Sensibilisation à la cybersécurité : bâtir et mesurer un programme

Former les dirigeants, sensibiliser chaque salarié, mesurer ce qui change vraiment : comment bâtir un programme de sensibilisation à la cybersécurité qui réponde à NIS 2 et à DORA.

14 octobre 2026 · 11 min de lecture

Illustration : une silhouette de verre d'où partent des ondes orange

La sensibilisation à la cybersécurité regroupe les actions qui apprennent à chaque personne de l'organisation à reconnaître les risques numériques et à adopter les bons réflexes : repérer un hameçonnage, protéger ses accès, signaler un incident. Longtemps traitée comme une formalité annuelle, elle est devenue une obligation : NIS 2 impose une formation aux dirigeants, DORA rend la sensibilisation obligatoire pour tout le personnel des entités financières. Reste à en faire un programme qui change vraiment les comportements, et à le prouver.

Sensibilisation à la cybersécurité : définition et enjeux

On distingue en général trois niveaux : la sensibilisation, qui s'adresse à tous et porte sur les réflexes ; la formation, plus approfondie, pour ceux qui ont un rôle particulier (administrateurs, développeurs, équipes achats, référents sécurité) ; et l'entraînement, par des exercices et des simulations. Un programme complet combine les trois.

L'enjeu n'est pas de transformer chaque salarié en expert, mais de réduire les erreurs qui ouvrent la porte aux attaquants et, surtout, d'obtenir des signalements rapides. Un message d'hameçonnage signalé en quelques minutes permet de bloquer l'expéditeur et de prévenir les autres destinataires avant qu'ils ne cliquent. C'est le meilleur retour sur investissement d'un programme, et l'idée qui fonde le pare-feu humain.

Ce qu'exigent NIS 2, DORA et les autres textes

Texte	Exigence	Pour qui
NIS 2, article 20 § 2	Les membres des organes de direction suivent une formation pour identifier les risques et évaluer les pratiques de gestion des risques ; les États encouragent une formation similaire et régulière du personnel.	Entités essentielles et importantes
NIS 2, article 21 § 2 g)	Pratiques de base en matière de cyberhygiène et formation à la cybersécurité, parmi les mesures minimales de gestion des risques.	Entités essentielles et importantes
DORA, article 13 § 6	Programmes de sensibilisation à la sécurité des TIC et formations à la résilience opérationnelle numérique, obligatoires pour tout le personnel et la haute direction, au niveau adapté à leurs fonctions ; les prestataires TIC peuvent y être associés.	Entités financières
DORA, article 5	L'organe de direction maintient ses connaissances par une formation régulière et alloue le budget nécessaire aux programmes de sensibilisation et de formation.	Entités financières
RGPD, article 39	Le délégué à la protection des données sensibilise et forme le personnel qui participe aux traitements.	Organismes ayant un DPO
ISO 27001	Clause 7.3 sur la sensibilisation et mesure 6.3 de l'annexe A sur la sensibilisation, l'enseignement et la formation.	Organismes certifiés

Le considérant 89 de NIS 2 précise l'esprit : les entités devraient adopter un large éventail de pratiques de cyberhygiène, dont la sensibilisation des utilisateurs, et organiser des formations pour leur personnel. En France, la loi de transposition n'était pas encore adoptée début octobre 2026, mais ces exigences figurent déjà dans la directive. Notre guide détaille la responsabilité des dirigeants (article 20) et les dix mesures de l'article 21 ; côté finance, voyez le chapitre sur le cadre de gestion du risque lié aux TIC de DORA.

Pour l'intelligence artificielle, l'AI Act ajoute une obligation de maîtrise de l'IA pour le personnel qui utilise ces systèmes, détaillée dans notre article sur les obligations des déployeurs.

