Micro-learning cybersécurité : définition et mise en place en PME

Le micro-learning en cybersécurité consiste à former par modules de quelques minutes, en général 2 à 5, chacun centré sur un seul geste : vérifier l’adresse réelle d’un expéditeur, rappeler un fournisseur avant de changer son RIB, signaler un email douteux. Les modules arrivent à un moment choisi, juste après un clic lors d’une simulation de phishing ou à intervalles réguliers pour entretenir les réflexes.

En pratique, dans une PME :

Mesurer d’abord. Une première simulation montre qui clique, et sur quel type d’email.
Choisir les réflexes prioritaires de chaque service : la comptabilité sur les faux changements de RIB, les RH sur les fausses demandes de modification de salaire, tout le monde sur les fausses pages de connexion.
Déclencher un module court après chaque échec, et programmer un rappel toutes les deux à quatre semaines.
Suivre les clics et les signalements dans le temps. La complétion des modules, seule, ne dit rien du comportement.

La suite détaille chaque étape, avec un exemple de calendrier sur six mois et les erreurs qui font échouer ce type de programme.

Ce qu’est un module de micro-learning

Un module de micro-learning a trois caractéristiques. Il est court. Il vise un objectif unique, formulé comme un geste à faire ou à éviter (« passer la souris sur un lien avant de cliquer », « rappeler le fournisseur sur un numéro déjà connu »). Et il arrive à un moment choisi : selon un calendrier, ou en réaction à un événement comme un clic sur un faux email.

Chaque module doit pouvoir être suivi seul, sans avoir vu les précédents. Découper une formation d’une heure en douze morceaux de cinq minutes donne un e-learning fragmenté. Un vrai module tient en un exemple réaliste, l’explication des indices et une ou deux questions pour vérifier que le geste est compris.

La durée n’obéit à aucune norme. Au-delà d’une dizaine de minutes, on sort du format : le salarié doit s’installer, et le module redevient une session de formation classique.

Pourquoi des modules courts marchent mieux qu’une session par an

L’oubli est rapide

Hermann Ebbinghaus a décrit dès 1885 la courbe de l’oubli : sans rappel, la plus grande partie d’un contenu appris disparaît en quelques jours. Une réplication publiée en 2015 dans PLOS ONE par Jaap Murre et Joeri Dros a retrouvé la même forme de courbe (article).

Sur le phishing précisément, Reinheimer et ses collègues ont suivi 409 agents d’une administration allemande après une formation (SOUPS 2020). Ils distinguaient nettement mieux les faux emails juste après la formation et quatre mois plus tard, mais plus au bout de six mois. Les rappels sous forme de courte vidéo ou d’exemples interactifs ont donné les meilleurs résultats (présentation USENIX). Un rappel tous les trois à quatre mois est donc un minimum ; un rythme mensuel laisse de la marge.

Revoir au bon moment, en cherchant la réponse

Trois résultats de psychologie cognitive guident la conception des modules :

La répétition espacée. Revoir une notion à intervalles croissants, au moment où elle commence à s’effacer, la fixe mieux qu’une révision massive. Le système de Leitner, conçu dans les années 1970 pour les fiches de vocabulaire, applique ce principe : on revoit plus souvent ce qu’on maîtrise mal.
L’effet de test. Chercher une réponse en mémoire consolide davantage que relire. C’est la conclusion centrale de Make It Stick (Brown, Roediger et McDaniel, Harvard University Press, 2014). D’où les une ou deux questions en fin de module.
La difficulté désirable, décrite par Robert Bjork (UCLA) : un exercice qui demande un petit effort laisse une trace plus durable qu’un contenu trop facile. Un exemple d’email crédible, au nom d’un vrai fournisseur et sans faute, apprend plus qu’un faux grossier repérable à cent mètres.

Le bon moment, c’est juste après l’erreur

Un salarié qui vient de cliquer sur une simulation sait qu’il s’est trompé, et sur quel email. L’explication qui arrive à cet instant porte sur un cas concret et encore présent à l’esprit.

