NIS2 impose que les membres de l’organe de direction suivent une formation en cybersécurité (article 20, paragraphe 2). Pour le reste du personnel, l’article 20 demande seulement aux États membres d’encourager une formation régulière, mais l’article 21, paragraphe 2, point g), fait de la formation à la cybersécurité l’une des mesures minimales de gestion des risques. La directive ne fixe ni nombre d’heures, ni fréquence pour les dirigeants, ni certificat, ni organisme agréé.
Ce guide couvre l’obligation des dirigeants, la formation du personnel, les entités essentielles et importantes, la fréquence, ce que le texte laisse ouvert, où trouver une formation, ce qu’ajoute le règlement 2024/2690, les contenus, un plan de formation, un modèle de registre et une liste de contrôle.
| Qui | Base juridique | Formulation | Statut |
|---|---|---|---|
| Membres de l’organe de direction | NIS2, article 20, paragraphe 2 | « soient tenus de suivre une formation » | Obligatoire, par le droit national |
| Salariés | NIS2, article 20, paragraphe 2 | Les États membres encouragent une formation similaire, offerte régulièrement | Encouragée |
| Tout le personnel, au titre des mesures | NIS2, article 21, paragraphe 2, point g) | « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » | Mesure minimale, proportionnée |
| Fournisseurs numériques visés à l’article 21, paragraphe 5 | Règlement 2024/2690, section 8 de l’annexe | Sensibilisation de tous, direction comprise ; formation selon le rôle | Précisions directement applicables |
Quelles sont les formations obligatoires NIS2 pour les dirigeants ?
L’article 20, paragraphe 2, impose aux États membres de veiller à ce que les membres des organes de direction des entités essentielles et importantes « soient tenus de suivre une formation », et d’encourager les entités à offrir régulièrement une formation similaire à leur personnel, afin que ceux-ci acquièrent « des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité ».
Cette obligation va de pair avec l’article 20, paragraphe 1. Les organes de direction approuvent les mesures de l’article 21, supervisent leur mise en œuvre et peuvent être tenus responsables des violations de l’article 21 par l’entité. Un conseil qui approuve des mesures qu’il ne sait pas évaluer a signé, il n’a pas gouverné.
NIS2 ne définit pas l’« organe de direction ». Le droit national détermine s’il s’agit du conseil d’administration, du directoire ou du conseil de surveillance, ou des gérants d’une petite société. Pour les entités essentielles, et pour les entités importantes par l’intermédiaire de l’article 33, paragraphe 5, l’article 32, paragraphe 6, ajoute que les personnes physiques qui représentent l’entité, prennent des décisions en son nom ou la contrôlent peuvent être tenues responsables des manquements à leur obligation de veiller au respect des règles. La vue d’ensemble se trouve dans la responsabilité des organes de direction au titre de NIS2.
La formation NIS2 est-elle obligatoire pour les salariés ?
Deux dispositions répondent à cette question.
- L’article 20, paragraphe 2, demande seulement aux États membres d’encourager les entités à offrir régulièrement une formation similaire à leur personnel.
- L’article 21, paragraphe 2, point g), range « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » parmi les mesures que chaque entité essentielle et importante doit prendre au minimum.
En pratique, la réponse est donc oui : il vous faut une mesure de formation du personnel, dont la profondeur dépend des critères de proportionnalité de l’article 21, paragraphe 1 : l’exposition aux risques, la taille, ainsi que la probabilité et la gravité des incidents. Selon le considérant 89, les entités devraient organiser des formations pour leur personnel et le sensibiliser aux cybermenaces, à l’hameçonnage ou aux techniques d’ingénierie sociale. La place de la mesure g) parmi les autres est expliquée dans les 10 mesures de l’article 21.
Les règles de formation diffèrent-elles entre entités essentielles et importantes ?
