NIS2 : les obligations de sensibilisation et de formation

La directive NIS2 consacre deux dispositions à la sensibilisation et à la formation : l’article 20, qui vise les dirigeants, et l’article 21.2.g, qui vise l’entité tout entière. Ce sont probablement les obligations les moins bien comprises du texte — et pourtant les plus simples à anticiper, y compris pour une PME sans équipe cybersécurité dédiée.

Ce guide décortique uniquement ce pilier : ce que le texte exige mot pour mot, qui doit être formé, ce qu’un auditeur acceptera comme preuve, et où en est réellement la transposition française en septembre 2026. Pour une vue d’ensemble de la directive (périmètre, secteurs, checklist complète), consultez notre guide NIS2 pour les PME.

À retenir

• L’article 21.2.g de la directive NIS2 (directive (UE) 2022/2555) inscrit « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » parmi les mesures minimales obligatoires de gestion des risques, selon le texte officiel publié sur EUR-Lex.
• L’article 20.2 de NIS2 impose que les membres des organes de direction soient « tenus de suivre une formation » en cybersécurité, et demande aux entités d’offrir « régulièrement une formation similaire » à leur personnel (EUR-Lex, directive (UE) 2022/2555).
• Au 5 septembre 2026, la loi française de transposition de NIS2 n’est toujours pas promulguée : le Sénat a adopté le projet de loi « résilience » le 12 mars 2025, la commission spéciale de l’Assemblée nationale l’a voté le 10 septembre 2025, mais l’examen en séance publique n’a pas eu lieu, selon la FAQ officielle MonEspaceNIS2 de l’ANSSI.
• La Commission européenne a saisi la Cour de justice de l’UE contre la France le 8 juillet 2026 pour défaut de transposition de NIS2, en demandant une somme forfaitaire et des astreintes journalières (Commission européenne, 8 juillet 2026).
• L’élément humain est impliqué dans 68 % des violations de données selon le Verizon Data Breach Investigations Report 2024 — c’est le risque que le pilier formation de NIS2 vise directement.

Que dit exactement l’article 21 sur la formation ?

L’article 21 de la directive liste les dix mesures de gestion des risques que toute entité essentielle ou importante doit mettre en œuvre. Le paragraphe 2 précise que ces mesures « sont fondées sur une approche “tous risques” » et « comprennent au moins » dix catégories, dont le point g) :

« g) les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ; »

— Directive (UE) 2022/2555, article 21, paragraphe 2

Trois mots comptent ici : « comprennent au moins ». La formation à la cybersécurité n’est pas une option parmi d’autres ni une recommandation : c’est un élément du socle minimal, au même rang que la gestion des incidents ou l’authentification multifacteur.

Le considérant 89 de la directive précise l’intention du législateur. Les entités devraient adopter des pratiques de cyberhygiène incluant « la sensibilisation des utilisateurs », et « organiser une formation pour leur personnel et sensibiliser aux cybermenaces, au hameçonnage ou aux techniques d’ingénierie sociale » (EUR-Lex, considérant 89). Le hameçonnage est le seul mode opératoire d’attaque cité nommément dans ce considérant : le législateur européen sait où se situe le risque.

À l’article 21.2.g s’ajoute le point f) du même paragraphe, qui impose « des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ». Appliqué à la formation, cela signifie qu’un programme de sensibilisation doit être mesuré : former sans vérifier que les comportements changent ne satisfait qu’à la moitié du texte.

Que dit l’article 20 sur la formation des dirigeants ?

L’article 20, intitulé « Gouvernance », crée une obligation de formation spécifique aux organes de direction. Le paragraphe 2 est le passage clé :

« Les États membres veillent à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation et ils encouragent les entités essentielles et importantes à offrir régulièrement une formation similaire aux membres de leur personnel afin que ceux-ci acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité. »

— Directive (UE) 2022/2555, article 20, paragraphe 2

La lecture juridique précise distingue deux niveaux :

• Pour les dirigeants : une obligation ferme (« tenus de suivre une formation »). Elle vise une compétence précise — être capable de déterminer les risques et d’évaluer les mesures de gestion des risques. Une sensibilisation générique de 30 minutes ne répond pas à cet objectif.
• Pour le personnel : un encouragement à offrir « régulièrement une formation similaire ». Formellement plus souple — mais en pratique, la formation du personnel reste couverte par la mesure obligatoire de l’article 21.2.g vue plus haut. Les deux articles se combinent : 20.2 pour les dirigeants, 21.2.g pour l’entité et l’ensemble de ses collaborateurs.