Encore faut-il qu’il la lise. Dans l’étude menée chez UC San Diego Health sur plus de 19 500 salariés (Ho et al., IEEE Security & Privacy 2025), trois quarts des personnes ont passé une minute ou moins sur la page de formation affichée après le clic, et un tiers l’a fermée sans la lire (communiqué de l’université). Un débrief efficace est donc très court, montre l’email reçu avec ses indices entourés, et se termine par le geste à retenir. Un long texte générique sera fermé.

Mettre en place un programme de micro-learning, étape par étape

1. Partir d’une mesure

Avant de choisir les thèmes, envoyez une simulation de phishing de difficulté moyenne à toute l’entreprise, sans prévenir. Vous obtenez un taux de clic de départ, service par service, et vous voyez quels scénarios piègent le plus. Les modules viseront d’abord ces points faibles.

2. Choisir six à huit réflexes prioritaires

Un réflexe par module, formulé comme un geste :

vérifier l’adresse réelle de l’expéditeur, au-delà du nom affiché ;
survoler un lien avant de cliquer et lire le domaine de destination ;
ne jamais saisir son mot de passe après avoir cliqué sur un lien reçu par email ;
rappeler le fournisseur sur un numéro déjà connu avant tout changement de RIB, comme le prévoit une procédure anti-fraude au virement ;
refuser une demande urgente et confidentielle du « dirigeant » sans contre-appel ;
signaler un email douteux, même après avoir cliqué.

La comptabilité, les RH et les assistants de direction reçoivent en priorité les modules liés à leurs risques propres.

3. Brancher les modules sur les simulations

Chaque échec déclenche un débrief de quelques minutes sur l’email en cause, puis, si besoin, un module complémentaire sur le même thème. Le ton compte : un débrief accusateur pousse les gens à cacher leurs erreurs, alors que l’objectif est qu’ils signalent les emails douteux, y compris quand ils ont déjà cliqué.

4. Programmer les rappels

Un module toutes les deux à quatre semaines suffit pour la plupart des PME. Faites tourner les thèmes et revenez sur les plus importants à intervalles croissants. Les thèmes peuvent suivre l’actualité, par exemple une vague de faux emails des impôts au moment de la déclaration.

5. Mesurer, puis ajuster

Chaque mois, regardez l’évolution des clics et des signalements par service. Un service qui stagne reçoit des modules plus ciblés et des scénarios adaptés ; les personnes qui cliquent à répétition sont retestées plus tôt que les autres.

Exemple de calendrier sur six mois

Mois	Module de rappel	Simulation du mois
1	Vérifier l’adresse réelle de l’expéditeur	Faux avis de livraison de colis
2	Repérer une fausse page de connexion Microsoft 365	Fausse alerte de mot de passe Microsoft 365
3	Réagir à une demande de changement de RIB	Faux changement de coordonnées bancaires d’un fournisseur
4	Révision : expéditeur et liens	Faux partage de document SharePoint
5	Signaler un email suspect, même après un clic	Fausse facture d’un fournisseur habituel
6	Révision : fausses pages de connexion	Fausse demande urgente du dirigeant

Les mois 4 et 6 reviennent sur des gestes déjà vus : c’est la répétition espacée appliquée au calendrier. Pour un plan complet sur l’année, avec les rôles et le budget, voyez notre plan de sensibilisation sur 12 mois.

Les erreurs qui font échouer un programme

Découper un module long en tranches. Le contenu reste pensé pour une session d’une heure, avec ses transitions et ses rappels, et chaque tranche perd son sens prise seule.
Envoyer trop de modules. Un rappel par semaine sans lien avec ce que vivent les salariés finit dans la corbeille sans être ouvert.
Répéter toujours le même thème. Le même module « phishing » toutes les deux semaines lasse et laisse de côté les fausses factures, les faux RIB ou les fausses pages de connexion.
Séparer modules et simulations. Si le module arrive le lendemain, dans un outil à part, on perd le moment où la personne est réceptive.
Écrire un débrief trop long ou culpabilisant. Il sera fermé, et la personne hésitera à signaler la prochaine fois.
Ne suivre que la complétion. Un taux de suivi élevé montre que les modules sont ouverts, sans dire si les salariés cliquent moins.

