Sensibilisation & FormationCe qu’exigent NIS 2, ISO 27001, HDS et PCI DSS
La technologie seule ne suffit pas à protéger une organisation. Les outils de sécurité les plus sophistiqués peuvent être contournés en quelques secondes par un collaborateur qui clique sur un lien malveillant, communique un mot de passe par téléphone ou branche une clé USB inconnue. Le facteur humain reste le premier vecteur d’entrée des cyberattaques, et la sensibilisation des collaborateurs constitue la réponse la plus directe et la plus efficace à cette réalité.
Pourquoi la sensibilisation cyber est-elle indispensable ?
L’ANSSI le rappelle régulièrement : bâtir une culture cyber au sein d’une organisation est une démarche de long terme, qui ne se limite pas à une formation annuelle obligatoire. Elle implique un programme continu, adapté aux profils et aux niveaux de risque de chaque catégorie de collaborateurs, et dont l’efficacité doit être mesurée dans le temps.
La sensibilisation et la formation cyber sont aujourd’hui des exigences explicites de nombreux référentiels : ISO 27001, NIS 2, DORA, RGPD, HDS, PCI DSS, et l’AI Act depuis février 2025 pour ce qui concerne la littératie en matière d’intelligence artificielle. DSI, RSSI, DRH ou responsables conformité : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
La sensibilisation à la cybersécurité vise un objectif précis : transformer chaque collaborateur d’un maillon faible potentiel en acteur conscient et responsable de la sécurité de son organisation. Elle ne se substitue pas aux mesures techniques, elle les complète en agissant sur le comportement humain, premier facteur de risque cyber.
Les principales menaces qui exploitent le facteur humain incluent :
- Le phishing et le spearphishing : des emails imitant des expéditeurs légitimes pour voler des identifiants ou diffuser des logiciels malveillants, avec des variantes de plus en plus personnalisées et difficiles à détecter
- Les rançongiciels : souvent introduits via une pièce jointe malveillante ou un lien cliqué par un collaborateur non averti
- La fraude au président : exploitation de la hiérarchie de l’entreprise pour obtenir des virements frauduleux
- L’ingénierie sociale : manipulation psychologique visant à obtenir des informations sensibles ou des accès
L’ANSSI met à disposition des organisations la plateforme SecNumacadémie, en cours de refonte pour 2026, qui proposera des parcours de formation personnalisés à trois niveaux de maîtrise : découverte, intermédiaire et approfondissement. Elle labellise également des formations via le dispositif SecNumedu-FC, garantissant leur qualité et leur adéquation aux besoins des organisations.
La culture cyber : une démarche de long terme
Bâtir une culture cyber ne s’improvise pas. Elle repose sur un programme structuré, continu et mesuré, qui couvre l’ensemble des collaborateurs selon leur profil et leur niveau d’exposition aux risques. Une action de sensibilisation ponctuelle produit des effets limités dans le temps : c’est la régularité et la variété des actions qui ancrent durablement les bons réflexes.
Les points de contrôle communs
Cinq exigences fondamentales structurent tout programme de sensibilisation et de formation cyber conforme aux standards reconnus.
La formation à l’embauche
Tout nouveau collaborateur doit recevoir, dès son arrivée dans l’organisation, une formation aux règles et aux bonnes pratiques de sécurité applicables à son poste. Cette formation à l’embauche couvre généralement la politique de sécurité de l’organisation, les règles d’utilisation des systèmes d’information, les comportements à adopter face aux tentatives de phishing, et les procédures à suivre en cas d’incident.
La norme ISO 27001:2022 (contrôle A.6.3) impose que toutes les personnes concernées reçoivent une sensibilisation, une éducation et une formation appropriées à la sécurité de l’information, ainsi que des mises à jour régulières des politiques et procédures pertinentes. L’intégration de la formation cyber dans le parcours d’accueil des nouveaux collaborateurs est la première étape d’une démarche structurée.
