NIS2 : les obligations de sensibilisation et de formation
Articles 20 et 21 de NIS2 : qui former à la cybersécurité, à quelle fréquence, quelles preuves présenter à un auditeur, et où en est la loi française.
NIS2 consacre deux dispositions à la formation : l’article 20.2, qui oblige les membres de la direction à se former et encourage la formation régulière du personnel, et l’article 21.2.g, qui range « la formation à la cybersécurité » parmi les mesures minimales de toute entité régulée. L’article 21.2.f ajoute l’obligation d’évaluer l’efficacité des mesures. En France, la loi de transposition attend toujours sa promulgation au 13 octobre 2026, mais ces exigences figurent mot pour mot dans la directive depuis 2022.
Ce guide traite uniquement ce volet : ce que le texte exige, qui former et à quel rythme, ce qu’un auditeur accepte comme preuve, et un plan à 90 jours. Pour savoir si votre entreprise est concernée, faites le test rapide de notre guide NIS2 pour les PME.
Que dit exactement l’article 21 sur la formation ?
L’article 21 liste les mesures de gestion des risques que toute entité essentielle ou importante doit appliquer. Son paragraphe 2 précise qu’elles « comprennent au moins » dix catégories, dont le point g) :
« g) les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ; »
« Comprennent au moins » place la formation dans le socle minimal, au même rang que la gestion des incidents ou l’authentification multifacteur.
Le considérant 89 précise l’intention du législateur : les entités devraient adopter des pratiques de cyberhygiène incluant « la sensibilisation des utilisateurs », et « organiser une formation pour leur personnel et sensibiliser aux cybermenaces, au hameçonnage ou aux techniques d’ingénierie sociale ». Le hameçonnage est le seul mode d’attaque cité nommément dans ce considérant.
S’y ajoute le point f) du même paragraphe, qui impose « des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ». Appliqué à la formation, cela veut dire qu’un programme de sensibilisation se mesure : on vérifie que les comportements changent.
Que dit l’article 20 sur la formation des dirigeants ?
L’article 20, intitulé « Gouvernance », crée une obligation propre aux organes de direction. Le paragraphe 2 est le passage clé :
« Les États membres veillent à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation et ils encouragent les entités essentielles et importantes à offrir régulièrement une formation similaire aux membres de leur personnel afin que ceux-ci acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité. »
Le texte distingue deux niveaux :
- Pour les dirigeants, une obligation ferme (« tenus de suivre une formation »), qui vise une compétence précise : déterminer les risques et évaluer les mesures de gestion des risques. Une sensibilisation générique de 30 minutes ne remplit pas cet objectif.
- Pour le personnel, un encouragement à offrir « régulièrement une formation similaire ». Formellement plus souple, il se combine avec la mesure obligatoire de l’article 21.2.g, qui couvre l’ensemble des collaborateurs.
L’article 20.1 explique cette exigence : les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des violations de l’article 21 par leur entité. Le législateur forme les dirigeants parce qu’il les rend responsables. Pour présenter le sujet en comité de direction, notre article sur le retour sur investissement de la sensibilisation fournit les chiffres utiles.
Qui doit être formé, et à quelle fréquence ?
Le texte ne fixe ni volume horaire ni fréquence chiffrée. Il fixe des exigences de résultat :
| Obligation | Article | Qui est concerné | Preuve attendue en contrôle |
|---|---|---|---|
| Suivre une formation en cybersécurité | Art. 20.2 | Membres des organes de direction | Attestation datée, programme de la formation, feuille de présence |
| Offrir « régulièrement » une formation similaire | Art. 20.2 | Ensemble du personnel | Plan de sensibilisation annuel, calendrier, taux de formations terminées |
| Cyberhygiène et formation à la cybersécurité | Art. 21.2.g | L’entité, tous les collaborateurs | Programme documenté, contenus adaptés aux postes, traces datées |
| Évaluer l’efficacité des mesures | Art. 21.2.f | L’entité | Rapports de simulation, évolution des taux de clic et de signalement, revues périodiques |
| Approuver et superviser les mesures | Art. 20.1 | Organes de direction | Procès-verbal d’approbation du plan, comptes rendus de suivi |
Sur la fréquence, le texte donne deux repères : « régulièrement » (article 20.2) et des pratiques de base continues (considérant 89). Les programmes qui tiennent dans la durée combinent une simulation et un module court chaque mois avec un bilan trimestriel, le rythme décrit dans notre plan de sensibilisation sur 12 mois. Face à un auditeur, un programme mensuel documenté se défend comme « régulier » ; une session annuelle unique se défend mal.
