NordPass →2. Sécurité du réseau et des équipements
Le réseau est le système nerveux de votre infrastructure. Un réseau mal segmenté permet à un attaquant de se déplacer latéralement après une première intrusion, accédant à des données bien au-delà du point d’entrée initial.
- Le Wi-Fi professionnel est-il séparé du réseau invités / IoT ? Consultez notre guide pour sécuriser le réseau Wi-Fi de votre PME.
- Les mises à jour de sécurité (OS, logiciels, firmware des équipements réseau) sont-elles appliquées sous 72h ?
- Disposez-vous d’un pare-feu actif et correctement configuré ?
- Un antivirus ou EDR est-il installé sur tous les postes, y compris les ordinateurs portables ? Voir notre comparatif des meilleurs antivirus pour PME en 2026.
- Les équipements personnels des employés (BYOD) sont-ils encadrés par une politique de sécurité ?
🔒 Outil recommandé : NordVPN pour PME
Sécurisez votre réseau et chiffrez le trafic de vos collaborateurs en télétravail. NordVPN protège jusqu’à 10 appareils simultanément.
Essayer NordVPN →3. Protection de la messagerie
Le phishing représente le vecteur d’attaque numéro 1 contre les PME. Un simple email frauduleux suffit à déclencher un ransomware, une fraude au virement ou une fuite de données. La sécurisation de la messagerie est donc non négociable.
- Les enregistrements SPF, DKIM et DMARC sont-ils correctement configurés sur votre domaine ? Notre guide SPF, DKIM, DMARC pour les PME détaille la procédure complète.
- Un filtre antispam et anti-phishing est-il actif sur votre messagerie ?
- Les employés sont-ils formés à reconnaître un email de phishing ?
- Avez-vous une procédure claire pour signaler un email suspect ?
- Les pièces jointes exécutables (.exe, .bat, .vbs, .js) sont-elles bloquées ou analysées par défaut ?
4. Sauvegarde et continuité d’activité
Une cyberattaque réussie ne détruit pas toujours une entreprise, c’est souvent l’absence de sauvegarde fiable qui le fait. La sauvegarde est votre filet de sécurité ultime, notamment contre les ransomwares qui chiffrent l’intégralité de vos données.
- Appliquez-vous la règle 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site ? Notre article sur la règle 3-2-1 de sauvegarde explique comment la mettre en œuvre concrètement.
- Les sauvegardes sont-elles testées régulièrement (test de restauration complet) ? Une sauvegarde non testée n’est pas fiable.
- Vos sauvegardes cloud sont-elles isolées du réseau principal pour résister à un ransomware ? Explorez les meilleurs outils de sauvegarde cloud pour PME.
- Avez-vous un Plan de Continuité d’Activité (PCA), même sommaire, documentant la reprise après sinistre ?
🔐 Outil recommandé : NordLocker pour PME
Chiffrez vos sauvegardes et fichiers sensibles avec NordLocker : même si vos serveurs sont compromis, vos données restent illisibles.
Essayer NordLocker →5. Sensibilisation et formation des équipes
Le facteur humain est impliqué dans plus de 80 % des incidents de sécurité, non par malveillance, mais par manque de formation. Un employé qui clique sur un lien frauduleux, branche une clé USB inconnue, ou partage un mot de passe par email représente un risque réel, quel que soit votre niveau d’investissement technologique.
- Vos employés ont-ils reçu une formation cybersécurité au cours des 12 derniers mois ? Consultez notre guide pour former ses employés à la cybersécurité en 2026.
- Existe-t-il une charte informatique formalisée et signée par les collaborateurs ?
- Les nouveaux arrivants reçoivent-ils un onboarding cybersécurité lors de leur prise de poste ?
- Des simulations de phishing sont-elles organisées pour tester la vigilance des équipes ?
- Les employés savent-ils qui contacter en cas d’incident (ransomware, vol de données, fraude au virement) ?
6. Conformité réglementaire et sécurité des fournisseurs
Votre cybersécurité ne s’arrête pas à vos propres murs. Les attaques par la chaîne d’approvisionnement ciblent de plus en plus les prestataires et sous-traitants pour rebondir vers leurs clients PME. Parallèlement, les obligations réglementaires se durcissent avec NIS2 et le RGPD.
- Votre PME est-elle concernée par la directive NIS2 ? Découvrez ce que NIS2 change concrètement pour votre PME.
- Vos obligations RGPD sont-elles à jour : registre des traitements, procédure de notification de violation ? Voir notre article sur le RGPD et la cybersécurité des PME en 2026.
- Avez-vous évalué la maturité cybersécurité de vos prestataires critiques (hébergeur, comptable, prestataire IT) ?
- Vos contrats de sous-traitance incluent-ils des clauses de sécurité et de confidentialité ?