La sensibilisation annuelle obligatoire
La sensibilisation cyber ne doit pas se limiter à la formation initiale. Un programme de sensibilisation annuelle, couvrant l’ensemble des collaborateurs, est indispensable pour maintenir le niveau de vigilance dans le temps et intégrer les nouvelles menaces.
Ce programme annuel peut prendre différentes formes : modules e-learning, sessions de sensibilisation en présentiel, vidéos, guides pratiques, ou campagnes de communication interne. L’essentiel est qu’il soit régulier, documenté, et que sa réalisation puisse être prouvée en cas de contrôle réglementaire.
Des exercices de simulation d’attaques réguliers
Les simulations d’attaques sont l’un des outils les plus efficaces pour évaluer le niveau de vigilance des collaborateurs et ancrer les bons réflexes. Elles consistent à reproduire des scénarios d’attaques réels dans un cadre contrôlé, à mesurer les comportements observés, et à proposer une formation immédiate aux personnes qui n’ont pas adopté le bon réflexe.
L’ANSSI recommande d’intégrer ces exercices dans le programme de sensibilisation pour tester l’acquisition des connaissances et des bonnes pratiques au quotidien. Ces simulations doivent être réalisées régulièrement, avec des scénarios variés et progressivement plus sophistiqués, pour rester représentatives des menaces réelles.
Les formats d’exercices sont multiples et complémentaires. Les simulations de phishing consistent à envoyer de faux emails imitant des expéditeurs légitimes pour mesurer le taux de clics sur des liens malveillants. Le vishing reproduit des appels téléphoniques frauduleux visant à obtenir des identifiants ou à inciter à des virements non autorisés. Le smishing teste la vigilance des collaborateurs face aux faux SMS imitant des services connus. Les clés USB abandonnées dans les locaux permettent de mesurer combien de collaborateurs les branchent sur leurs postes, un vecteur d’intrusion encore redoutablement efficace. Les tests d’intrusion physique évaluent quant à eux la vigilance face aux accès non autorisés dans les locaux, tandis que les scénarios d’ingénierie sociale simulent de faux prestataires ou auditeurs cherchant à obtenir des informations sensibles en exploitant la confiance naturelle des collaborateurs.
Les résultats de ces exercices doivent être documentés et partagés avec la direction, non pour sanctionner les collaborateurs qui ont échoué, mais pour identifier les axes de sensibilisation prioritaires et ajuster le programme en conséquence.
Des formations spécifiques pour les profils à risque
Tous les collaborateurs ne sont pas exposés aux mêmes risques. Certains profils méritent une attention particulière et des formations adaptées à leurs enjeux spécifiques :
- Les équipes financières et comptables, cibles privilégiées des fraudes au virement et des arnaques au président
- Les équipes IT et administrateurs systèmes, dont la compromission peut avoir des conséquences catastrophiques sur l’ensemble du système d’information
- Les équipes RH, qui traitent des données personnelles sensibles et sont ciblées par des attaques de spearphishing
- Les équipes commerciales et marketing, exposées aux risques liés aux outils collaboratifs et aux échanges avec des tiers externes
- Le DPO et les équipes en charge de la protection des données, dont la formation est une obligation explicite de l’article 39 du RGPD
La formation des dirigeants aux enjeux cyber
L’article 20 de la directive NIS 2 constitue une avancée majeure en matière de formation cyber : il impose aux membres des organes de direction des entités essentielles et importantes de suivre une formation adaptée aux risques cyber et d’encourager la formation de leur personnel.
Cette obligation répond à un constat simple : la cybersécurité ne peut pas être portée uniquement par les équipes techniques. Les dirigeants doivent comprendre les enjeux, approuver les politiques de sécurité en connaissance de cause, et être en mesure de prendre des décisions éclairées en situation de crise. L’ANSSI propose d’ailleurs des formations spécifiquement dédiées aux dirigeants et aux décideurs, labellisées SecNumedu-FC.