Côté référentiel national, l’ANSSI indique dans sa FAQ MonEspaceNIS2 que les exigences françaises s’articuleront autour d’une vingtaine d’objectifs de sécurité traduisant les articles 20 et 21, centrés « principalement sur des aspects d’hygiène informatique fondamentale ». Depuis le 17 mars 2026, elle diffuse le Référentiel Cyber France (ReCyF), document de travail qui liste les mesures recommandées (ANSSI).
Où en est la transposition française ?
Voici l’état vérifiable au 13 octobre 2026 :
- La loi n’est pas promulguée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis voté par la commission spéciale de l’Assemblée nationale le 10 septembre 2025. Son examen en séance publique, prévu les 7 et 9 octobre 2026, a été reporté sans nouvelle date (Next, 6 octobre 2026).
- Aucun décret n’est publié. Selon l’ANSSI, NIS2 entrera en vigueur en France « dès lors que l’ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués », et la date d’entrée en vigueur ne correspondra pas à la date d’application de l’ensemble des exigences (FAQ MonEspaceNIS2).
- La France est devant la Cour de justice de l’UE. Après une mise en demeure le 28 novembre 2024 et un avis motivé le 7 mai 2025, la Commission européenne a saisi la Cour le 8 juillet 2026, en demandant une somme forfaitaire et des astreintes journalières.
Le fond ne bouge pas, seul le calendrier glisse. Les obligations de formation des articles 20 et 21 sont fixées par le texte européen depuis décembre 2022. Une entreprise qui construit son programme maintenant arrivera aux premiers contrôles avec un à deux ans d’historique de preuves ; celle qui attend la promulgation partira de zéro. Le détail du calendrier et des sanctions figure dans notre guide NIS2 pour les PME.
Que demande un auditeur comme preuve de formation ?
Futur contrôle de l’ANSSI, audit ISO 27001 ou, plus souvent dès aujourd’hui, questionnaire de sécurité d’un grand client : la logique de preuve est la même, un programme déclaré doit laisser des traces d’exécution. Les pièces d’un dossier solide, dans l’ordre où un auditeur les demande :
- Le plan de sensibilisation formalisé : objectifs, publics, calendrier, responsable désigné, et la trace de son approbation par la direction (article 20.1).
- Les preuves de formation des dirigeants : attestation datée, programme de la session, liste des participants. C’est la pièce la plus souvent manquante, et la seule qui corresponde à une obligation nominative du texte (article 20.2).
- Les registres de formation du personnel : qui a suivi quoi, quand, avec quel résultat. Un taux de formations terminées par service parle davantage qu’une liste brute.
- Les rapports de simulation de phishing : date de chaque campagne, scénario, taux de clic et de signalement, et leur évolution sur plusieurs campagnes. Ce sont eux qui répondent à l’évaluation d’efficacité de l’article 21.2.f.
- Les comptes rendus de revue : bilan trimestriel ou semestriel présenté à la direction, avec les décisions prises (renforcer tel service, changer tel scénario). Ils montrent la supervision exigée par l’article 20.1.
Chaque pièce est datée, nominative ou ventilée par équipe, et reliée à une décision. Notre article sur les taux de clic de référence aide à choisir les indicateurs à suivre.
Ce que nophi.sh fournit pour ce volet, et ce qu’il laisse de côté
nophi.sh traite une partie du facteur humain : simulations de phishing, formation après un clic, signalement des emails suspects, et un historique de résultats à verser à votre dossier. La directive demande bien davantage.
