Audit informatique pour les PME : checklist, référentiels et coûts

Savez-vous précisément quels systèmes informatiques tournent dans votre entreprise, qui a accès à quoi et en combien de temps vous redémarrez après un incident ? Un audit informatique apporte une réponse objective à ces questions. Pendant longtemps, ce type d'audit est resté l'affaire des experts-comptables et des grandes entreprises. Mais avec la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet, transposition de NIS2) et les exigences des banques, des assureurs et des donneurs d'ordre, il devient incontournable pour les PME néerlandaises aussi. Cet article explique ce qu'est exactement un audit informatique, quand vous en avez besoin, ce que vous pouvez en attendre et ce qu'il coûte raisonnablement.

Qu'est-ce qu'un audit informatique, au juste ?

Un audit informatique est une évaluation systématique et indépendante de votre environnement IT. La NOREA (l'ordre néerlandais des auditeurs informatiques agréés, les Register EDP-Auditors) le définit comme une évaluation de la qualité, de la sécurité et de la continuité des systèmes informatiques, de l'infrastructure IT ainsi que de l'organisation et des processus qui s'y rattachent. Un audit informatique est donc bien plus qu'un scan technique : il porte à la fois sur la technique, les personnes et les procédures.

Un audit commence par un accord sur le périmètre (quels systèmes, quels processus, quel référentiel) et se termine par un rapport qui réunit constats, risques et recommandations. Point essentiel : l'auditeur est indépendant. Confier à la même partie la fourniture des solutions et leur audit, c'est saper toute la démarche. Selon la norme ISO 19011:2018, un audit est par définition un processus méthodique, indépendant et documenté visant à obtenir des preuves objectives et à les évaluer.

Quelle différence avec un test d'intrusion, une analyse de risques ou une évaluation de sécurité ?

Ces termes sont souvent employés indifféremment. Pourtant, chacun mesure autre chose :

• Un test d'intrusion (pentest) attaque activement pour mettre au jour des vulnérabilités techniques. Durée : 1 à 4 semaines.
• Une analyse de risques pondère la probabilité et l'impact des risques en fonction des menaces et des actifs.
• Une évaluation de sécurité (security assessment) examine les politiques et les procédures. Durée : 4 à 12 semaines.
• Un audit informatique est le cadre général qui rassemble des preuves à la fois procédurales et techniques, et les confronte à un référentiel comme ISO 27001, le NIST CSF, COBIT ou les normes NOREA.

Un pentest peut faire partie d'un audit, l'inverse n'est pas vrai. Un audit sans aucun contrôle technique passe à côté d'une partie de la réalité. Un pentest seul passe à côté du contexte des politiques et des procédures.

Quand votre PME a-t-elle besoin d'un audit informatique ?

Il existe cinq déclencheurs classiques. Premièrement, une obligation légale, avérée ou présumée. En vertu de la nouvelle loi néerlandaise sur la cybersécurité (NIS2), adoptée par la Eerste Kamer (le Sénat néerlandais) le 7 juillet 2026 et dont l'entrée en vigueur est attendue vers le 15 août 2026, environ 10 000 organisations néerlandaises seront classées entités essentielles ou importantes. Les organisations de taille moyenne de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires relèvent généralement de la catégorie « entité importante » et doivent pouvoir démontrer que leur cybersécurité est en ordre.

Deuxièmement : une démarche de certification comme ISO 27001. Troisièmement : une demande client. Les grands donneurs d'ordre, les banques et les assureurs exigent de plus en plus souvent un Third Party Memorandum (TPM), un rapport SOC 2 ou une attestation d'assurance avant de travailler avec vous. Quatrièmement : un audit informatique dans le cadre de la certification des comptes annuels. La NBA (l'ordre néerlandais des experts-comptables) et la NOREA ont déjà publié un cadre pratique à ce sujet. Cinquièmement : une acquisition ou une levée de fonds, dont la due diligence comporte toujours des questions IT sur la continuité, les licences et la sécurité.

Qui réalise l'audit ?

Aux Pays-Bas, le titre de « Register EDP-auditor » (RE) est protégé par la NOREA. Son titulaire a suivi une formation universitaire accréditée de troisième cycle en audit informatique et justifie d'au moins 3 ans d'expérience pratique. La NOREA compte environ 1 250 membres. Pour un audit qui doit avoir un poids juridique ou contractuel à l'extérieur (pensez à un TPM pour des marchés publics ou à des rapports d'assurance), vous travaillez avec un RE.

Pour un audit informatique interne ou à visée de conseil dans une PME, une équipe d'audit IT spécialisée suffit souvent, à condition qu'elle soit manifestement indépendante et qu'elle s'appuie sur un référentiel reconnu. Une PME sans obligation d'audit n'a pas besoin de payer un grand cabinet coûteux, mais bien quelqu'un qui connaît parfaitement le terrain.

Quels référentiels sont utilisés ?

