Quels sujets doit couvrir une bonne formation à la sécurité ? En 2026 la liste diffère de celle d'il y a cinq ans. La littératie IA et les formes modernes de phishing s'y sont ajoutées, et les anciennes listes (« mot de passe fort, changement tous les 30 jours ») sont non seulement dépassées mais parfois nocives. Qu'inclure en 2026 dans le programme de base, dans l'approfondissement par rôle, et qu'enlever ?
Le programme de base pour tous : sept sujets clés
En 2026 presque chaque collaborateur a besoin de la même base :
- Phishing et ingénierie sociale.
- Gestion des mots de passe et authentification.
- Protection des données et RGPD.
- Usage sûr des appareils.
- Usage sûr du cloud et de la collaboration.
- Littératie IA. Obligatoire depuis le règlement IA art. 4.
- Culture de signalement et réponse aux incidents.
Approfondissement par rôle pour les groupes à risque
Finance : fraude au président, BEC, vérification des paiements.
IT : contournement MFA, usurpation de helpdesk, réponse aux incidents.
RH : RGPD et règlement IA dans le recrutement.
Santé : NEN 7510, données médicales.
Conseil : Cbw art. 24, gouvernance, tabletops.
Ce qui est nouveau en 2026 et ce qui est dépassé
Quatre nouveautés :
- Littératie IA et usage sûr de l'IA.
- Contournement MFA et passkeys.
- Quishing et codes QR.
- Voix deepfake et fraude au président 2.0.
Sujets dépassés
Trois schémas à retirer :
« Rotation à 30 jours » est dépassé ; NIST et NCSC recommandent longueur sans rotation imposée.
« Repérer le phishing aux fautes » est faux avec l'IA.
« Ne cliquez pas sur les liens » trop abstrait ; préférer : vérifier le domaine, survoler.
Répartir les sujets sur l'année
Exemple : janvier RGPD, février phishing, mars mots de passe, avril IA, mai appareils, juin cloud, juillet pause, août simulation, septembre signalement, octobre par rôle, novembre conseil/conformité, décembre rétrospective.
Lier la conformité à l'onboarding et l'acceptation annuelle de l'AUP.
Varier la forme : e-learning, affiches, vidéos, dépêches internes.
Découvrez comment 2LRN4 traduit ce sujet en un programme opérationnel avec formation, simulation de phishing et reporting pour la direction.
Voir la page formationArticles connexes
- Comment choisir le contenu de sensibilisation
- Sécurité des e-mails et ingénierie sociale
- Bonnes pratiques de gestion des mots de passe
- À quelle fréquence former les collaborateurs ?
Sources
- NIST: security awareness and training
- ENISA: raising cybersecurity awareness
- NCSC NL : sensibilisation
FAQ
Quels sujets dans la base ?
Phishing, mots de passe, RGPD, appareils, cloud, IA, signalement.
Qu'est-ce que l'approfondissement par rôle ?
Modules supplémentaires pour groupes à risque (finance, IT, RH, santé, conseil).
Nouveautés 2026 ?
Littératie IA, contournement MFA, quishing, deepfake.
Sujets dépassés ?
Rotation à 30 jours, fautes comme indicateur, « ne cliquez pas ».
Combien de sujets par an ?
Sept sujets clés répartis sur douze modules de microlearning.
Littératie IA vraiment obligatoire ?
Oui, depuis le 2 février 2025 sous l'art. 4 du règlement IA.
Comment combiner avec simulations ?
Microlearning mensuel + simulation trimestrielle + retour immédiat en cas de clic.
Source externe : NIST - Security awareness and training