Quelle formation de sensibilisation à la cybersécurité pour NIS2 et ISO 27001 ?

À jour au 20 octobre 2026. Textes et informations des prestataires vérifiés le 20 octobre 2026.

L'essentiel en bref

• La directive NIS2 prévoit la formation à deux niveaux : l'article 21, paragraphe 2, point g), cite les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité parmi les mesures de gestion des risques, et l'article 20, paragraphe 2, impose aux membres des organes de direction de suivre eux-mêmes une formation.
• Au 20 octobre 2026, la France n'a pas transposé NIS2. ISO/IEC 27001 et la mission du DPO au titre du RGPD sont donc aujourd'hui les références applicables en France pour la sensibilisation.
• Ni la directive ni ISO/IEC 27001 ne fixent d'intervalle. Un audit vérifie qui a suivi quelle formation, et quand.
• Les plateformes spécialisées en sensibilisation sont plus avancées sur les simulations de phishing, le nombre de langues et la profondeur des contenus. Les plateformes de conformité avec formation intégrée conservent la preuve dans le même système que le SMSI.
• Kertos réunit la formation, la plateforme et des experts certifiés. Sa formation est disponible en allemand et en anglais, sans simulations de phishing ni formation dédiée aux organes de direction.

La bonne formation de sensibilisation à la cybersécurité dépend de son objectif : prouver une exigence de NIS2, d'ISO 27001 ou de TISAX, faire évoluer de façon mesurable les comportements des équipes ou les deux. Une autre question compte autant : qui pilote le programme et présente les preuves à l'auditeur. Le marché propose quatre modèles : les plateformes spécialisées avec simulation de phishing (par exemple G DATA, Hornetsecurity, KnowBe4, Perseus ou SoSafe), les organismes de formation en e-learning ou en présentiel, les plateformes de conformité avec formation intégrée (par exemple DataGuard, Kertos ou Vanta) et les ressources gratuites publiées par les autorités. Kertos relie la formation au SMSI qui contient la preuve et à des experts certifiés qui mettent en place et suivent le programme.

Quelles formations exigent NIS2 et ISO 27001 ?

Les exigences diffèrent sur les personnes à former et sur ce qui vaut preuve. Aucune des sources ci-dessous n'impose un format, présentiel ou e-learning.

Au 20 octobre 2026, la France n'a pas transposé NIS2 : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'a pas été voté par l'Assemblée nationale. Selon l'ANSSI, NIS 2 entrera en vigueur en France lorsque l'ensemble des textes de transposition auront été promulgués. La directive elle-même ne rend la formation obligatoire que pour les organes de direction ; pour les autres salariés, l'article 20, paragraphe 2, demande aux États membres d'encourager des formations similaires. L'obligation pour le personnel naîtra de la transposition de l'article 21.

Quels prestataires de formation de sensibilisation existe-t-il ?

Les prestataires relèvent de quatre modèles. Les noms sont des exemples de chaque modèle et non une recommandation pour un cas particulier.

Ce que les prestataires indiquent sur leur propre site, vérifié le 20 octobre 2026 :

Les plateformes spécialisées devancent les plateformes de conformité sur les simulations de phishing, le nombre de langues et la profondeur des contenus. Les deux peuvent se combiner ; les preuves de suivi restent alors dans le système du prestataire de sensibilisation, et non à côté des autres preuves du SMSI. Pour comparer les plateformes de conformité au-delà de la formation, consultez notre comparatif des logiciels NIS2.

À quoi reconnaître une formation qui tient en audit ?

• Suivi par personne : la preuve indique le nom, la date et le cours, pas seulement un taux de participation.
• Nouveaux arrivants : la formation est attribuée dès l'arrivée.
• Répétition : un intervalle défini, par exemple annuel, et des formations en réaction à un événement, comme un incident ou une nouvelle politique. TISAX attend les deux.
• Lien avec vos politiques : ISO/IEC 27001 exige que les salariés connaissent votre politique de sécurité de l'information, pas seulement des règles générales.
• Groupes cibles : les administrateurs, la production et les équipes terrain ont besoin d'autres contenus que les postes de bureau.
• Langue : la formation existe dans les langues que vos salariés comprennent.
• Direction à part : la formation des organes de direction est une obligation distincte, avec son propre registre.

Un export préparé est rarement nécessaire lors d'un audit ISO 27001. Les entreprises montrent en général les preuves à l'auditeur directement dans les systèmes qui les contiennent. Pour choisir un consultant ou une plateforme en vue de la certification, consultez notre comparatif des consultants ISO 27001.

Quelle formation de sensibilisation pour une PME ou une ETI ?