Non. L’article 20 et l’article 21, paragraphe 2, point g), s’appliquent aux deux dans des termes identiques. Ce qui diffère, c’est la supervision. Les entités essentielles sont supervisées de manière proactive et peuvent être invitées à fournir des preuves de la mise en œuvre de politiques de cybersécurité (article 32, paragraphe 2, point g)). Les entités importantes sont supervisées a posteriori, sur la base d’éléments de preuve ou d’indications de manquement, et la même demande peut leur être adressée (article 33, paragraphe 2, point f)). Voir entités essentielles et entités importantes.
Les sanctions dépendent de la disposition en cause. Une violation de l’article 21, mesure g) comprise, relève des plafonds de l’article 34 : un montant maximal d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Ces plafonds ne couvrent pas l’obligation de formation de l’article 20 : les sanctions correspondantes relèvent du droit national (article 36).
À quelle fréquence la formation NIS2 doit-elle avoir lieu ?
La directive ne fixe aucun intervalle pour les membres de l’organe de direction. La seule indication de fréquence, une formation offerte régulièrement, concerne celle que les États membres encouragent pour le personnel. Pour les fournisseurs couverts par le règlement 2024/2690, les activités de sensibilisation doivent être répétées et proposées à intervalles planifiés, et la formation selon le rôle doit être régulière. Aucun texte ne fixe de chiffre : le rythme du plan ci-dessous relève donc de la pratique.
Que ne précise pas NIS2 en matière de formation ?
La directive fixe un objectif, pas un format. Elle ne fixe ni nombre d’heures, ni programme, ni examen ou seuil de réussite, ni certificat, ni organismes agréés, ni modalité de formation.
Le droit national et les lignes directrices des autorités peuvent apporter des précisions. En Allemagne, par exemple, le BSI a publié un guide sur l’obligation de formation des dirigeants prévue par la loi BSI (BSI-Gesetz), daté du 17 avril 2026. L’obligation dépend aussi de la transposition : le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication des mesures de transposition.
Où trouver une formation NIS2 pour vos dirigeants ?
Il n’existe pas de catalogue officiel au niveau de l’UE. Un prestataire externe, un vCISO ou votre propre responsable de la sécurité peut l’assurer. Jugez chaque option sur trois questions :
- Couvre-t-elle les services et les risques de votre entité, plutôt que des tendances générales de la menace ?
- Prépare-t-elle les membres à évaluer les mesures qu’ils approuvent ?
- Produit-elle une trace que vous pouvez présenter à une autorité de supervision ?
Une session d’une journée lors d’une conférence échoue au premier critère. Tout comme un module annuel que les dirigeants valident en quelques clics. Dans les 90 premiers jours d’un vCISO, la note de décision présentée au conseil est un moment naturel pour la première session.
Qu’ajoute le règlement d’exécution (UE) 2024/2690 ?
Pour les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance, la section 8 de l’annexe précise l’article 21, paragraphe 2, point g). Elle est directement applicable.
Sensibilisation (8.1). Le fournisseur veille à ce que ses employés, y compris les membres des organes de direction, ainsi que ses fournisseurs directs et prestataires de services, soient conscients des risques et appliquent les pratiques de cyberhygiène. Le programme est planifié de sorte que les activités soient répétées et touchent les nouveaux employés ; il couvre les menaces pertinentes, les mesures en place, les points de contact et les pratiques de cyberhygiène. Le cas échéant, son efficacité est testée, et il est mis à jour à intervalles planifiés.
Formation à la sécurité (8.2). Les employés dont les fonctions exigent des compétences pertinentes pour la sécurité sont identifiés et formés régulièrement, dans le cadre d’un programme qui définit les besoins par rôle. La formation est adaptée au poste, son efficacité est évaluée, et elle couvre la configuration et l’exploitation sécurisées, appareils mobiles compris, les cybermenaces connues et le comportement à adopter lorsque surviennent des événements pertinents pour la sécurité. Le personnel qui prend de telles fonctions est formé.
Fournisseurs (5.1.4 b)). Les contrats précisent, le cas échéant, les exigences de sensibilisation, de compétences et de formation applicables au personnel des fournisseurs.
Pour toutes les autres entités, la section 8 constitue une lecture officielle et détaillée de l’article 21, paragraphe 2, point g), et une référence raisonnable.
