Presque toutes les entreprises que nous accompagnons disposent déjà d'un catalogue d'e-learning cyber. Presque aucune ne sait dire ce que ce catalogue a changé. Le problème n'est pas la qualité des modules : c'est qu'un contenu conçu pour « tout le monde » ne décrit le poste de travail de personne. Voici comment reconstruire un parcours autour des gestes métier, et comment vérifier qu'il produit un effet.
Le symptôme : tout le monde a suivi, rien n’a changé
Le scénario est toujours le même. Un module annuel de 45 minutes est poussé à tous les collaborateurs, le taux de complétion monte à force de relances, le quiz final affiche de bons résultats. Et six mois plus tard, une fraude au virement passe parce que personne n'a pensé à rappeler le fournisseur avant de modifier un IBAN.
Ce n'est pas un paradoxe. Un taux de complétion mesure une obligation administrative honorée, pas une compétence acquise. Le quiz mesure la capacité à reconnaître une bonne réponse dans une liste, pas à repérer un signal faible dans un flux quotidien. Et le module généraliste, qui doit parler au comptable comme au technicien de maintenance, finit par ne décrire aucune situation réelle.
La donnée française éclaire l'écart. Sur les parcours d'assistance des entreprises et associations recensés par Cybermalveillance.gouv.fr pour 2025, le piratage de compte arrive en tête (21 %, en hausse de 52 %), devant l'hameçonnage (16 %, +29 %) et la fraude au virement (13,5 %, +93 %). Ces trois menaces n'ont pas la même cible interne : la première touche tout le monde, la troisième vise presque exclusivement la comptabilité et la direction. Les traiter dans le même module, au même niveau de détail, garantit que personne ne sera préparé.
Ce que les textes demandent réellement
Deux références encadrent la sensibilisation en France, et aucune des deux ne parle de taux de complétion.
La CNIL, dans sa fiche consacrée à l'implication et à la formation des utilisateurs, recommande d'organiser des séances de sensibilisation sur les risques et les principaux types d'attaques — hameçonnage, rançongiciel — et précise que le contenu et le langage des campagnes doivent être adaptés aux fonctions des destinataires. Elle recommande aussi de s'assurer que le personnel a bien assimilé les bonnes pratiques, et d'organiser des exercices et simulations d'incidents. L'exigence d'adaptation au métier est donc explicite, pas optionnelle.
La directive NIS2 (directive (UE) 2022/2555) place au titre des mesures de gestion des risques de son article 21, paragraphe 2, point g), « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ». Son article 20, paragraphe 2, va plus loin en imposant aux membres des organes de direction des entités essentielles et importantes de suivre une formation, et en encourageant les entités à en proposer régulièrement à leurs employés. En France, la loi de transposition n'était pas promulguée au 23 septembre 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité étant en première lecture à l'Assemblée nationale après son adoption par le Sénat le 12 mars 2025.
Le point à retenir : la formation des dirigeants n'est pas un geste symbolique dans NIS2, c'est une obligation nommément adressée aux organes de direction. Un parcours qui s'arrête aux opérationnels manque la cible réglementaire — et cette exigence ne dépend pas du calendrier parlementaire, puisqu'elle figure déjà dans ISO/IEC 27001 et dans les attentes de la CNIL.
Cartographier les gestes à risque
Avant de choisir le moindre contenu, il faut produire une liste — courte — des gestes qui, dans votre entreprise, transforment un courriel en incident. Pas des thèmes : des gestes.
La méthode tient en trois questions posées à chaque direction métier, en atelier d'une heure :
- Quelles décisions prenez-vous à partir d'un message entrant ? Modifier un IBAN, valider une facture, ouvrir un CV, créer un compte fournisseur, installer un outil.
- Laquelle de ces décisions est irréversible ou coûteuse à annuler ? Un virement parti est rarement récupérable ; une pièce jointe ouverte sur un poste supervisé l'est souvent.
- Quel contrôle existe déjà, en dehors de la vigilance humaine ? C'est la question décisive : si la réponse est « aucun », la priorité n'est pas de former, c'est d'ajouter un contrôle.
Cet atelier produit généralement entre huit et quinze gestes à risque pour une PME. C'est à partir de cette liste, et non d'un catalogue éditeur, que se construit le parcours.
