« Combien ça coûte ? » est la première question posée en rendez-vous, et celle à laquelle on répond le plus mal, parce que le poste de coût dominant n'apparaît sur aucune facture : c'est le temps interne. Cet article décompose les postes réels d'une mise en conformité en PME, avec les ordres de grandeur que nous observons, et met en regard le coût de l'inaction.
Les six postes de coût
Une démarche de conformité — ISO 27001, NIS2, RGPD renforcé, HDS — mobilise six postes. Aucun budget crédible n'en oublie un.
| Poste | Nature | Visible au budget ? |
|---|---|---|
| Temps interne de pilotage et d'ateliers | Charge, sur 9 à 15 mois | Presque jamais |
| Accompagnement externe | Jours de conseil | Oui |
| Outillage GRC | Abonnement récurrent | Oui |
| Mesures techniques induites | MFA, sauvegardes, supervision, licences | Partiellement |
| Audits et tests | Pentest, audit de certification | Oui |
| Maintien en condition | Récurrent, à partir de l'année 2 | Rarement anticipé |
Les postes 2, 3 et 5 se chiffrent facilement : ils font l'objet de devis. Les postes 1, 4 et 6 sont ceux qui font déraper les budgets, dans cet ordre de gravité.
Le poste invisible : le temps interne
Une démarche de certification ISO 27001 dans une PME de 80 à 150 personnes mobilise, sur une année, un responsable interne à temps partiel et plusieurs contributeurs métier en ateliers. Dans les missions que nous conduisons, la charge interne représente couramment le premier poste en valeur, devant la prestation externe.
Cette charge se concentre sur quatre activités, dont trois sont largement compressibles :
- La collecte d'information — inventaire des actifs, cartographie des flux, recensement des fournisseurs, des traitements et des contrats. Compressible par l'import et la reprise de l'existant.
- La production documentaire — politiques, procédures, déclaration d'applicabilité. Très largement compressible par la génération à partir d'un socle.
- Le formatage de preuves — reconstituer, à la demande de l'auditeur, la trace d'une action déjà réalisée. Compressible si la preuve est capturée au moment où l'action a lieu.
- Les arbitrages et ateliers métier — analyse de risque, choix des scénarios, décisions de traitement. Non compressible, et c'est heureux : c'est là que se prennent les décisions qui protègent réellement l'entreprise.
L'enjeu économique se résume à cela : déplacer l'effort des trois premières activités vers la quatrième. C'est ce qui fonde les résultats que nous observons — une réduction moyenne de 60 % du coût total de conformité, jusqu'à 75 % pour les plus petites structures, et un délai de mise en conformité divisé par six.
L'erreur d'année 2
Le budget d'une PME s'arrête presque toujours à l'obtention du certificat ou à la remise du dossier. C'est une erreur de construction, pas une négligence : la conformité est instinctivement perçue comme un projet, alors qu'elle est un régime permanent.
Les textes le disent explicitement. Le RGPD exige, à son article 32, une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles. La directive NIS2 inscrit à son article 21, paragraphe 2, point f), des politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques. ISO/IEC 27001 impose un cycle d'audits internes et de revues de direction, et le certificat s'accompagne d'audits de surveillance.
Concrètement, l'année 2 comporte au minimum : la mise à jour de l'analyse de risque, la revue des habilitations, la réévaluation des fournisseurs critiques, un exercice de continuité, la reconduction des campagnes de sensibilisation, et l'audit de surveillance. Une organisation qui n'a rien prévu pour cela se retrouve à refinancer une mission complète tous les trois ans — le schéma le plus coûteux de tous.
Ce que coûte l'absence de démarche
Trois compteurs, tous documentés publiquement.
Le compteur réglementaire RGPD. En 2025, la CNIL a rendu 259 décisions, dont 83 sanctions pour un montant total de 486 839 500 euros, et prononcé 143 mises en demeure. Parmi les principaux thèmes de sanction figurent la sécurité des données, avec 14 organismes sanctionnés. Ce ne sont pas uniquement de très grandes entreprises : la procédure simplifiée, qui a produit 67 des 83 sanctions, vise précisément des manquements de moindre ampleur.
