Un diagnostic, un audit et un test d’intrusion ne répondent pas au même besoin. Ce guide aide une TPE ou PME à choisir le bon niveau d’analyse, cadrer le périmètre et demander des livrables réellement exploitables.
Rédaction : Cybersécurité Solution.
Synthèse documentaire préparée à partir des sources institutionnelles et des documentations officielles citées dans l’article. Consulter notre méthodologie éditoriale.
Vérification éditoriale : 12 août 2026. Ce contenu a une vocation informative et ne constitue pas un conseil technique personnalisé.
Cette page présente des informations générales issues de publications officielles. Cybersécurité Solution ne réalise aucune intervention technique et ne fournit pas de conseil personnalisé. Chaque environnement doit être examiné selon son contexte par un professionnel compétent.
Un audit cybersécurité PME évalue de façon structurée les risques, les configurations, les pratiques et les preuves disponibles afin de produire des constats et un plan d’action priorisé. Un diagnostic est généralement plus léger, tandis qu’un test d’intrusion cherche surtout à vérifier techniquement l’exploitation de vulnérabilités sur un périmètre défini. Le guide d’hygiène informatique de l’ANSSI fournit un socle officiel de mesures à confronter au contexte de l’entreprise.
Pour une PME, cette ambiguïté rend les devis difficiles à comparer. Une offre peu coûteuse peut être adaptée à une première photographie, mais insuffisante pour vérifier une infrastructure critique. À l’inverse, une mission très technique peut être disproportionnée si l’entreprise cherche d’abord à organiser ses priorités.
Le bon niveau dépend du motif : préparer un budget, répondre à une exigence contractuelle, examiner un incident, mesurer la maturité ou vérifier une configuration. L’objectif doit être écrit avant de choisir le nom de la prestation.
Cette page explique les différences courantes sans recommander une méthode particulière. Le périmètre final doit être défini avec le professionnel en fonction des systèmes, des risques et des obligations de l’entreprise.
| Démarche | Question principale | Preuves attendues | Livrable utile |
|---|---|---|---|
| Diagnostic | Quelles sont nos priorités ? | Entretiens, inventaire, documents disponibles | État des lieux et plan d’action priorisé |
| Audit | Le périmètre respecte-t-il des critères définis ? | Documents, configurations, journaux et échantillons | Constats reliés à des preuves, risques et recommandations |
| Test d’intrusion | Des faiblesses techniques sont-elles exploitables ? | Tests encadrés sur un périmètre autorisé | Vulnérabilités observées, impact et correctifs à valider |
Le nom commercial de la prestation ne suffit pas. Avant de comparer des devis, demandez ce qui sera effectivement vérifié, ce qui restera déclaratif et quelles preuves seront remises. Pour le déroulement détaillé d’une mission, consultez aussi les étapes d’un audit cybersécurité PME.
Un diagnostic commence généralement par des questions sur l’organisation, les équipements, les sauvegardes, les accès et les incidents passés. Il repère des écarts visibles et propose des premières priorités.
Sa valeur dépend de la qualité des informations fournies. Il ne vérifie pas nécessairement les configurations ni la résistance technique des systèmes. Il convient donc de lire précisément ce qui a été observé et ce qui repose sur une déclaration.
Un audit décrit les systèmes, sites, applications ou processus inclus, ainsi que les critères utilisés. Le prestataire peut examiner des documents, des configurations, des journaux et des échantillons de comptes.
Le rapport doit permettre de relier chaque constat à une preuve, un risque et une recommandation. Il précise aussi les limites de la mission, notamment les éléments non accessibles ou les vérifications qui n’ont pas été autorisées.
Un test d’intrusion cherche à identifier des faiblesses exploitables sur un périmètre défini. Il ne remplace pas l’examen des sauvegardes, des contrats, des habilitations ou de la continuité d’activité.
Les règles d’engagement, horaires, adresses, exclusions et procédures d’arrêt doivent être convenus à l’avance. Une autorisation formelle protège l’entreprise et l’intervenant et réduit le risque d’interruption involontaire.
Si l’objectif est de bâtir un plan annuel, un diagnostic structuré peut suffire au départ. Si un client exige une assurance sur un service précis, un audit ciblé avec preuves sera plus pertinent. Après un incident, l’investigation répond encore à une autre question.
