Octobre est le mois européen de la cybersécurité (ECSM, coordonné par l'ENISA), décliné en France sous le nom de Cybermoi/s par Cybermalveillance.gouv.fr avec l'ANSSI. C'est le moment de l'année où la sensibilisation bénéficie du plus de matière disponible, et donc le bon point de départ pour structurer un programme. La contrainte réelle d'une PME n'est pas l'absence de référent sécurité (ce rôle existe, même à temps partiel) mais son temps disponible. Cet article décrit un programme tenable dans ces conditions : ce que les textes demandent, les ressources publiques gratuites, et une organisation sur douze mois.
Ce que demandent les textes
La sensibilisation n'est pas une bonne pratique facultative. La directive NIS2 impose aux organes de direction des entités concernées de suivre une formation à la cybersécurité et les invite à en offrir une équivalente à leurs employés (article 20), et classe les pratiques d'hygiène informatique et la formation à la cybersécurité parmi les dix mesures minimales (article 21). L'AI Act exige depuis février 2025 un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent des systèmes d'IA (article 4). Dans NIST CSF 2.0, la catégorie PR.AT (sensibilisation et formation) attend que l'ensemble du personnel soit sensibilisé et que les rôles spécialisés (informatique, direction) reçoivent une formation adaptée. Un auditeur ou un client qui évalue le dispositif cherchera des preuves : dates, contenus, participation.
Les ressources publiques gratuites
Trois dispositifs couvrent l'essentiel du besoin sans budget. SensCyber, la e-sensibilisation de Cybermalveillance.gouv.fr, propose trois modules de 25 à 45 minutes (comprendre les attaques courantes, adopter les bons réflexes, transmettre) avec une attestation de suivi téléchargeable : un parcours individuel traçable, ce qui en fait une brique de preuve directement utilisable. Le kit du Cybermoi/s fournit chaque année aux organisations inscrites des supports de communication prêts à diffuser pendant octobre. Les supports du mois européen de l'ENISA complètent en plusieurs langues. Aucun de ces dispositifs ne remplace un programme : ils fournissent le contenu, pas le calendrier, ni l'adaptation à l'entreprise, ni la trace de réalisation.
Un thème par mois, un format court
Un programme crédible avec quelques heures par mois repose sur trois choix. Un seul thème à la fois : hameçonnage et ingénierie sociale, mots de passe et MFA, gestion des données et confidentialité, appareils et travail à distance, signalement des incidents, sécurité physique, outils d'IA et informatique fantôme, culture de sécurité. Cette rotation couvre en une année les sujets qu'un référentiel comme le CSF attend de voir traités, et place naturellement le thème IA en réponse à l'article 4 de l'AI Act. Un format proportionné au sujet : un e-learning ou un module SensCyber pour les fondamentaux, une simulation d'hameçonnage aux moments clés, un atelier pour la gestion des données, un exercice sur table pour le signalement d'incident, un briefing court pour la sécurité physique. Un public différencié quand c'est pertinent : tout le personnel pour le socle, le personnel à distance pour les sujets nomades, les managers et l'informatique pour les pratiques par rôle, la direction pour son obligation propre de l'article 20 de NIS2.
Le calendrier s'ancre sur deux rendez-vous fixes : octobre pour la campagne Cybermoi/s (les supports arrivent tout prêts) et décembre pour un bilan annuel qui mesure la participation et ajuste l'année suivante. Le reste se répartit sur les autres mois, avec une piqûre de rappel sur l'hameçonnage en cours d'année, le sujet se dégradant le plus vite.
La preuve compte autant que la séance
Ce qui distingue un programme défendable d'une bonne intention, c'est la trace : un calendrier écrit, une feuille de présence ou un export de participation par session, les attestations SensCyber, les résultats des simulations et du quiz d'octobre, et le compte rendu du bilan de décembre. Ces éléments alimentent directement une évaluation CSF (la maturité de PR.AT se mesure à la régularité et à la couverture), un audit ISO 27001 (la sensibilisation relève des exigences de la clause 7 et de l'annexe A) et un questionnaire client, qui comporte presque toujours une ligne sur la formation du personnel.
Le kit généré par Komplyo
Komplyo génère un kit de sensibilisation personnalisé à l'organisation : des supports par thème (les huit sujets ci-dessus, du hameçonnage aux outils d'IA) avec un message clé par séquence, et un plan de formation annuel qui répartit thèmes, publics et formats sur douze mois, campagne d'octobre et bilan de décembre compris. Le kit se relit et s'adapte avant diffusion (canal de signalement, outils approuvés, calendrier), et l'évaluation mesure la catégorie PR.AT pour situer le point de départ. Le diagnostic gratuit (23 questions, environ 5 minutes) en donne une première lecture.