Un point d’attention : la littératie IA, nouvelle obligation depuis 2025
Depuis le 2 février 2025, l’article 4 de l’AI Act impose aux fournisseurs et déployeurs de systèmes d’IA de garantir un niveau suffisant de connaissances en matière d’IA au sein de leur personnel. Cette obligation de littératie IA s’applique à toute personne au sein de l’organisation traitant directement d’un système d’IA, sans exemption de taille d’organisation.
Selon la Commission européenne, les formations doivent être adaptées au niveau et au type de connaissances de chaque groupe cible, et couvrir la compréhension des possibilités et des risques liés à l’IA. Les organisations doivent documenter leurs actions pour se conformer à l’article 4, sans nécessiter de certificats spécifiques. Les règles de surveillance et d’exécution de cette obligation s’appliqueront à partir du 3 août 2026.
Ce qu’en disent les référentiels
La sensibilisation et la formation cyber constituent l’une des familles d’exigences les plus transversales de l’ensemble des référentiels. En structurant une seule fois ce programme, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 12.6 du standard PCI DSS v4 impose la mise en place d’un programme formel de sensibilisation à la sécurité, couvrant l’ensemble du personnel ayant accès aux données de titulaires de cartes. Ce programme doit être mis à jour au moins une fois par an et inclure des formations à l’embauche et des rappels réguliers.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les exigences du contrôle A.6.3 de l’ISO 27001 s’appliquent intégralement, complétées par une sensibilisation spécifique aux enjeux de protection de la vie privée et aux obligations du RGPD. Les collaborateurs traitant des données personnelles doivent comprendre les principes fondamentaux de la protection des données et les risques associés à leur traitement.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Le contrôle A.6.3 impose explicitement que toutes les personnes concernées reçoivent une sensibilisation, une éducation et une formation appropriées à la sécurité de l’information, ainsi que des mises à jour régulières des politiques et procédures. C’est le référentiel structurant pour bâtir un programme complet et documenté.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose une formation spécifique du personnel ayant accès aux données de santé, couvrant les obligations réglementaires applicables, les règles de confidentialité et les procédures de sécurité propres à l’environnement HDS.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale imposent une formation obligatoire du personnel intervenant sur les Systèmes d’Information d’Importance Vitale. Le Centre de Formation à la Sécurité des Systèmes d’Information (CFSSI) de l’ANSSI propose des formations spécifiquement destinées aux agents des OIV et des OSE, accessibles depuis le Campus Cyber à la Défense.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 20 de la directive NIS 2 impose aux organes de direction des entités essentielles et importantes d’approuver les mesures de gestion des risques en cybersécurité, de superviser leur mise en œuvre, et de suivre une formation adaptée aux risques cyber. Ils doivent également encourager la formation régulière de l’ensemble de leur personnel. Cette obligation est explicite et son non-respect engage la responsabilité personnelle des dirigeants.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC1.4 du référentiel SOC 2 évalue la compétence du personnel de l’organisation en matière de sécurité de l’information. Il couvre la définition des compétences requises, les actions de formation et de sensibilisation mises en place, et la vérification de leur efficacité.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORAL’article 13 du règlement DORA impose aux entités financières de mettre en place des programmes de sensibilisation à la sécurité TIC et des formations à la résilience opérationnelle numérique pour l’ensemble de leur personnel. La couverture est partielle : elle se concentre sur les risques liés aux systèmes TIC et à la résilience opérationnelle.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 39 du RGPD confie au Délégué à la Protection des Données (DPO) la mission d’informer et de conseiller le responsable du traitement et les employés sur leurs obligations en matière de protection des données. Le DPO doit être formé pour exercer cette mission, et la CNIL recommande que la formation soit adaptée aux différents niveaux de responsabilité au sein de l’organisation. La couverture est partielle : le RGPD n’impose pas de programme de sensibilisation général, mais exige que les personnes traitant des données personnelles soient informées de leurs obligations.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
