La question « la formation à la sécurité doit-elle être obligatoire ? » a deux couches. Juridiquement, dans plusieurs cadres elle l'est. Pratiquement, elle ne fonctionne que si l'obligation est bien posée ; sinon, des cases cochées sans changement de comportement. Où est l'équilibre, et comment mettre en place une obligation qui change vraiment quelque chose ?
Ce que dit la loi sur l'obligation
En 2026, la formation est de facto obligatoire dans plusieurs cadres : NIS2/Cbw, DORA, RGPD, règlement IA. Cbw article 24 impose explicitement la formation du conseil.
Une organisation sans programme de base obligatoire est en difficulté à chaque audit ou incident.
Aucun cadre ne fixe la durée ou la fréquence. Le microlearning fonctionne mieux ; la conformité s'obtient des deux manières.
Pourquoi l'obligation pure ne suffit pas
Obligation sans explication : taux de complétion élevé, peu d'apprentissage.
Volontariat pur : généralement sous 30 % ; mauvais public.
Compromis : base obligatoire expliquée + modules par rôle recommandés.
Trois ingrédients d'une obligation acceptée
Trois leviers :
- Expliquer le pourquoi.
- Délais raisonnables et propre rythme.
- Lien avec la réalité. Applicable au privé.
Que faire des refus
Trois types :
Le senior sceptique : reconnaissance, conseil, ambassadeur.
Le spécialiste occupé : léger, choix du moment.
Le refus de principe : via RH avec analyse droit du travail.
Sanctions et conséquences
Sanctions dures contre-productives. Ce qui marche :
Restriction d'accès à certains systèmes tant que la base n'est pas terminée.
Visibilité agrégée : taux par service, sans nommer.
Conseil (Cbw art. 24) : responsabilité personnelle possible. Documentation critique.
Ce qui ne marche pas : exposition publique, re-formation forcée après clic, disciplinaire sans préavis.
Comment ancrer cela dans un programme de sensibilisation
Base obligatoire pour tous, annuelle, 20–30 minutes en microlearning. RGPD, AUP, Cbw, règlement IA art. 4. Lien légal expliqué.
Modules par rôle recommandés. 70–90 % suivent volontairement avec un bon pourquoi.
Conseil obligatoire et documenté.
Simulations phishing avec microlearning suivi, sans sanction.
Une plateforme prête pour audit.
Découvrez comment 2LRN4 traduit ce sujet en un programme opérationnel avec formation, simulation de phishing et reporting pour la direction.
Voir la page NIS2Articles connexes
- Exigences de conformité
- Amener les collaborateurs à suivre la formation
- Différence sécurité vs conformité
- Charte d'usage acceptable (AUP)
Sources
FAQ
La formation est-elle obligatoire ?
De facto oui via NIS2/Cbw, DORA, RGPD, règlement IA. Cbw art. 24 explicite pour le conseil.
Obligation > volontariat ?
Pas automatiquement. Compromis : base obligatoire expliquée + recommandé.
Que faire des refus ?
Analyser le type ; principe via RH et droit du travail.
Bloquer l'accès si pas terminé ?
Oui, proportionnel et inscrit en politique.
Sanction pour le conseil ?
Cbw art. 24 : responsabilité personnelle possible.
Re-formation forcée après clic ?
Contre-productif. Détruit la culture de signalement.
Comment mesurer l'efficacité ?
Complétion + métriques de simulation.
Source externe : European Commission - NIS2 Directive