Les principaux cadres que vous rencontrerez aux Pays-Bas :

• ISO 27001:2022, avec 93 mesures réparties en 4 catégories (organisationnelles, humaines, physiques, technologiques). La période de transition pour les certificats existants a pris fin le 31 octobre 2025.
• Le NIST Cybersecurity Framework 2.0 (février 2024), avec six fonctions clés : Govern, Identify, Protect, Detect, Respond et Recover. En mai 2024, le NIST a publié un Small Business Quick-Start Guide destiné aux petites entreprises.
• COBIT 2019 de l'ISACA, avec 40 objectifs de gouvernance et de management répartis sur cinq domaines. Surtout utilisé dans les grandes organisations et les secteurs réglementés.
• ITAF, 5e édition (2026), l'IT Audit Framework de l'ISACA.
• La norme de reporting de la NOREA pour la maîtrise des systèmes d'information.
• À des fins comptables : le cadre ITGC (IT General Controls) de l'Auditdienst Rijk (le service d'audit de l'État néerlandais), avec ses quatre grandes catégories : access to programs and data, change management, program development et operations management.

Pour une PME, la combinaison du NIST CSF 2.0 et des mesures ISO 27001 est généralement la plus pratique : une large couverture, un langage familier et une utilité directe pour la conformité NIS2.

Qu'examine précisément un auditeur informatique ?

Un audit informatique approfondi dans une PME couvre au minimum les thèmes suivants :

1. Gouvernance et politiques. Existe-t-il des politiques claires (sécurité de l'information, usage acceptable, classification des données, réponse aux incidents) et sont-elles appliquées ?
2. Gestion des accès. Le processus arrivées-mobilités-départs (Joiner-Mover-Leaver) fonctionne-t-il ? La MFA est-elle activée sur tous les systèmes (NIS2 l'impose pour tous les points d'accès à des informations sensibles) ? Les comptes des collaborateurs sortants sont-ils supprimés à temps ?
3. Gestion des correctifs. Avec en moyenne 131 nouvelles vulnérabilités CVE par jour en 2025 et un délai moyen d'exploitation de seulement 7 jours (Mandiant M-Trends 2026), c'est un processus central.
4. Sauvegarde et restauration. Le NCSC (centre national de cybersécurité néerlandais) préconise la règle 3-2-1 : trois versions des données, sur deux supports différents, dont une copie sur un autre site. La version moderne est la règle 3-2-1-1-0, avec une copie immuable ou isolée (air-gapped) et zéro erreur après un test de restauration.
5. Gestion des changements. Les modifications sont-elles autorisées, documentées et traçables (base ITIL) ?
6. Journalisation et supervision. Les comportements anormaux sont-ils détectés et traités (pensez à un SIEM ou à un service MDR) ?
7. Fournisseurs et tiers. Les risques liés aux parties externes sont-ils cartographiés (attestations TPM ou SOC 2) ?
8. Sécurité physique des salles serveurs, des ordinateurs portables et des supports de sauvegarde.
9. Conformité au RGPD : registre des traitements en place, contrats de sous-traitance signés, procédure de violation de données testée.
10. Sensibilisation et formation. Seules 9 % des PME néerlandaises imposent une formation à la cybersécurité à leurs collaborateurs. NIS2 l'exige explicitement, y compris pour les dirigeants.

Combien coûte un audit informatique pour une PME ?

Les fourchettes de prix varient fortement selon le périmètre, le secteur et le référentiel. Chez les prestataires néerlandais, un audit informatique complet pour une entreprise de taille moyenne coûte généralement entre 2 500 et 7 500 €. Les audits de sécurité ponctuels peuvent être moins chers, les démarches ISO 27001 avec certification nettement plus coûteuses. Les tarifs journaliers des auditeurs tournent autour de 1 000 à 1 500 € par jour. En 2026, les consultants IT indépendants facturaient en moyenne 108 € de l'heure HT pour des missions de conseil.

Pour une PME de 25 à 100 salariés, un investissement réaliste pour un premier audit informatique complet se situe entre 5 000 et 15 000 €, pour une durée de 3 à 8 semaines. Si vous vous préparez à NIS2 ou à ISO 27001, la facture est plus élevée, car le périmètre est plus large et le nombre de mesures double.

Le vrai coût se trouve généralement moins dans l'audit lui-même que dans le plan de remédiation qui suit : déployer la MFA, mettre en place un gestionnaire de mots de passe, remettre les sauvegardes à niveau, lancer un programme de sensibilisation, améliorer la journalisation. Prévoyez un budget de remédiation de 2 à 5 fois l'investissement de l'audit, étalé sur 6 à 12 mois.

Ce que vous obtenez : le rapport d'audit

Un bon rapport d'audit informatique se compose de trois niveaux :

• Synthèse pour la direction. Deux à quatre pages lisibles par le conseil d'administration : les principaux risques, les prochaines étapes et leur degré d'urgence.
• Rapport détaillé. Pour chaque constat : ce qui a été observé, les preuves, le risque, l'action recommandée et la priorité (critique, élevée, moyenne, faible).
• Plan d'action. Avec responsable, échéance, estimation budgétaire et KPI. C'est la base du plan de remédiation.

Demandez toujours un suivi. La recommandation est de réaliser au moins un audit approfondi par an, complété par des revues trimestrielles des systèmes critiques. Sans suivi, l'organisation retombe dans ses travers : les correctifs prennent du retard, des exceptions à la MFA s'installent et les formations de sensibilisation passent à la trappe.