Bâtir un programme de sensibilisation en six étapes

Partir des risques. Votre analyse de risques dit quels scénarios passent par une action humaine : hameçonnage menant au vol d'identifiants, fraude au faux dirigeant ou au changement de coordonnées bancaires, mots de passe réutilisés, perte d'un ordinateur portable, données confiées à un outil non validé (shadow IT et shadow AI). Le programme cible ces scénarios en priorité.
Distinguer les publics. La direction (formation exigée par NIS 2 et DORA, centrée sur les décisions et la gestion de crise) ; tous les salariés (réflexes de base) ; les fonctions exposées : comptabilité et paiements, ressources humaines, assistants de direction, administrateurs, développeurs ; les nouveaux arrivants ; les prestataires qui accèdent à vos systèmes.
Choisir des formats courts et réguliers. Quelques minutes par mois retiennent mieux qu'une heure par an. On alterne modules en ligne, ateliers en petits groupes, messages ciblés après un incident réel, exercices de crise pour la direction (voir notre article sur le plan de continuité d'activité) et simulations d'hameçonnage.
Rendre le signalement facile. Un bouton dans la messagerie ou une adresse unique, une réponse rapide et un remerciement systématique, y compris pour les fausses alertes.
Relier au cadre. La sensibilisation explique les règles de la charte informatique et de la PSSI ; elle n'en est pas un substitut. Le RSSI pilote, la DRH intègre le programme au parcours d'arrivée et au plan de formation.
Planifier, budgéter, documenter. Un calendrier annuel, un budget (que DORA demande explicitement à la direction de prévoir) et des preuves conservées : programmes, listes de présence, résultats, actions correctives. Ce sont elles que demandera un auditeur ou une autorité.

Schéma animé d'un cycle en cinq étapes : partir des risques ; cibler les publics (direction, tous les salariés, fonctions exposées comme la comptabilité, les ressources humaines et les administrateurs) ; former et sensibiliser ; s'exercer avec des simulations et des exercices de crise ; mesurer. À droite, quatre indicateurs se remplissent : taux de participation par public, part des dirigeants formés, taux de signalement des messages suspects, délai moyen de signalement. Une flèche « ajuster » revient au début du cycle. Message : on pilote par le signalement, pas seulement par le taux de clic. — Un programme de sensibilisation tourne en cycle : on part des risques, on adapte le contenu à chaque public, on s'exerce, on mesure, puis on ajuste.

Les ressources publiques à connaître

Le kit de sensibilisation de Cybermalveillance.gouv.fr. Le kit du dispositif national d'assistance aux victimes couvre les sujets du quotidien : mots de passe, sécurité des réseaux sociaux, des appareils mobiles et des usages personnels et professionnels, sauvegardes, mises à jour, hameçonnage, rançongiciels, faux support technique. Il existe en plusieurs formats (fiches réflexes, mémos, vidéos, quiz, bande dessinée, affiche, infographies) et il est publié sous licence ouverte : vous pouvez le reprendre et l'adapter en citant la source.
Le MOOC SecNumacadémie de l'ANSSI. Le cours en ligne gratuit de l'agence est en cours de refonte en 2026, avec des parcours par niveau et une attestation pour chaque parcours terminé. En attendant, les contenus existants restent disponibles sur demande, dans un format importable dans la plateforme de formation de votre organisation.
Le Cybermois. Chaque mois d'octobre, déclinaison française du mois européen de la cybersécurité, Cybermalveillance.gouv.fr met à disposition des ressources pour organiser un événement en interne. C'est un bon point d'appui pour un temps fort annuel.

Mesurer l'efficacité de la sensibilisation

La révision de la publication NIST SP 800-50, parue en septembre 2024, consacre une place importante à la mesure de l'impact des programmes de formation et propose un cycle de vie d'amélioration continue. En pratique, on suit trois familles d'indicateurs :

Famille	Indicateurs	Ce qu'ils montrent
Couverture	Taux de participation par public, part des dirigeants formés dans l'année, délai de formation des nouveaux arrivants	Que le programme atteint tout le monde ; preuve directe pour NIS 2 et DORA
Comportement	Taux de signalement des messages suspects, réels ou simulés ; délai entre réception et premier signalement ; part des signalements pertinents	Que les réflexes s'installent ; c'est l'indicateur le plus utile au quotidien
Résultat	Incidents liés à une erreur humaine, comptes compromis, tentatives de fraude stoppées	Que le risque baisse réellement
Culture	Enquêtes courtes, questions des salariés au support sécurité	Que la sécurité est perçue comme une aide et non comme une sanction

Présentez ces indicateurs à la direction avec leur évolution, dans le tableau de bord de la sécurité, plutôt qu'un pourcentage isolé. Dans un SMSI, ils alimentent la surveillance et la revue de direction.