La décision attendue doit être formulée en une phrase : « identifier nos trois priorités », « vérifier la sécurité de notre messagerie » ou « disposer d’un rapport pour un donneur d’ordre ». Cette phrase aide à limiter les prestations vagues.
Le nombre de jours ne suffit pas. Il faut examiner le rapport prévu, la réunion de restitution, la hiérarchisation, les annexes techniques, la possibilité de poser des questions et les conditions d’une contre-vérification.
Un livrable destiné au dirigeant ne remplace pas les éléments techniques nécessaires au prestataire informatique. Les deux niveaux peuvent coexister : synthèse décisionnelle et détails permettant de corriger.
Les accès administrateurs ne doivent pas être transmis avant que le cadre, les responsabilités et le canal sécurisé soient établis. La collecte doit rester proportionnée au périmètre convenu.
Avant l’entretien, l’entreprise peut réunir une liste courte de ses outils, des personnes qui les administrent et des prestataires capables d’intervenir. Cette préparation évite que le diagnostic repose uniquement sur la mémoire d’un dirigeant ou sur des réponses générales. Elle permet aussi de repérer les services souscrits avec une adresse personnelle, les comptes dont personne ne connaît le propriétaire et les sauvegardes dont la restauration n’a jamais été essayée.
Le dossier n’a pas besoin d’être parfait. Il doit distinguer ce qui est confirmé de ce qui reste à vérifier. Une colonne « preuve disponible » — facture, contrat, capture, rapport ou test — donne immédiatement de la valeur à l’état des lieux. Les écarts non documentés deviennent alors des questions à traiter, plutôt que des affirmations impossibles à vérifier.
Si votre besoin nécessite ensuite une prestation externe, vous pouvez être orienté vers un partenaire spécialisé.
Chaque entreprise possède un environnement, des contrats et des contraintes différents. Vous pouvez décrire votre besoin de manière factuelle, sans transmettre de mot de passe ni de donnée sensible. Avec votre accord, vos coordonnées pourront être transmises à un partenaire indépendant, qui reste seul responsable de son analyse, de ses tarifs et des suites proposées.
Accéder au formulaireUne fois le niveau d’analyse choisi, vérifiez les dispositifs d’aide au diagnostic et à l’audit cyber avant d’engager une dépense.
Pour éviter un état des lieux trop général, le diagnostic peut être organisé autour de six blocs vérifiables : actifs et services critiques, comptes et habilitations, postes et mises à jour, sauvegardes et restauration, messagerie et accès distants, prestataires et gestion des incidents.
Un diagnostic utile ne se termine pas par une liste générique de bonnes pratiques. Chaque action devrait comporter au minimum un responsable, une priorité, une échéance et une preuve de réalisation. Les actions peuvent ensuite être classées en trois horizons : immédiat pour réduire un risque critique, court terme pour corriger les écarts structurants et moyen terme pour les projets nécessitant budget ou changement d’architecture.
Pour préparer concrètement la mission, voir les documents et accès à réunir avant un audit. Pour un premier diagnostic public, le guide MonAideCyber / Cyberdépart précise le rôle et les limites du dispositif.
Diagnostic, audit et test technique sont complémentaires, mais ils n’offrent pas le même niveau de preuve. Une PME gagne à commencer par la décision qu’elle souhaite prendre, puis à demander un périmètre et des livrables compatibles avec cette décision.
Une mission bien définie évite deux écueils : payer une analyse trop large sans pouvoir agir, ou obtenir une photographie trop superficielle pour traiter un risque déjà identifié.
Non. Il peut aider à engager la démarche et à hiérarchiser des mesures, mais il ne fournit pas nécessairement les preuves ou vérifications techniques d’un audit.
Non. Il examine un périmètre technique à un moment donné. L’organisation, les sauvegardes, les contrats et la sensibilisation demandent d’autres vérifications.
Pas nécessairement. Un périmètre prioritaire peut être plus utile s’il correspond à un risque ou une décision clairement identifiée.
Le constat décrit ce qui a été observé ; la recommandation propose une manière de réduire le risque. Le rapport doit permettre de distinguer les deux.
Ces ressources publiques ont servi à vérifier et à contextualiser les informations présentées.
Liens vérifiés le 12 août 2026.