Que doit couvrir la formation NIS2 des dirigeants ?
Construisez-la à partir de l’objectif de l’article 20, paragraphe 2. Des thèmes pertinents :
- Les services de l’entité, ses principaux risques et ce qui les perturberait.
- Les mesures de l’article 21 qu’ils approuvent, et ce que recouvre la proportionnalité.
- La notification des incidents : alerte précoce dans les 24 heures, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois, et le moment où le conseil est informé.
- La supervision, la responsabilité personnelle et les plafonds d’amendes.
- La lecture des rapports de sécurité qu’ils reçoivent, et les questions à poser.
En pratique, un rythme raisonnable comprend une session lors de la nomination, de courtes mises à jour en réunion du conseil et un exercice sur table par an. L’exercice en montre plus que n’importe quel questionnaire.
Que doit couvrir la formation du personnel ?
Tout le personnel : hameçonnage et ingénierie sociale, mots de passe et authentification à plusieurs facteurs, traitement des données, et la manière de signaler un incident suspecté. L’hameçonnage et les identifiants volés sont des points d’entrée fréquents des attaques décrites dans NIS2 et les rançongiciels, et un signalement précoce par un utilisateur fait gagner du temps.
Les fonctions qui ont des responsabilités de sécurité ont besoin de davantage : le point 8.2 est un bon modèle pour les administrateurs et le personnel d’astreinte, et les développeurs doivent être formés au développement sécurisé et à la gestion des vulnérabilités. Si vous appliquez ISO 27001, les clauses 7.2 (compétence) et 7.3 (sensibilisation) et la mesure 6.3 de l’annexe A couvrent déjà l’essentiel. Étendez les enregistrements à l’organe de direction.
Un plan de formation NIS2 à adapter
La colonne du rythme relève de la pratique, pas du droit.
| Public | Contenu | Format | Rythme suggéré | Preuves |
|---|---|---|---|---|
| Organe de direction | Risques, mesures approuvées, rôle dans la notification, responsabilité | Séance d’information et exercice sur table | À la nomination, puis chaque année | Présence, ordre du jour, procès-verbal |
| Tout le personnel | Hameçonnage, MFA, traitement des données, signalement | Modules courts, simulations | À l’arrivée, puis chaque année | Relevés de suivi |
| Administrateurs informatiques | Configuration sécurisée, accès à privilèges, sauvegarde et restauration | Formation technique selon le rôle | Chaque année et lors de changements majeurs | Enregistrements, évaluation |
| Développeurs | Développement sécurisé, gestion des vulnérabilités | Selon le rôle | Chaque année | Enregistrements |
| Équipe de réponse aux incidents | Procédure d’incident, notification à 24 h et à 72 h | Exercice | Chaque année | Rapport d’exercice |
| Fournisseurs critiques | Sensibilisation, compétences exigées par contrat | Clause contractuelle | Selon le contrat | Contrat, attestation |
Modèle de registre de formation NIS2
REGISTRE DE FORMATION NIS2
Entité : Période :
Base : NIS2 art. 20, par. 2 / art. 21, par. 2, g) ; droit national : ______
SESSION
Identifiant et date :
Intitulé :
Public : [organe de direction | tout le personnel | rôle : __________ ]
Animée par : [interne : nom | externe : organisme]
Format : [présentiel | en ligne | e-learning | exercice]
Durée :
Thèmes (lien vers l'ordre du jour ou les supports) :
Risques et politiques abordés :
PRÉSENCE
Nom | Fonction | Membre de l'organe de direction (O/N) | Présent (O/N) | Date
EFFICACITÉ
Méthode : [quiz | débriefing d'exercice | résultat de simulation | aucune]
Résultat :
Actions de suivi | Responsable | Échéance :
REVUE
Revu par : Date :
Prochaine session prévue :Ce que l’obligation de formation laisse ouvert
Le texte fixe un objectif sans prévoir de test, ce qui fait reposer la charge sur vos preuves. Le certificat d’un cours générique prouve la présence, pas que le conseil sait « évaluer les pratiques de gestion des risques en matière de cybersécurité ». Une preuve plus solide : un procès-verbal du conseil montrant que ses membres ont questionné le registre des risques et pris une décision, et le rapport de leur exercice.