Les simulations d'hameçonnage : utiles, à condition de bien les mener

Les campagnes de faux messages sont l'outil le plus répandu, et le plus discuté. Dans un billet de blog, « The trouble with phishing » publié en 2018, le centre national de cybersécurité britannique (NCSC) met en garde : on peut obtenir le résultat que l'on veut en ajustant la difficulté des messages, ce qui fait du taux de clic une mesure peu objective, et une culture de la peur pousse les salariés à cacher leurs erreurs au lieu de les signaler. Quelques règles en découlent :

annoncer le principe des simulations, sans en annoncer les dates ;
ne jamais sanctionner un clic, mais expliquer immédiatement ce qui aurait dû alerter ;
mesurer d'abord le signalement et son délai, le taux de clic ensuite, en tenant compte de la difficulté ;
éviter les leurres qui exploitent des sujets sensibles pour les salariés (primes, santé, licenciements) et qui abîment la confiance ;
traiter les données de la campagne comme des données personnelles : information des salariés, inscription au registre, avis du DPO ;
combiner avec des mesures techniques (filtrage, authentification multifacteur) : la sensibilisation réduit l'erreur humaine, elle ne la supprime pas.

Pour suivre ces mesures parmi les autres exigences de NIS 2 ou de DORA et en garder les preuves, le module campagnes de conformité de Phinasoft évalue chaque entité ou site sur une même liste d'exigences ; la page logiciel de conformité NIS 2 en décrit l'usage.

Synthèse

Une obligation, plus seulement une bonne pratique

NIS 2 impose une formation aux membres des organes de direction et range la formation parmi les mesures de l'article 21 ; DORA rend la sensibilisation obligatoire pour tout le personnel et la haute direction.

Un programme par public

Partir des risques, distinguer direction, salariés et fonctions exposées, privilégier des formats courts et réguliers, s'appuyer sur les ressources publiques gratuites.

Mesurer les comportements

Au-delà du taux de participation, suivre les signalements et leur délai. Un taux de clic seul se manipule ; une culture où l'on signale sans crainte se construit.

Questions fréquentes

Qu'est-ce que la sensibilisation à la cybersécurité ?

C'est l'ensemble des actions qui font connaître aux salariés les risques numériques et les bons réflexes : reconnaître un message d'hameçonnage, protéger ses mots de passe, signaler un incident, respecter les règles de la charte informatique. Elle se distingue de la formation, plus approfondie, destinée aux personnes qui ont un rôle particulier en sécurité.

La sensibilisation à la cybersécurité est-elle obligatoire ?

Pour les entités soumises à NIS 2, les membres des organes de direction doivent suivre une formation (article 20) et la formation à la cybersécurité fait partie des mesures minimales de l'article 21. Pour les entités financières, DORA rend les programmes de sensibilisation et les formations obligatoires pour tout le personnel et la haute direction (article 13, paragraphe 6). ISO 27001 l'exige aussi des organismes certifiés.

Que dit NIS 2 sur la formation des dirigeants ?

L'article 20, paragraphe 2, demande que les membres des organes de direction des entités essentielles et importantes suivent une formation, pour acquérir assez de connaissances et de compétences pour identifier les risques et évaluer les pratiques de gestion des risques. Les États doivent aussi encourager les entités à proposer régulièrement une formation similaire à leur personnel.

Que dit DORA sur la sensibilisation ?

L'article 13, paragraphe 6, impose aux entités financières des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, obligatoires pour tout le personnel et la haute direction, avec un niveau adapté à leurs fonctions. L'article 5 demande à l'organe de direction de se former régulièrement et de prévoir le budget de ces programmes.

Comment mesurer l'efficacité d'une sensibilisation ?

Avec des indicateurs de couverture (taux de participation par public, part des dirigeants formés), de comportement (taux et délai de signalement des messages suspects, réels ou simulés) et de résultat (incidents liés à une erreur humaine). Le taux de clic sur une simulation est à interpréter avec prudence, car il dépend surtout de la difficulté du message envoyé.

Existe-t-il des ressources gratuites pour sensibiliser ses salariés ?

Oui. Cybermalveillance.gouv.fr propose un kit de sensibilisation gratuit, réutilisable sous licence ouverte, avec des fiches, des vidéos, des quiz et des affiches. L'ANSSI propose le MOOC SecNumacadémie, en cours de refonte en 2026, dont les contenus restent disponibles sur demande pour les plateformes de formation des organisations.

Sources (8)

Une plateforme et un service qui s'adaptent à vous

Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.

Demander une démonstration