Sensibiliser ses salariés à la cybersécurité : ce que la loi attend et le programme en 10 réflexes

Le programme en 10 réflexes

Chaque réflexe vient d'une recommandation publique de la CNIL, de l'ANSSI ou de cybermalveillance.gouv.fr.

1. Un mot de passe unique par compte, long (au moins 12 caractères variés ou une phrase de passe ; la CNIL retient 80 bits d'entropie pour un mot de passe seul), rangé dans un gestionnaire, jamais communiqué.
2. La double authentification partout, d'abord sur la messagerie, qui sert à réinitialiser tous les autres comptes. Un code reçu sans l'avoir demandé signifie que le mot de passe est compromis.
3. Les mises à jour dès qu'elles arrivent, depuis les sources officielles ; l'ANSSI demande aux organisations d'appliquer les correctifs dans le mois qui suit leur publication.
4. Aucune clé USB inconnue (ANSSI, mesure 15) et des données chiffrées sur tout matériel qui peut se perdre.
5. Des usages pro et perso séparés : pas de transfert de la messagerie professionnelle vers une adresse personnelle, pas de stockage en ligne personnel, session verrouillée en quittant son poste.
6. Le réflexe du message suspect : expéditeur réel, lien survolé sans cliquer, pièce jointe attendue ou non, demande urgente ou secrète. En cas de doute, on contacte l'organisme par un moyen déjà connu.
7. Une procédure de virement non dérogeable : toute demande de virement imprévu ou de changement de RIB est vérifiée par contre-appel à un numéro connu et validée en interne, comme le recommande la fiche « faux ordres de virement » de cybermalveillance.gouv.fr.
8. En déplacement et en télétravail : matériel à portée de vue, filtre de confidentialité, VPN de l'entreprise plutôt que Wi-Fi public, mêmes règles qu'au bureau.
9. L'IA générative sans données confidentielles : la CNIL recommande de ne jamais partager de données personnelles ou de l'entreprise dans un service grand public et d'encadrer les usages par une charte.
10. En cas d'incident : signaler, déconnecter, ne pas éteindre. L'ANSSI : déconnecter la machine du réseau pour stopper l'attaque, mais la maintenir sous tension et ne pas la redémarrer. Ne pas payer de rançon, conserver les preuves, porter plainte avant de réinstaller (fiche rançongiciel), s'orienter avec 17Cyber.

Comment le mettre en place

• Dès l'arrivée, une session courte et le nom du canal de signalement (adresse, numéro, outil).
• Régulièrement, des rappels ciblés selon les fonctions : comptabilité et paie pour les faux RIB, nomades pour le Wi-Fi et le matériel.
• Vérifiez les acquis par une évaluation, comme le suggère la CNIL, et gardez la trace de qui a été sensibilisé et quand.
• Formalisez les règles dans une charte informatique, que l'ANSSI propose comme mesure renforcée.

Notre formation de sensibilisation à la cybersécurité couvre ce socle en 2 heures en ligne, avec évaluation et attestation nominative. Pour les usages de l'IA, la formation IA pour tous les salariés traite les obligations du règlement européen sur l'IA.

Questions fréquentes

La sensibilisation à la cybersécurité est-elle obligatoire ?

Pas par un texte général. Elle découle de l'obligation de sécurité de l'article 32 du RGPD pour toute organisation qui traite des données personnelles, et elle est obligatoire dans les entités financières soumises à DORA (article 13, paragraphe 6).

NIS 2 impose-t-elle une formation en France ?

Pas au 31 octobre 2026 : la directive n'est pas transposée. Elle prévoit une formation obligatoire des dirigeants des entités concernées (article 20), qui ne s'appliquera qu'après l'adoption et la promulgation de la loi française.

À quelle fréquence sensibiliser ses salariés ?

Aucun texte ne fixe de périodicité. L'ANSSI recommande une information dès l'arrivée puis des actions régulières ; la CNIL, des rappels réguliers et une vérification des acquis.

Que faire si un salarié a cliqué sur un lien piégé ?

Il signale immédiatement l'incident, change le mot de passe saisi (et partout où il le réutilisait), et l'entreprise vérifie les accès. S'il y a eu accès à des données personnelles, l'employeur évalue la notification à la CNIL dans les 72 heures.