Cette obligation de formation des dirigeants n’est pas décorative. L’article 20.1 prévoit que les organes de direction « approuvent les mesures de gestion des risques », « supervisent sa mise en œuvre » et « puissent être tenus responsables de la violation » de l’article 21 par leur entité. Le législateur forme les dirigeants parce qu’il les rend responsables. Pour préparer cet argumentaire en interne, notre guide pour convaincre votre direction d’investir en cybersécurité fournit les chiffres utiles.

Qui doit être formé, et à quelle fréquence ?

Le texte ne fixe ni volume horaire ni fréquence chiffrée — il fixe des exigences de résultat. Voici la synthèse opérationnelle, article par article :

Obligation	Article	Qui est concerné	Preuve attendue en contrôle
Suivre une formation en cybersécurité	Art. 20 §2	Membres des organes de direction (entités essentielles et importantes)	Attestation ou certificat daté, programme de la formation, feuille de présence
Offrir « régulièrement » une formation similaire	Art. 20 §2	Ensemble du personnel	Plan de sensibilisation annuel, calendrier des sessions, taux de complétion
Pratiques de cyberhygiène et formation à la cybersécurité	Art. 21 §2 g)	L’entité (tous les collaborateurs)	Programme documenté, contenus adaptés aux postes, traces d’exécution datées
Évaluer l’efficacité des mesures	Art. 21 §2 f)	L’entité	Rapports de simulation de phishing, évolution des taux de clic et de signalement, revues périodiques
Approuver et superviser les mesures	Art. 20 §1	Organes de direction	PV d’approbation du plan, comptes rendus de suivi en comité

Sur la fréquence, deux repères textuels : « régulièrement » (article 20.2) et la logique de pratiques « de base » continues du considérant 89. En pratique, la fréquence qui s’est imposée dans les programmes matures est mensuelle pour les simulations et micro-formations, avec un bilan trimestriel — c’est le rythme détaillé dans notre plan de sensibilisation sur 12 mois. Face à un auditeur, un programme mensuel documenté est facile à défendre comme « régulier » ; une session annuelle unique ne l’est pas.

Côté référentiel national, l’ANSSI a indiqué dans sa FAQ MonEspaceNIS2 que les exigences françaises s’articuleront autour d’une vingtaine d’objectifs de sécurité traduisant les mesures des articles 20 et 21, centrés « principalement sur des aspects d’hygiène informatique fondamentale ». Depuis le 17 mars 2026, l’agence diffuse le Référentiel Cyber France (ReCyF) en tant que document de travail listant les mesures qu’elle recommande, sans version définitive tant que le travail législatif n’est pas achevé (ANSSI, cyber.gouv.fr).

Où en est la transposition française en septembre 2026 ?

C’est le point sur lequel circule le plus de désinformation — y compris dans des contenus qui annoncent des « échéances de conformité 2026 » inexistantes. Voici l’état vérifiable au 5 septembre 2026 :

• La loi n’est pas promulguée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis voté en commission spéciale de l’Assemblée nationale le 10 septembre 2025. Il n’a pas encore été examiné en séance publique, et l’ANSSI rappelle que le texte « demeure susceptible d’être modifié lors des travaux parlementaires » (FAQ MonEspaceNIS2).
• Aucun décret d’application n’est publié. L’ANSSI précise que les décrets et arrêtés seront publiés « dans les mois suivants la promulgation de la loi », et que « NIS 2 rentrera donc en vigueur en France dès lors que l’ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués » (FAQ MonEspaceNIS2). L’agence ajoute une nuance importante : la date d’entrée en vigueur ne correspondra pas à la date d’application de l’ensemble des exigences — un déploiement progressif est prévu.
• La France est devant la CJUE. L’échéance européenne de transposition était fixée au 17 octobre 2024. Après une mise en demeure le 28 novembre 2024 et un avis motivé le 7 mai 2025, la Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 contre la France, l’Irlande, l’Espagne et les Pays-Bas, en demandant « une somme forfaitaire et des astreintes journalières » jusqu’à la notification de la transposition complète (Commission européenne).

Ce que cela change pour vous : rien sur le fond, beaucoup sur le calendrier. Les obligations de formation des articles 20 et 21 sont figées dans le texte européen depuis décembre 2022 — la loi française ne les allégera pas. Un État sous astreinte journalière a par ailleurs toutes les raisons d’accélérer. Les entreprises qui construisent leur programme de sensibilisation maintenant, pendant la phase d’accompagnement de l’ANSSI, arriveront aux premiers contrôles avec un historique de preuves de 12 à 24 mois. Celles qui attendent la promulgation partiront de zéro. Pour savoir si votre entreprise entre dans le périmètre, faites notre test rapide NIS2 en 5 questions ou utilisez le simulateur officiel MonEspaceNIS2.