Quatre parcours métier types
Voici la structure que nous déployons le plus souvent. Elle n'a rien d'universel : elle illustre le niveau de granularité à viser.
| Population | Geste à risque dominant | Contenu prioritaire | Format |
|---|---|---|---|
| Comptabilité, finance | Modifier des coordonnées bancaires sur demande écrite | Fraude au virement, usurpation de dirigeant, rappel sur numéro connu | Atelier en présentiel + procédure affichée |
| RH, recrutement | Ouvrir des pièces jointes de sources inconnues par définition | Pièces jointes piégées, faux candidats, fuite de données de paie | Module court + bac à sable technique |
| Direction, encadrement | Valider une demande urgente hors procédure | Ciblage personnalisé, exigences NIS2 pour les dirigeants, gestion de crise | Exercice de crise, 3 h par an |
| Équipes IT et administrateurs | Accepter une demande d'authentification multifacteur inattendue | MFA fatigue, ingénierie sociale du support, comptes à privilèges | Formation technique dédiée |
Ce découpage n'est pas cosmétique. Le panorama de la cybermenace 2025 de l'ANSSI signale la poursuite de techniques d'ingénierie sociale avancées — SIM-swapping, MFA fatigue, usurpation d'identité, hameçonnage vocal — qui visent des rôles précis. La dernière ligne du tableau protège contre un mode opératoire qu'un module généraliste n'aborde jamais.
Rythme, format et mémorisation
Trois principes, issus de ce que nous observons sur les campagnes que nous exploitons.
Court et fréquent bat long et annuel. Des séquences de cinq à dix minutes, six à huit fois par an, produisent une meilleure rétention qu'un module de 45 minutes une fois par an. Elles ont aussi l'avantage de pouvoir suivre l'actualité — un rappel sur les QR codes piégés au moment où une campagne circule dans votre secteur vaut trois chapitres théoriques.
La simulation n'est pas le cours. Une campagne de phishing mesure ; elle n'enseigne pas. L'étude de référence de l'ETH Zurich sur 15 mois et plus de 14 000 salariés conclut que la formation déclenchée au moment du clic ne rend pas les collaborateurs plus résistants et peut produire des effets contraires à l'objectif.
Ancrer dans la procédure, pas seulement dans la tête. Le meilleur module sur la fraude au virement ne remplace pas une règle écrite : tout changement d'IBAN est confirmé par un appel au numéro figurant au contrat, jamais à celui du courriel. La formation sert à faire comprendre la règle ; c'est la règle qui protège.
Produire la preuve pour l'auditeur
Qu'il s'agisse d'un audit de certification ISO/IEC 27001, d'un contrôle CNIL ou, à terme, d'une supervision au titre de NIS2, la question posée ne sera pas « avez-vous formé ? » mais « comment le savez-vous ? ». Quatre éléments constituent un dossier défendable : le plan de sensibilisation daté et validé par la direction, la liste des populations et des contenus affectés, les registres de participation, et les indicateurs d'efficacité — ratio signalement / clic, résultats des exercices de crise, incidents évités grâce à un signalement.
C'est ce quatrième bloc qui manque presque toujours. Dans la démarche que nous conduisons, les résultats des campagnes et des parcours remontent dans GALEA, où ils alimentent les contrôles de conformité correspondants et le plan d'actions. L'auditeur ne reçoit pas une capture d'écran de taux de complétion, il reçoit une trajectoire.
Sources
- CNIL, « Sécurité : impliquer et former les utilisateurs »
- Directive (UE) 2022/2555 (NIS2), articles 20 et 21 — EUR-Lex
- Assemblée nationale, dossier législatif « Résilience des infrastructures critiques et renforcement de la cybersécurité »
- Cybermalveillance.gouv.fr, cybermalveillances visant les professionnels en 2025
- ANSSI / CERT-FR, Panorama de la cybermenace 2025
- D. Lain, K. Kostiainen, S. Capkun, Phishing in Organizations, IEEE S&P 2022
Liens consultés le 23 septembre 2026.
Questions fréquentes
Combien de parcours distincts faut-il créer dans une PME de 80 personnes ?
Trois suffisent généralement : un socle commun court pour tous, un parcours finance / achats, un parcours direction. Au-delà, le coût de maintenance dépasse le gain. L'important est que chaque parcours s'appuie sur des gestes réellement effectués dans l'entreprise.
Les dirigeants doivent-ils vraiment être formés ?
Oui. L'article 20, paragraphe 2, de la directive NIS2 impose aux membres des organes de direction des entités concernées de suivre une formation à la cybersécurité, et encourage la formation régulière des employés. C'est l'une des rares obligations que le texte adresse nommément aux dirigeants.
Faut-il conserver un module générique annuel ?
Il garde son utilité comme socle commun et comme preuve d'accueil des nouveaux arrivants. Ce qui pose problème, c'est qu'il constitue l'intégralité du dispositif et qu'on lui demande de démontrer une efficacité qu'il n'a pas vocation à produire.