Guide — Budgets & coûts
Budget cybersécurité PME 2026 — chiffres réels et benchmarks
Combien dépenser en cybersécurité en 2026 ? Benchmarks réels par taille d'entreprise, répartition budgétaire recommandée et impacts NIS2 sur les budgets cyber des PME et ETI françaises.
2,5 %
du CA — benchmark médian PME NIS2 2026
+32 %
hausse budgets cyber FR entre 2024 et 2026
67 %
des PME NIS2 sous-estiment leur budget initial
Benchmarks budgets cyber par taille d'entreprise
Les benchmarks ci-dessous sont issus de missions terrain et de données sectorielles 2025-2026. Ils couvrent les PME et ETI françaises soumises ou non à NIS2.
| Taille | Budget annuel estimé | % CA recommandé | Profil type |
|---|---|---|---|
| 10–50 salariés | 8 000 – 25 000 € | 0,8 % – 1,5 % | Non NIS2 — protection de base |
| 50–250 salariés | 30 000 – 100 000 € | 1,5 % – 3 % | Entité importante NIS2 |
| 250–500 salariés | 100 000 – 300 000 € | 2 % – 4 % | Entité essentielle NIS2 |
| 500–2 000 salariés | 300 000 – 1 M€ | 2,5 % – 5 % | ETI — secteurs critiques |
Méthodologie
Ces fourchettes sont des estimations basées sur des missions terrain et des données sectorielles publiées (CESIN, Wavestone, ANSSI). Elles varient significativement selon le secteur (finance et santé sont 30–50 % au-dessus de la médiane), le niveau de maturité existant et les prestataires choisis.
Impact de NIS2 sur les budgets cyber des PME
NIS2 introduit des obligations nouvelles qui se traduisent par des postes de dépenses souvent absents des budgets cyber "pré-NIS2" des PME.
| Poste de dépense NIS2 | Coût estimé | Fréquence | Obligatoire |
|---|---|---|---|
| Audit de conformité NIS2 initial | 15 000 – 35 000 € | Une fois (puis annuel allégé) | Oui |
| Outil GRC / risk management | 3 000 – 15 000 €/an | Abonnement annuel | Recommandé |
| Formation équipes + dirigeants | 2 000 – 8 000 €/an | Annuel | Oui (art. 21) |
| Plan de réponse aux incidents | 5 000 – 20 000 € | Une fois + tests annuels | Oui |
| Surveillance supply chain (tiers) | 3 000 – 12 000 €/an | Annuel | Oui (art. 21) |
| SOC managé ou MDR | 12 000 – 60 000 €/an | Abonnement mensuel | Recommandé |
| Enregistrement CCN / ANSSI | 0 € | Une fois | Oui |
Erreur fréquente
67 % des PME interrogées lors de missions NIS2 sous-estiment leur budget de mise en conformité initial d'un facteur 2 à 3. L'audit seul coûte souvent plus que le budget cyber total annuel de l'entreprise avant NIS2.
Répartition budgétaire recommandée
Pour une PME de 50 à 250 salariés soumise à NIS2 avec un budget annuel de 60 000 €, voici la répartition recommandée :
| Catégorie | % budget | Exemples de postes | Budget indicatif (60k€) |
|---|---|---|---|
| Protection endpoint & réseau | 35 % | EDR, firewall, MFA, backup | 21 000 € |
| Détection & surveillance | 20 % | SOC managé, SIEM, MDR | 12 000 € |
| Conformité & GRC | 20 % | Outil GRC, audit, conseil | 12 000 € |
| Formation & sensibilisation | 15 % | Phishing simulé, e-learning, RSSI | 9 000 € |
| Réponse incidents & PCA | 10 % | Plan IR, tests, backup offsite | 6 000 € |
Coûts réels par poste — données terrain 2026
Protection endpoint
| Solution | Prix indicatif | Cible |
|---|---|---|
| EDR (Guardz, SentinelOne, CrowdStrike) | 5 – 15 €/poste/mois | PME 50-500 postes |
| Firewall next-gen (Fortinet, Palo Alto) | 3 000 – 15 000 €/an | 50-500 utilisateurs |
| MFA / IAM (Okta, Microsoft Entra) | 6 – 22 €/utilisateur/mois | Toutes tailles |
| Backup cloud chiffré | 500 – 3 000 €/an | PME |
Surveillance et détection
| Service | Prix indicatif | Niveau de service |
|---|---|---|
| SOC managé PME (Resilium, Guardz) | 800 – 2 500 €/mois | 24/7 avec MDR |
| SOC managé ETI (Orange, Sekoia) | 3 000 – 10 000 €/mois | SOC dédié + SIEM |
| MDR seul (Huntress, Cynet) | 10 – 25 €/endpoint/mois | Détection + réponse |
Conformité et GRC
| Poste | Prix indicatif | Notes |
|---|---|---|
| Plateforme GRC (Tenacy, Egerie, Piloter.io) | 3 000 – 15 000 €/an | Selon fonctionnalités |
| Audit NIS2 initial (cabinet PASSI) | 15 000 – 35 000 € | One-shot + rapport |
| vCISO / RSSI externalisé | 1 500 – 4 000 €/jour | Selon séniorité |
| Conseil conformité NIS2 (cabinet) | 5 000 – 20 000 € | Accompagnement 3-6 mois |
Bonne pratique
Pour les PME avec un budget limité (< 30 000 €/an), privilégier d'abord la protection endpoint (EDR + MFA + backup) et un MSP cyber qui combine surveillance et accompagnement conformité. C'est le meilleur ratio protection/coût avant d'investir dans un outil GRC dédié.
Secteurs : les budgets varient fortement
Les obligations NIS2 et les risques sectoriels créent des écarts importants entre industries :
| Secteur | Multiplicateur vs médiane | Raison principale |
|---|---|---|
| Finance / assurance | × 2 à 3 | DORA + NIS2 + réglementations ACPR |
| Santé / hôpitaux | × 2 à 2,5 | Données sensibles + cibles ransomware prioritaires |
| Industrie / OIV | × 1,5 à 2,5 | OT/ICS + NIS2 secteurs essentiels |
| Services numériques | × 1,2 à 1,8 | Exposition cloud + RGPD + NIS2 |
| Commerce / distribution | × 0,8 à 1,2 | Moins régulé, risque moyen |
Comment optimiser son budget cyber en PME
- Consolider les outils — éviter la multiplication des solutions ponctuelles. Un MSP cyber all-in-one (protection + détection + conformité) coûte souvent moins qu'une pile de 5-6 outils séparés.
- Mutualiser avec un partenaire — les distributeurs spécialisés comme Resilium proposent des offres groupées (EDR + SOC + conformité NIS2) adaptées aux budgets PME, avec un coût total inférieur à l'achat direct éditeur.
- Prioriser le risque réel — commencer par l'audit de surface d'attaque avant d'acheter des solutions. 40 % des budgets cyber PME sont dépensés sur des postes à faible impact sur le risque réel.
- Étaler la mise en conformité NIS2 — négocier avec le cabinet conseil un accompagnement en 3 phases (évaluation → plan → implémentation) pour lisser l'investissement sur 12-18 mois.
- Valoriser les investissements existants — Microsoft 365 Business Premium inclut Defender (EDR), Intune (MDM) et Entra ID (IAM). Beaucoup de PME paient pour des solutions redondantes sans exploiter leur licence M365.