- Disposez-vous d’une procédure de gestion des incidents documentée ? Notre guide sur le plan de réponse à incident pour les PME vous aidera à la construire.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Protégez votre PME des cyberattaques grâce à l’intelligence artificielle. 41 pages, 6 chapitres, un plan d’action 90 jours. Sans jargon technique, actionnable dès la première lecture.
Checklist audit cybersécurité PME : imprimable (PDF)
Ci-dessous la checklist complète reprenant les 50+ points de contrôle des 6 domaines de ce guide. Cochez chaque point lors de votre audit, puis imprimez-la ou sauvegardez-la en PDF via votre navigateur (Ctrl+P → Enregistrer en PDF).
Domaine 1 : Gestion des accès et des identités
| Les mots de passe de tous les comptes sont uniques et complexes (12+ caractères, majuscules, chiffres, symboles) | |
| Un gestionnaire de mots de passe est déployé et utilisé par les équipes | |
| Le MFA (authentification à deux facteurs) est activé sur les accès critiques (email, VPN, cloud) | |
| Le principe du moindre privilège est appliqué (chaque utilisateur accède uniquement au nécessaire) | |
| Les comptes des ex-employés sont désactivés immédiatement à leur départ | |
| Un inventaire des comptes administrateurs est tenu à jour | |
| Les accès des prestataires externes sont limités dans le temps et révoqués après intervention | |
| Les comptes de service / applicatifs utilisent des identifiants dédiés (pas les identifiants personnels) |
Domaine 2 : Sécurité réseau et équipements
| Le réseau Wi-Fi professionnel est séparé du réseau invités et des appareils IoT | |
| Les mises à jour de sécurité (OS, logiciels, firmware) sont appliquées rapidement dès leur disponibilité | |
| Un pare-feu actif et configuré protège le périmètre réseau | |
| Un antivirus ou EDR est installé et actif sur tous les postes, y compris les ordinateurs portables | |
| Les équipements en fin de vie (plus de mises à jour éditeur) sont remplacés ou isolés du réseau | |
| Une politique BYOD (appareils personnels) est formalisée et respectée | |
| Les accès VPN / télétravail sont sécurisés avec MFA obligatoire et tunnels chiffrés | |
| Les journaux réseau (logs) sont conservés et analysés régulièrement |
Domaine 3 : Protection de la messagerie
| Les enregistrements SPF, DKIM et DMARC sont correctement configurés sur le domaine email | |
| Un filtre antispam et anti-phishing est actif sur la messagerie | |
| Les employés ont reçu une formation pour reconnaître un email de phishing | |
| Une procédure de signalement des emails suspects est en place et connue de tous | |
| L’exécution automatique des pièces jointes exécutables (.exe, .bat, .vbs, .js) est bloquée | |
| Les liens dans les emails sont analysés avant ouverture (safe links / URL scanning) | |
| Une procédure anti-fraude au virement est en place (double validation pour les virements importants) |
Domaine 4 : Sauvegarde et continuité d’activité
| La règle 3-2-1 est appliquée : 3 copies des données, sur 2 supports différents, dont 1 hors site | |
| Les sauvegardes sont testées (restauration complète) au moins une fois par trimestre | |
| Les sauvegardes cloud sont isolées du réseau principal (immuabilité ou air gap) | |
| La fréquence des sauvegardes est cohérente avec le RPO (perte de données maximale acceptable) | |
| Un Plan de Continuité d’Activité (PCA) est documenté, même sommairement | |
| La durée de restauration (RTO) a été testée et est connue de l’équipe dirigeante | |
| Les applications SaaS critiques (CRM, ERP, facturation) sont couvertes par les sauvegardes |
Domaine 5 : Sensibilisation et formation des équipes
| Tous les employés ont reçu une formation cybersécurité dans les 12 derniers mois | |
| Une charte informatique (politique de sécurité) est formalisée et signée par les collaborateurs | |
| Un onboarding cybersécurité est prévu pour chaque nouvel arrivant | |
| Des simulations de phishing sont organisées régulièrement pour tester la vigilance | |
| Les employés savent qui contacter en cas d’incident (numéro d’urgence IT, procédure interne) | |
| La politique sur l’usage des appareils personnels et des clés USB est connue de tous | |
| La direction donne l’exemple en matière de cybersécurité (respect des règles, culture by example) |
Domaine 6 : Conformité réglementaire et fournisseurs
| Le registre des traitements RGPD est tenu à jour | |
| La conformité NIS2 a été évaluée (secteurs essentiels ou importants) | |
| Une procédure de notification de violation de données est documentée (délai légal RGPD : 72h) | |
| La maturité cybersécurité des prestataires critiques a été évaluée (hébergeur, prestataire IT, comptable) | |
| Les contrats de prestataires incluent des clauses de sécurité et de confidentialité | |
| Une procédure de gestion des incidents est documentée et connue de l’équipe | |
| Une assurance cyber a été évaluée ou souscrite |
Évaluez votre niveau de cybersécurité en 5 minutes
La checklist ci-dessus vous donne un état des lieux exhaustif. Si vous souhaitez obtenir une évaluation rapide, scorée et personnalisée de votre niveau de protection, nous avons développé un outil d’autodiagnostic gratuit spécialement conçu pour les PME.
