Aucun texte général n'impose aujourd'hui à toutes les entreprises de former chacun de leurs salariés à la cybersécurité. Mais toute organisation qui traite des données personnelles doit mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (RGPD, art. 32), et la sensibilisation du personnel fait partie de ces mesures : la CNIL y consacre la fiche « Impliquer et former les utilisateurs » de son guide de la sécurité des données personnelles, l'ANSSI la mesure 2 de son guide d'hygiène informatique (« Sensibiliser les utilisateurs aux bonnes pratiques élémentaires de sécurité informatique »). En cas de violation de données, l'employeur doit en principe notifier la CNIL dans les 72 heures (art. 33) : ce délai ne tient que si les salariés signalent immédiatement l'incident. Un manquement aux articles 32 à 34 expose à une amende administrative jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (art. 83, 4).
Certains secteurs ont des règles propres : le règlement DORA impose depuis le 17 janvier 2025 aux entités financières soumises des modules de formation obligatoires pour tout le personnel (art. 13, 6), traités dans notre formation DORA. La directive NIS 2 n'est pas transposée en France au 31 octobre 2026 : le projet de loi « Résilience » n'a pas été voté par l'Assemblée nationale, et aucune formation n'est encore obligatoire à ce titre.
Ce parcours de 2 heures couvre le socle commun : obligations et violations de données, menaces décrites par cybermalveillance.gouv.fr (hameçonnage, rançongiciel, faux ordres de virement, piratage de compte), puis les réflexes : mots de passe et double authentification, mises à jour, supports amovibles, messagerie et appels frauduleux, nomadisme et télétravail, IA générative et données, et la conduite à tenir en cas d'incident (signaler, déconnecter du réseau sans éteindre, ne pas payer, 17Cyber, plainte).