Le compteur NIS2. La directive prévoit à son article 34 des amendes administratives pouvant atteindre, pour les entités essentielles, au moins 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu ; pour les entités importantes, au moins 7 500 000 EUR ou 1,4 %. Ces plafonds s'appliqueront selon les modalités fixées par le droit national une fois la transposition achevée — la loi française n'était pas promulguée au 23 septembre 2026.
Le compteur opérationnel. C'est le plus concret. L'ANSSI a recensé 128 compromissions par rançongiciel portées à sa connaissance en 2025, les PME, TPE et ETI demeurant la catégorie d'entités la plus affectée. Elle a également été informée de 196 incidents relatifs à des exfiltrations de données, contre 130 en 2024. Du côté de l'assistance aux professionnels, Cybermalveillance.gouv.fr place en 2025 le piratage de compte en tête des motifs d'assistance des entreprises et associations (21 %, +52 %), devant l'hameçonnage (16 %, +29 %) et la fraude au virement (13,5 %, +93 %).
Nous ne publions pas de coût moyen d'incident : les chiffres qui circulent sur ce point sont rarement méthodologiquement solides et varient d'un facteur dix selon les sources. Un raisonnement plus honnête consiste à estimer, pour votre entreprise, le coût de dix jours ouvrés d'arrêt du système d'information. Ce calcul est faisable en une heure, et c'est lui qui emporte la décision en comité de direction.
Les trois leviers de réduction qui marchent
Mutualiser les référentiels. ISO 27001, NIS2, DORA, RGPD et HDS partagent une part importante de leurs exigences sous des formulations différentes. Traiter une mesure une fois et la rattacher à plusieurs contrôles est le levier le plus rentable dès que deux référentiels sont visés. GALEA industrialise cette mutualisation sur 19 modules, avec 54 contrôles de conformité pré-remplis à partir du socle documentaire.
Réduire le temps de production documentaire. Les cinq ateliers de la méthode EBIOS Risk Manager de l'ANSSI sont outillés de bout en bout dans notre plateforme, adossés à plus de 1 000 scénarios de référence et à la matrice MITRE ATT&CK. La sortie type est un plan d'actions de 65 mesures priorisées. Un point de méthode auquel nous tenons : une validation humaine est obligatoire avant toute inscription au registre des risques. L'outil accélère la rédaction ; il ne décide pas à la place du responsable.
Choisir le bon modèle de portage. Nos tarifs sont publics — 200 € par mois pour une TPE, 300 € pour une PME, 700 € pour une ETI, sur devis au-delà, avec deux mois offerts en facturation annuelle — et la fonction de RSSI externalisé est proposée à 15 000 € par an. Rapporté au coût d'un recrutement, ce dernier chiffre est souvent l'arbitrage décisif pour une PME qui n'a pas de porteur interne du sujet.
Sources
- CNIL, « Sanctions et mesures correctrices : le bilan 2025 »
- CNIL, rapport annuel 2025
- Directive (UE) 2022/2555 (NIS2), articles 21 et 34 — EUR-Lex
- Règlement (UE) 2016/679 (RGPD), article 32 — EUR-Lex
- ANSSI / CERT-FR, Panorama de la cybermenace 2025
- Cybermalveillance.gouv.fr, cybermalveillances visant les professionnels en 2025
- ANSSI, méthode EBIOS Risk Manager
Liens consultés le 23 septembre 2026. Les tarifs et les chiffres de performance relatifs à GALEA et Phishia sont issus de notre offre commerciale en vigueur.
Questions fréquentes
Quel est le premier poste de coût d'une mise en conformité ?
Le temps interne, dans la grande majorité des cas. Il n'apparaît sur aucun devis, ce qui explique que les budgets soient systématiquement sous-évalués. C'est aussi le poste le plus compressible, à condition d'agir sur la collecte et la production documentaire plutôt que sur les ateliers d'arbitrage.
Faut-il budgéter une ligne récurrente dès la première année ?
Oui. Maintien de l'analyse de risque, revue des accès, réévaluation des fournisseurs, exercices et audits de surveillance constituent une charge annuelle incompressible. L'ignorer conduit à refinancer une mission complète tous les deux ou trois ans.
Existe-t-il des aides pour une PME ?
Des dispositifs régionaux et sectoriels existent et évoluent régulièrement. Renseignez-vous auprès de votre région et des ressources publiques nationales avant d'engager le budget : les conditions d'éligibilité portent souvent sur le fait de ne pas avoir déjà démarré la prestation.