Cybersécurité entreprise : quel prix prévoir pour une TPE ou une PME ?

Il n'existe pas de prix unique pour la cybersécurité d'une entreprise : le budget dépend du nombre de postes, de la sensibilité des données, du secteur et du niveau de service attendu. Pour une TPE ou une PME, on raisonne plutôt en trois couches : un socle d'hygiène peu coûteux (authentification forte, mises à jour, sauvegardes), des outils de détection sur les postes et serveurs, puis, selon l'exposition, une surveillance externalisée et une assurance. Les montants ci-dessous sont des ordres de grandeur d'illustration, utiles pour repérer un devis incohérent, pas des tarifs de marché.

Les cinq grands postes de dépense

Un budget de cybersécurité se découpe en familles de coûts qu'il vaut mieux séparer pour pouvoir arbitrer :

1. Les outils : protection des postes (antivirus, EDR), messagerie sécurisée, gestionnaire de mots de passe, authentification multifacteur, pare-feu, sauvegarde externalisée. Ils se facturent en général par poste ou par utilisateur et par an ou par mois.
2. Les prestations ponctuelles : audit de sécurité, test d'intrusion, accompagnement à la mise en conformité, exercice de gestion de crise. Elles se facturent au forfait ou au nombre de jours.
3. Les services récurrents : supervision, surveillance (MDR, SOC), infogérance avec volet sécurité, gestion des correctifs.
4. Le transfert de risque : assurance cyber, dont la prime dépend du chiffre d'affaires, du secteur et des mesures en place.
5. Le temps interne : formation, pilotage, gestion des accès. C'est le poste que les entreprises oublient le plus souvent, alors qu'il conditionne l'efficacité des autres.

Ce qui fait varier un devis

Deux entreprises de vingt-cinq postes peuvent recevoir des devis très différents. Les facteurs principaux sont les suivants :

• Le périmètre : postes seuls, ou postes, serveurs, téléphones mobiles, environnements cloud et sites distants.
• Le niveau de service : intervention en heures ouvrées ou astreinte 24 h/24, délai de prise en charge garanti, nombre d'incidents inclus.
• La maturité de départ : une entreprise sans inventaire de ses équipements ni sauvegarde testée demandera davantage de travail initial.
• La durée d'engagement : un contrat de trois ans est souvent moins cher par an mais réduit la flexibilité.
• Les exigences externes : cahier des charges d'un grand client, secteur réglementé, assurance cyber qui impose des mesures précises.

Ordres de grandeur illustratifs par niveau de protection

Le tableau suivant sert de grille de lecture. Les fourchettes sont illustratives, exprimées en euros hors taxes par poste et par an, hors temps interne.

À ces montants s'ajoutent des coûts fixes : un audit initial, une campagne de sensibilisation, la rédaction d'un plan de reprise. Si un devis est très en dessous de ces ordres de grandeur, vérifiez ce qui est exclu. S'il est très au-dessus, demandez le détail du périmètre et du niveau de service.

Exemple chiffré pour une entreprise de 25 postes

Prenons une entreprise de services de 25 postes sans équipe informatique interne. Elle vise le niveau « socle + EDR » et réserve 3 000 euros de coûts fixes pour un audit rapide et une sensibilisation.

• Coût bas : 25 x 130 = 3 250 euros, plus 3 000 euros de coûts fixes, soit 6 250 euros par an.
• Coût haut : 25 x 300 = 7 500 euros, plus 3 000 euros, soit 10 500 euros par an.

Cela revient, de façon purement illustrative, à environ 250 à 420 euros par poste et par an tout compris. Vous pouvez refaire ce calcul avec vos propres valeurs dans l'estimateur de budget.

Comment construire un budget cohérent

Une méthode simple en quatre étapes évite les achats impulsifs :

1. Inventoriez ce que vous devez protéger : postes, serveurs, comptes de messagerie, applications en ligne, données clients, données sensibles. Sans inventaire, aucun devis n'est comparable.
2. Identifiez les scénarios coûteux : arrêt d'activité de plusieurs jours, vol de fichiers clients, fraude au virement, rançongiciel. Estimez le coût d'une journée d'arrêt pour hiérarchiser.
3. Couvrez d'abord le socle : les mesures peu coûteuses traitent les causes les plus fréquentes. Voir le plan d'action sur 90 jours.
4. Ajoutez des briques selon le risque résiduel, puis évaluez la rentabilité avec le calculateur de rentabilité.

Pensez aussi à répartir la dépense dans le temps : une partie du coût est initiale (déploiement), l'autre récurrente (licences, supervision). Beaucoup d'entreprises sous-estiment la part récurrente et abandonnent un outil au bout d'un an.

Les aides possibles

Certaines régions, chambres de commerce et dispositifs sectoriels proposent des diagnostics de sécurité gratuits ou subventionnés, parfois des chèques numériques couvrant une partie de la dépense. Ces dispositifs changent souvent et ne sont pas disponibles partout : renseignez-vous auprès de votre région, de votre CCI et sur les sites officiels avant de décider. L'ANSSI propose également, avec ses partenaires, des services gratuits d'auto-évaluation destinés aux petites structures.

Erreurs fréquentes lors de la budgétisation

• Comparer des devis sur des périmètres différents.
• Acheter un outil avancé sans personne pour traiter ses alertes.
• Oublier la sauvegarde et la restauration, alors qu'elles conditionnent la reprise d'activité.
• Négliger la formation, qui coûte peu par rapport à l'impact d'un clic malheureux.
• Ne pas prévoir de renouvellement : les licences et les abonnements reviennent chaque année.

Pour un panorama des familles de solutions, consultez la page de comparaison.

Quand consulter un professionnel

Si votre activité manipule des données sensibles (santé, données financières, secrets industriels), si vous répondez à des exigences contractuelles de grands clients ou si vous êtes potentiellement concerné par la directive NIS 2, faites-vous accompagner pour cadrer le besoin avant de consulter les éditeurs. Un consultant indépendant ou un prestataire qualifié peut rédiger un cahier des charges que vous soumettrez ensuite à plusieurs fournisseurs.

Questions fréquentes

Une TPE de cinq personnes doit-elle investir autant qu'une PME ?

Non, mais elle doit couvrir le même socle : authentification forte, mises à jour, sauvegardes et sensibilisation. Ces mesures coûtent peu en valeur absolue. Les outils avancés viennent ensuite, selon l'exposition réelle.

Vaut-il mieux tout confier à un prestataire d'infogérance ?

C'est pratique mais cela concentre le risque : un prestataire compromis peut ouvrir l'accès à tous ses clients. Contrôlez les accès qu'il détient, exigez de l'authentification forte et gardez la maîtrise de vos sauvegardes.

Le budget doit-il être calculé en pourcentage du budget informatique ?

Des règles de pourcentage circulent, mais elles ne sont pas des normes. Mieux vaut partir de vos scénarios de risque et de vos obligations. Un pourcentage peut servir de repère, pas de justification.

Sources et références

• ANSSI — guides d'hygiène informatique, listes de prestataires qualifiés, recommandations pour les PME.
• Cybermalveillance.gouv.fr — dispositif national d'assistance et référencement de professionnels.
• CNIL — guide de la sécurité des données personnelles.