| Exigence NIS2 | Article | Ce que nophi.sh fournit |
|---|---|---|
| Formation du personnel | Art. 20.2, 21.2.g | Module court assigné automatiquement après un test échoué, selon vos règles par catégorie ou par action ; cours intégré « Sensibilisation au phishing : les fondamentaux » (5 leçons, quiz de 10 questions) ; éditeur de cours pour vos contenus ; relances avant l’échéance, puis alerte au manager |
| Évaluation de l’efficacité | Art. 21.2.f | Taux d’ouverture, de clic, de saisie d’identifiants et signalements par campagne, suivis dans le temps et par département ; 80 scénarios en français et en anglais, et vos propres modèles |
| Remontée des emails suspects | Art. 21.2.g | L’employé transfère l’email suspect (ou utilise le bouton Signaler de Microsoft 365 configuré vers nophi.sh) et reçoit un verdict motivé, en général en une à deux minutes ; vos contacts sécurité sont alertés |
| Documentation pour l’audit | Art. 21 | Rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et exports CSV |
Le signalement entretient le réflexe de vérification. La page preuves de sensibilisation pour vos audits détaille ce que contient chaque export.
Que risque-t-on concrètement ?
Une fois la transposition en vigueur, la formation relève des mesures de l’article 21, dont la violation déclenche le régime de sanctions de l’article 34 :
| Catégorie | Amende maximale prévue par la directive | Base |
|---|---|---|
| Entité essentielle | Au moins 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé | Art. 34.4 |
| Entité importante | Au moins 7 000 000 € ou 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé | Art. 34.5 |
S’y ajoutent la responsabilité des organes de direction en cas de violation de l’article 21 (article 20.1) et, pour les entités essentielles, la possibilité d’interdire temporairement l’exercice de fonctions dirigeantes (article 32.5).
En 2026, le risque immédiat est commercial. Les entités déjà régulées ailleurs en Europe et les grands donneurs d’ordre français qui anticipent la loi demandent des preuves de sensibilisation dans leurs questionnaires fournisseurs, au titre de la chaîne d’approvisionnement (article 21.2.d). Une PME incapable de produire un rapport de formation daté perd des points dans un appel d’offres bien avant le premier contrôle de l’ANSSI.
À quoi ressemble une sensibilisation efficace au sens de NIS2 ?
Le texte combine trois exigences : former (21.2.g), régulièrement (20.2), et prouver que cela fonctionne (21.2.f). En pratique, un programme qui les satisfait repose sur quatre habitudes.
Il teste les réflexes réels avec des campagnes de simulation de phishing régulières et variées (fausse facture, faux partage Microsoft 365, fraude au président), en commençant par une campagne sans annonce qui fixe le point de départ.
Il forme au moment où la personne est attentive : un module de quelques minutes, déclenché juste après un clic sur une simulation, remplace une demi-journée en salle.
Il mesure dans le temps : taux de clic, signalements, formations terminées, ventilés par équipe et comparés au point de départ.
Il archive et présente : chaque rapport de campagne daté devient une pièce du dossier, et un bilan trimestriel à la direction montre la supervision. Un auditeur fait la différence entre « nous sensibilisons nos équipes » et « voici les rapports de nos six dernières campagnes ».
L’élément humain est impliqué dans 62 % des violations de données selon le Verizon Data Breach Investigations Report 2026 : c’est ce risque que vise le volet formation de NIS2.
Le plan à 90 jours pour le volet formation
La loi française n’est pas nécessaire pour construire le dossier. Quatre-vingt-dix jours suffisent pour passer de zéro à un programme documenté.
Jours 1 à 15 : état des lieux et point de départ. Inventoriez ce qui existe (formations passées, traces disponibles, procédure de signalement) et désignez un responsable du programme. Lancez une première simulation de phishing sans annonce : le taux de clic initial, daté, est votre référence et votre première preuve.
Jours 16 à 45 : former l’organe de direction. Organisez la formation des dirigeants exigée par l’article 20.2 : panorama des risques, lecture des indicateurs, responsabilités NIS2. Conservez attestation, support et feuille de présence, et faites approuver le plan de sensibilisation annuel, ce qui répond aussi à l’article 20.1.
Jours 46 à 75 : déployer pour le personnel. Lancez le cycle récurrent : simulation mensuelle, module court automatique après chaque clic, procédure de signalement communiquée à tous. Ciblez d’abord les fonctions exposées : comptabilité (fraude au virement), direction et assistants (fraude au président), RH et achats.
Jours 76 à 90 : mesurer et rapporter. Consolidez les indicateurs, comparez-les au point de départ, présentez un premier bilan à la direction et archivez le compte rendu. Vous disposez alors des cinq catégories de preuves listées plus haut. Enchaînez ensuite sur le plan de sensibilisation sur 12 mois.