Pour le personnel, les taux de complétion sont la preuve la plus faible. Les questions plus précises : chaque nouvel arrivant a-t-il été formé avant d’obtenir ses accès ? Toute personne disposant de droits d’administrateur a-t-elle suivi une formation adaptée à son rôle ? Quelqu’un a-t-il signalé la dernière vague d’hameçonnage ? Les réponses se trouvent dans le SIRH, le fournisseur d’identité, l’outil de formation et l’outil de tickets, et elles divergent en quelques semaines.
Vérifiés à la main une fois par an, les enregistrements décrivent une entreprise qui a changé depuis. Rapprochés en continu des personnes et des comptes à privilèges qui existent réellement, avec une personne qui examine les exceptions, ils répondent à la question telle qu’elle est posée. C’est l’approche de la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle de la formation NIS2
- Confirmez qui constitue l’organe de direction au sens de votre droit national.
- Organisez une première session pour la direction, fondée sur vos propres risques et mesures, et consignez-la au procès-verbal.
- Intégrez la cyberhygiène et le signalement des incidents à l’accueil de chaque nouvel arrivant.
- Identifiez les fonctions qui exigent des compétences de sécurité et donnez-leur une formation selon le rôle.
- Formez le personnel qui rejoint ces fonctions au moment du changement.
- Tenez un registre par session : public, thèmes, présence, efficacité.
- Vérifiez si votre droit national et les lignes directrices de votre autorité fixent une durée ou une fréquence.
- Revoyez le programme chaque année au regard des incidents et de l’évolution des menaces.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 6, 20, 21, 23, 32, 33, 34 et 36 et considérant 89, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, annexe, points 5.1.4 b), 8.1 et 8.2, EUR-Lex.
- La Commission saisit la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de transposition de NIS2, 8 juillet 2026, Commission européenne.
- BSI, Handreichung für die Empfehlung zur Schulungspflicht für Geschäftsleitungen wichtiger Einrichtungen und besonders wichtiger Einrichtungen nach dem BSI-Gesetz, 17 avril 2026, bsi.bund.de.
- ISO/IEC 27001:2022, clauses 7.2 et 7.3 et mesure 6.3 de l’annexe A, ISO.
Questions fréquentes
La formation à la cybersécurité est-elle obligatoire pour les dirigeants au titre de NIS2 ?
Oui. L'article 20, paragraphe 2, impose aux États membres de veiller à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation. L'obligation s'applique par l'intermédiaire du droit national.
La formation NIS2 est-elle obligatoire pour les salariés ?
L'article 20, paragraphe 2, demande seulement aux États membres d'encourager les entités à offrir régulièrement une formation similaire à leur personnel. L'article 21, paragraphe 2, point g), range toutefois les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité parmi les mesures minimales de gestion des risques : en pratique, chaque entité concernée a besoin d'une mesure de formation du personnel proportionnée à ses risques.
Combien d'heures de formation NIS2 les membres de l'organe de direction doivent-ils suivre ?
La directive ne fixe ni nombre d'heures, ni fréquence pour les membres de l'organe de direction, ni examen, ni certificat. Elle fixe un objectif : des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité.
Existe-t-il une formation NIS2 officielle ou agréée pour les dirigeants ?
Pas au titre de la directive. Elle n'agrée ni organismes ni cours et ne crée aucun certificat de formation. Le droit national ou les lignes directrices de l'autorité compétente peuvent apporter des précisions : vérifiez les vôtres.
Les obligations de formation diffèrent-elles entre entités essentielles et entités importantes ?
Non. L'article 20 et l'article 21, paragraphe 2, point g), s'appliquent aux deux dans les mêmes termes. La différence tient à la supervision : les entités essentielles sont supervisées de manière proactive, les entités importantes a posteriori, et les unes comme les autres peuvent être invitées à fournir des preuves de mise en œuvre.