Mesurer l’effet du micro-learning

Le taux de complétion des modules montre que la formation est suivie. Les indicateurs qui disent si elle change les comportements sont ailleurs :

le taux de clic sur les simulations, suivi dans le temps et par service ;
le taux de signalement des emails suspects, réels ou simulés ;
la proportion de salariés qui cliquent de façon répétée ;
le délai entre la réception d’un email et son premier signalement.

Pour fixer des ordres de grandeur : selon le rapport 2025 de KnowBe4 (Phishing by Industry Benchmarking Report), le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation. C’est une moyenne d’éditeur, mesurée sur des programmes complets et non sur des modules isolés. Les autres chiffres de référence sont réunis dans nos statistiques du phishing en France, et les taux par secteur dans les benchmarks de taux de clic.

Micro-learning, NIS2 et ISO 27001

La directive NIS2 range la formation à la cybersécurité parmi les mesures de gestion des risques (article 21, paragraphe 2, point g) et impose aux membres des organes de direction de suivre une formation (article 20). La norme ISO/IEC 27001:2022 demande un programme de sensibilisation et de formation (mesure A.6.3).

Aucun de ces textes n’impose un format. Le micro-learning est une façon d’organiser ce volet, et son suivi (modules suivis, résultats des simulations) fournit des preuves utilisables pour vos audits NIS2 ou ISO 27001. Il ne couvre pas le reste des exigences, qui vont bien au-delà de la formation : gestion des incidents, continuité d’activité, contrôle des accès.

Comment nophi.sh l’applique

Dans nophi.sh, un salarié qui échoue à une simulation se voit assigner automatiquement un module court, selon des règles que vous définissez par catégorie de scénario et par action (clic ou saisie du mot de passe). Il voit d’abord un débrief d’environ 3 minutes sur l’email en cause. S’il ne suit pas le module, des relances partent avant l’échéance, puis son responsable est prévenu.

La plateforme inclut un cours prêt à l’emploi, « Sensibilisation au phishing : les fondamentaux » (5 leçons et un quiz de 10 questions, validé à 80 %), en français et en anglais, un éditeur pour créer vos propres modules et 40 articles de base de connaissances. Un jeu en ligne, ouvert à tous, permet de s’entraîner à repérer les faux emails. Le volet formation est présenté sur la page sensibilisation à la cybersécurité.

Pour comparer cette approche avec une formation classique, lisez notre article formation cybersécurité ou simulation : que choisir. Pour comprendre pourquoi des salariés formés cliquent quand même, voyez la psychologie du phishing.

Questions fréquentes

Le micro-learning remplace-t-il les formations longues ?

Il les complète. Un module d’accueil reste utile pour poser les bases chez un nouvel arrivant, comme le décrit notre guide pour former ses salariés, et certains sujets demandent plus de quelques minutes : la procédure anti-fraude au virement du service comptable, la conduite à tenir en cas d’incident, la charte informatique. Le micro-learning prend le relais entre deux sessions pour entretenir les réflexes.

Quelle durée pour un module de micro-learning ?

Il n’existe pas de norme. En pratique, on vise 2 à 5 minutes, le temps de traiter un seul objectif sans quitter son poste. Au-delà d’une dizaine de minutes, on revient à un module de formation classique.

Faut-il un LMS pour faire du micro-learning en cybersécurité ?

Non. Pour une PME, un LMS ajoute une plateforme, des comptes et une étape de connexion de plus. Les plateformes de sensibilisation assignent les modules elles-mêmes, par exemple juste après un échec à une simulation de phishing, et gardent la trace de leur suivi.

Le micro-learning suffit-il pour être conforme à NIS2 ?

Non. NIS2 cite la formation à la cybersécurité parmi les mesures de gestion des risques (article 21) et impose une formation aux membres des organes de direction (article 20), mais elle exige aussi la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement et le contrôle des accès. Le micro-learning couvre une partie du volet formation et produit des preuves (modules suivis, résultats de simulation) utilisables lors d’un audit. Notre guide NIS2 pour les PME détaille le reste.

Essayer nophi.sh gratuitement pendant 14 jours, sans carte bancaire.