🔍 Autodiagnostic cybersécurité PME : Outil gratuit
En 12 questions ciblées, notre outil évalue votre niveau de protection face aux cyberattaques les plus courantes. À la fin du diagnostic, vous obtenez un score de maturité cyber et une liste des priorités d’action adaptées à votre situation réelle.
✓ Gratuit et sans inscription · ✓ Résultats immédiats · ✓ Adapté aux PME de 5 à 250 salariés
Après l’audit : comment prioriser les actions correctives ?
Réaliser un audit sans plan d’action, c’est s’arrêter à mi-chemin. Une fois votre état des lieux établi, il faut prioriser les corrections selon deux critères : la probabilité d’exploitation de la faille et son impact potentiel sur votre activité.
Une grille simple en trois niveaux :
- Priorité haute : à corriger sous 30 jours : absence de MFA sur les accès critiques, sauvegardes non testées, absence de filtrage email, comptes d’ex-employés toujours actifs, systèmes sans mises à jour depuis plus de 3 mois.
- Priorité moyenne : à planifier sous 90 jours : absence de charte informatique, segmentation réseau insuffisante, formation cybersécurité à organiser, contrats prestataires sans clause sécurité.
- Priorité basse : à intégrer au plan annuel : optimisation des processus RGPD, mise en place de simulations de phishing, audit externe à planifier, évaluation d’une assurance cyber.
Pour construire un plan d’action structuré après votre audit, notre article sur le plan de réponse à incident pour les PME vous guidera étape par étape. Et pour les 10 premières actions concrètes à mettre en place rapidement, notre checklist cybersécurité PME en 10 actions prioritaires est un complément idéal.
FAQ : Audit cybersécurité PME
Combien coûte un audit cybersécurité pour une PME ?
Un audit interne réalisé avec ce guide ne coûte que du temps. Un audit externe conduit par un prestataire spécialisé coûte généralement entre 3 000 et 15 000 € selon la taille de l’entreprise et la profondeur de l’analyse (audit organisationnel, test d’intrusion, audit de code). Des aides existent : l’ANSSI propose des diagnostics cybersécurité subventionnés pour les TPE/PME via le dispositif MonAideCyber.
Quelle est la différence entre un audit cybersécurité et un test de pénétration (pentest) ?
L’audit cybersécurité est une évaluation globale et organisationnelle : il couvre les processus, les politiques, la configuration des systèmes et le facteur humain. Le pentest est une simulation d’attaque technique réalisée par des experts qui cherchent activement à exploiter des failles dans vos systèmes. Les deux sont complémentaires : commencez toujours par un audit organisationnel avant d’envisager un pentest technique.
Mon entreprise est-elle trop petite pour avoir besoin d’un audit ?
Non. Les PME de moins de 10 salariés sont régulièrement ciblées par des cyberattaques opportunistes entièrement automatisées, les attaquants ne font aucune sélection par taille. Un audit simplifié (2 à 4 heures avec cette checklist) est accessible à toute structure. Notre outil d’autodiagnostic en 12 questions est précisément conçu pour les très petites structures.
À quelle fréquence dois-je réaliser un audit cybersécurité ?
Au minimum une fois par an. Mais aussi après chaque événement structurant : recrutement important, changement de prestataire informatique, migration cloud, déménagement. En cas d’incident de sécurité (même mineur), un audit post-incident est indispensable pour identifier la cause racine et éviter la récidive.
Quelles ressources officielles existent pour aider les PME françaises ?
Plusieurs ressources publiques sont disponibles gratuitement : cybermalveillance.gouv.fr propose des guides pratiques et une mise en relation avec des prestataires certifiés. L’ANSSI publie des guides sectoriels et le référentiel MonAideCyber. Le label ExpertCyber identifie les prestataires de confiance pour accompagner les PME dans leur démarche de sécurisation.
Conclusion
L’audit cybersécurité est le fondement de toute stratégie de protection sérieuse pour une PME. Il ne requiert ni budget exceptionnel ni expertise technique poussée pour être initié : une méthode claire, du temps dédié, et la volonté d’agir sur les résultats. Cette checklist vous donne le cadre. Notre outil d’autodiagnostic gratuit vous donne un premier score en 5 minutes.
La prochaine étape ? Bâtir une stratégie cybersécurité PME globale et progressive en vous appuyant sur notre guide complet cybersécurité PME 2026, la feuille de route de référence pour sécuriser votre entreprise étape par étape.
Et pour une vision complète des technologies IA au service de la cybersécurité de votre entreprise, consultez notre panorama des technologies IA pour la cybersécurité des PME en 2026.