Questions fréquentes sur NIS2 et la formation
La formation à la cybersécurité est-elle vraiment obligatoire sous NIS2 ?
Oui, à deux niveaux. L’article 20.2 de la directive (UE) 2022/2555 impose que les membres des organes de direction des entités essentielles et importantes soient « tenus de suivre une formation ». L’article 21.2.g inscrit « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » parmi les mesures minimales de gestion des risques de chaque entité régulée. Pour les dirigeants, l’obligation est directe ; pour le personnel, la formation est encouragée par l’article 20 et couverte par la mesure obligatoire de l’article 21.2.g.
Les dirigeants doivent-ils suivre une formation spécifique ?
Oui. La formation doit leur permettre « de déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité » (article 20.2). Elle vise donc la capacité à juger les mesures qu’ils approuvent, puisque l’article 20.1 prévoit qu’ils peuvent être tenus responsables des violations de l’article 21 par leur entité.
À quelle fréquence faut-il sensibiliser les employés ?
La directive ne fixe pas de chiffre : elle parle d’une formation offerte « régulièrement » (article 20.2) et de pratiques de cyberhygiène continues (considérant 89). Un programme mensuel (simulation et module court) avec un bilan trimestriel est simple à défendre en audit ; une session annuelle unique l’est beaucoup moins.
NIS2 impose-t-elle des simulations de phishing ?
Le texte ne les cite pas nommément. Le considérant 89 vise la sensibilisation « aux cybermenaces, au hameçonnage ou aux techniques d’ingénierie sociale », et l’article 21.2.f impose d’évaluer l’efficacité des mesures. La simulation de phishing répond aux deux : elle entraîne sur le vecteur cité par le texte et produit des résultats datés.
Quelles preuves présenter lors d’un contrôle ?
Cinq catégories : le plan de sensibilisation approuvé par la direction, les attestations de formation des dirigeants, les registres de formation du personnel, les rapports de simulation avec l’évolution des indicateurs, et les comptes rendus de revue. Toutes datées, ventilées par équipe et reliées à des décisions.
NIS2 est-elle déjà applicable en France ?
Non. Au 13 octobre 2026, la loi de transposition n’est pas promulguée : adoptée par le Sénat le 12 mars 2025 et votée par la commission spéciale de l’Assemblée nationale le 10 septembre 2025, elle devait être examinée en séance publique les 7 et 9 octobre 2026, examen reporté sans nouvelle date. Les obligations deviendront opposables avec la loi et ses décrets ; leur contenu est déjà connu.
Que risque-t-on en cas d’absence de formation ?
Après l’entrée en vigueur : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante (article 34), la responsabilité des dirigeants (article 20.1) et, pour les entités essentielles, une possible interdiction temporaire d’exercer des fonctions de direction (article 32.5). Dès aujourd’hui : des points perdus dans les questionnaires de sécurité des clients et auprès des assureurs cyber.
Un e-learning annuel suffit-il ?
C’est difficile à défendre. Il montre mal la régularité demandée par l’article 20.2 et ne mesure pas l’efficacité exigée par l’article 21.2.f. Des sessions courtes et récurrentes, des simulations réalistes et des indicateurs archivés répondent mieux au texte.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), texte officiel en français, EUR-Lex : articles 20, 21, 32, 34 et considérant 89.
- ANSSI, FAQ MonEspaceNIS2 : avancement de la transposition de la directive NIS 2 : étapes parlementaires, décrets, entrée en vigueur.
- Next, 6 octobre 2026 : report de l’examen en séance publique prévu les 7 et 9 octobre 2026.
- ANSSI, FAQ MonEspaceNIS2 : quelles exigences de cybersécurité pour les entités régulées : la vingtaine d’objectifs de sécurité.
- ANSSI, NIS 2 : l’ANSSI poursuit et renforce sa dynamique d’accompagnement : le ReCyF, document de travail diffusé depuis le 17 mars 2026.
- Commission européenne, saisine de la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026 et avis motivé adressé à 19 États membres, 7 mai 2025.
- Verizon Data Breach Investigations Report 2026 : l’élément humain impliqué dans 62 % des violations de données.