Des salariés sans poste de travail. En production, en logistique et sur le terrain, beaucoup de salariés n'ont ni ordinateur personnel ni adresse e-mail professionnelle. Des formats courts, un accès sur des appareils partagés ou une session en présentiel les atteignent mieux qu'un long e-learning. Une simulation de phishing n'atteint que les personnes qui ont une boîte e-mail.

Plusieurs langues. Vérifiez les langues que le prestataire indique pour ses cours et comparez-les à vos équipes. L'éventail va d'une seule langue à plus de 35.

Pas d'équipe sécurité en interne. Dans l'étude NIS2 Readiness Study 2026 de Kertos, 84 % des 51 entreprises allemandes interrogées, de 50 à 1 000 salariés, n'avaient ni RSSI interne ni RSSI externe. Il faut pourtant quelqu'un pour planifier les campagnes, analyser les résultats et répondre à l'auditeur, ce qu'un cours acheté ne fait pas. Un RSSI externalisé peut assumer ce rôle.

La direction comme groupe cible à part. L'article 20, paragraphe 2, de la directive impose aux membres des organes de direction de suivre eux-mêmes une formation. En Allemagne, le BSI précise qu'il ne s'agit pas forcément de sessions de plusieurs heures, mais que la formation doit couvrir les risques, les mesures de gestion des risques et leur impact sur les services de l'entreprise. Pour ce que NIS2 implique au-delà de la formation, consultez notre page sur les logiciels NIS2 pour les PME et ETI.

Quand Kertos est-il le bon choix, et quand ne l'est-il pas ?

Kertos réunit la formation, la plateforme et des experts certifiés.

• Formation : le cours « Information Security Basics » en quatre modules vidéo (fondamentaux de la sécurité de l'information ; phishing et ingénierie sociale ; déplacements, bureau propre et règles d'écran ; politiques et incidents) et des modules de formation à la protection des données, en allemand et en anglais, inclus dans la plateforme.
• Plateforme : le SMSI pour NIS2, ISO 27001, TISAX et le RGPD. Kertos attribue automatiquement la formation des employés, y compris aux nouveaux arrivants, et relance les formations en attente.
• Preuve : statut de suivi par personne, conservé dans le SMSI comme preuve à côté des politiques, des risques et des contrôles.
• Experts : des experts certifiés salariés de Kertos, jusqu'au mandat de RSSI externalisé. Le RSSI externalisé planifie les formations et vérifie leur suivi.
• Siège et hébergement : Munich, développé et hébergé en Europe.

Kertos convient aux entreprises qui doivent prouver la sensibilisation dans le cadre de NIS2, d'ISO 27001 ou de TISAX et ne veulent pas acheter la formation, le logiciel de SMSI et le conseil auprès de trois prestataires. Les clients de Kertos ont un taux de réussite aux audits de 100 % et environ 80 % d'effort de conformité manuel en moins. Sur G2, ils attribuent à Kertos une note de 4,8 sur 5 sur la base de 65 avis.

Kertos n'est pas le bon choix si vos équipes ont besoin d'une formation en français ou dans d'autres langues que l'allemand et l'anglais, si vous avez besoin de simulations de phishing et d'indicateurs de comportement, ou si vous souhaitez intégrer vos propres contenus de formation. Kertos ne propose pas actuellement de formation dédiée aux organes de direction. Dans ces cas, une plateforme spécialisée ou un organisme de formation est le meilleur choix pour la formation elle-même.

Questions fréquentes

À quelle fréquence les salariés doivent-ils suivre une formation de sensibilisation ?

Ni la directive NIS2 ni ISO/IEC 27001 ne fixent d'intervalle ; ISO 27001 exige une mise à jour lorsque les politiques changent. TISAX attend des formations à intervalles réguliers et en réaction à des événements. En Allemagne, le BSI recommande une formation à l'arrivée puis une mise à jour annuelle. Fixez l'intervalle dans votre concept de formation ; l'audit vérifie que vous respectez votre propre règle.

La direction doit-elle suivre elle-même une formation NIS2 ?

Oui. L'article 20, paragraphe 2, de la directive NIS2 impose aux membres des organes de direction des entités essentielles et importantes de suivre une formation, afin de pouvoir identifier les risques et évaluer les pratiques de gestion des risques et leur impact sur les services de l'entité. La directive ne fixe pas d'intervalle. En France, les modalités dépendront des textes de transposition, non promulgués au 20 octobre 2026.

Un e-learning suffit-il comme preuve lors d'un audit ISO 27001 ?

ISO/IEC 27001 n'impose aucun format, et un e-learning avec preuve de suivi par personne est une preuve courante. Le chapitre 7.3 exige toutefois que les salariés connaissent la politique de sécurité de l'information, leur contribution au SMSI et les conséquences d'un manquement. L'auditeur peut le vérifier en entretien. Un cours générique sans lien avec vos propres politiques ne couvre cette exigence qu'en partie.