La responsabilité des dirigeants sous NIS2

Ce qui rend les audits informatiques encore plus urgents sous la loi néerlandaise sur la cybersécurité, c'est la responsabilité des dirigeants. L'article 24 leur impose trois obligations : une obligation d'approbation (de la politique de sécurité), une obligation de surveillance (de sa mise en œuvre) et une obligation de formation (se tenir eux-mêmes informés et former le personnel). En cas d'infraction, les dirigeants peuvent se voir infliger personnellement une amende allant jusqu'à 25 000 €. Pour les entités essentielles, l'organisation elle-même s'expose à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial ; pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %.

S'y ajoute l'obligation de notification 24-72-30 : en cas d'incident significatif, une alerte précoce à l'autorité compétente dans les 24 heures, une notification détaillée dans les 72 heures et un rapport final dans les 30 jours. Un audit informatique qui vérifie si votre organisation est capable de tenir ce cycle n'a rien d'un luxe.

Audit interne ou externe ?

La norme ISO 19011 distingue les audits de première partie (internes), de seconde partie (réalisés par un client ou un fournisseur, ou pour son compte) et de tierce partie (audits de certification indépendants). Les audits internes sont utiles comme contrôle annuel et pour identifier des pistes d'amélioration, mais l'auditeur ne doit pas évaluer son propre travail. Pour une valeur reconnue à l'extérieur (assureurs, donneurs d'ordre, certification), il vous faut un intervenant externe.

Conseil pratique pour les PME : commencez par un audit externe complet mené par un acteur indépendant, puis instaurez une routine d'audit interne annuelle. Le premier vous donne un état des lieux objectif ; la seconde entretient la discipline.

Questions fréquentes sur les audits informatiques pour les PME

Un audit informatique est-il obligatoire pour les PME ?

Pas directement pour la plupart des PME. Mais avec la loi néerlandaise sur la cybersécurité (transposition de NIS2), environ 10 000 organisations néerlandaises seront déclarées essentielles ou importantes et devront se soumettre à des évaluations indépendantes obligatoires. Par ailleurs, les clients, les banques et les assureurs demandent de plus en plus souvent un rapport d'audit ou une attestation TPM.

Combien de temps dure un audit informatique ?

Un audit de PME prend généralement 3 à 8 semaines entre le lancement et la remise du rapport, selon le périmètre, le nombre de systèmes et la disponibilité des pièces justificatives. Un audit de sécurité seul peut aller plus vite (2 à 4 semaines) ; une démarche de certification ISO 27001 est nettement plus longue.

Combien coûte un audit informatique pour mon entreprise ?

Pour une PME de 25 à 100 salariés, comptez 5 000 à 15 000 € pour un premier audit complet. Les audits de sécurité ponctuels se situent généralement entre 2 500 et 7 500 € ; les tarifs journaliers vont de 1 000 à 1 500 €. La remédiation qui suit coûte en général 2 à 5 fois l'investissement de l'audit.

Mon propre prestataire informatique peut-il réaliser l'audit ?

Non, ce ne serait par définition pas un audit indépendant. Un prestataire qui fournit ou gère lui-même des solutions ne peut pas juger objectivement la qualité de ce travail. Choisissez un auditeur externe qui ne vend rien dans le même environnement. Les évaluations internes sont utiles, mais elles ne valent pas audit externe.

Quelle différence entre un audit informatique et un audit de conformité NIS2 ?

Un audit informatique est large : il couvre la technique, les processus et la gouvernance. Un audit de conformité NIS2 porte spécifiquement sur les exigences de la loi néerlandaise sur la cybersécurité (gestion des risques, MFA, obligation de notification, sensibilisation). Souvent, l'auditeur utilise NIS2 comme référentiel supplémentaire au sein de l'audit informatique global.

À quelle fréquence faut-il faire réaliser un audit informatique ?

La bonne pratique consiste à mener un audit approfondi par an, complété par des revues trimestrielles des systèmes critiques. Après un changement majeur (migration vers le cloud, acquisition, nouveau système central), un audit intermédiaire est judicieux.

Conclusion

Un audit informatique n'est pas une formalité comptable, mais un investissement dans la continuité, la maîtrise de la responsabilité et la confiance de vos clients. Pour les PME néerlandaises, NIS2 et les exigences des clients le rendent de plus en plus nécessaire. La clé : un auditeur indépendant, un référentiel clair et la volonté de traiter réellement les constats dans un plan de remédiation.

Vous ne savez pas par où commencer ? TRON Group réalise des scans et des audits informatiques pour les PME et vous aide à construire la feuille de route vers NIS2, ISO 27001 ou simplement une base IT saine. En toute indépendance, avec un rapport concret que la direction comprend et une équipe qui veut vous voir plus solide face aux risques. Découvrez notre offre de cybersécurité managée ou appelez le +31 85 303 5869 pour un premier échange sans engagement. Nous commençons petit : un quick scan de votre environnement et une discussion sur l'endroit où se situent réellement les plus grands risques.