Que demande un auditeur comme preuve de formation ?

Qu’il s’agisse d’un futur contrôle ANSSI, d’un audit ISO 27001 ou — cas le plus fréquent dès aujourd’hui — du questionnaire de sécurité d’un grand client, la logique de preuve est identique : un programme déclaré sans traces d’exécution ne vaut rien. Voici les pièces qui constituent un dossier solide, dans l’ordre où un auditeur les demande :

1. Le plan de sensibilisation formalisé : objectifs, publics, calendrier, responsable désigné, et surtout la trace de son approbation par la direction (article 20.1 : l’organe de direction approuve les mesures).
2. Les preuves de formation des dirigeants : attestation ou certificat daté, programme de la session, liste des participants. C’est la pièce la plus souvent manquante — et la seule qui corresponde à une obligation nominative du texte (article 20.2).
3. Les registres de complétion du personnel : qui a suivi quoi, quand, avec quel résultat. Un taux de complétion par service est plus parlant qu’une liste brute.
4. Les rapports de simulation de phishing : date de chaque campagne, scénario utilisé, taux de clic, taux de signalement, et l’évolution de ces indicateurs sur plusieurs campagnes. Ce sont eux qui répondent à l’exigence d’évaluation d’efficacité de l’article 21.2.f — un module e-learning seul n’y répond pas.
5. Les comptes rendus de revue : bilan trimestriel ou semestriel présenté à la direction, décisions prises (renforcer tel service, changer tel scénario). Ils démontrent la supervision exigée par l’article 20.1.

Le fil conducteur : chaque pièce est datée, nominative ou ventilée par équipe, et reliée à une décision. Notre guide sur la mesure de l’efficacité d’un programme de sensibilisation détaille les indicateurs à suivre et les seuils de référence.

Sensibilisation NIS2 : que risque-t-on concrètement ?

Une fois la transposition en vigueur, la formation relève des mesures de l’article 21, dont la violation déclenche le régime de sanctions de l’article 34 de la directive :

Catégorie	Amende maximale prévue par la directive	Base
Entité essentielle	Au moins 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé)	Art. 34 §4
Entité importante	Au moins 7 000 000 € ou 1,4 % du chiffre d’affaires annuel mondial (le montant le plus élevé)	Art. 34 §5

S’y ajoutent deux mécanismes qui visent directement les personnes physiques (texte de la directive, articles 20 et 32) :

• La responsabilité des organes de direction en cas de violation de l’article 21 par l’entité (article 20.1) ;
• Pour les entités essentielles, la possibilité de demander l’interdiction temporaire d’exercer des responsabilités dirigeantes pour tout dirigeant au niveau de directeur général ou de représentant légal (article 32.5).

Ces plafonds sont des maximums, et l’ANSSI a toujours affiché une posture d’accompagnement avant la sanction. Mais le risque immédiat, en 2026, n’est pas l’amende : c’est le risque commercial. Les entités déjà régulées ailleurs en Europe, et les grands donneurs d’ordre français qui anticipent la loi, exigent dès maintenant des preuves de sensibilisation dans leurs questionnaires fournisseurs au titre de la sécurité de la chaîne d’approvisionnement (article 21.2.d). Une PME incapable de produire un rapport de formation daté perd des points dans un appel d’offres bien avant le premier contrôle ANSSI.

À quoi ressemble une sensibilisation « efficace » au sens de NIS2 ?

Le texte combine trois exigences : former (21.2.g), régulièrement (20.2), et prouver que cela fonctionne (21.2.f). Un programme qui satisfait les trois repose sur un triptyque simple :

1. Simuler. Des campagnes de simulation de phishing régulières, avec des scénarios variés et réalistes (fausse facture, faux Microsoft 365, fraude au président), testent les réflexes réels des équipes sur le vecteur d’attaque que le considérant 89 de la directive cite nommément. La première campagne, lancée sans annonce, établit votre baseline.

2. Former au bon moment. Le micro-learning déclenché immédiatement après un clic sur une simulation transforme l’erreur en session de formation de deux minutes, au moment précis où le collaborateur est réceptif. C’est la « formation régulière » du texte, sans mobiliser une demi-journée par salarié.

3. Mesurer et archiver. Taux de clic, taux de signalement, complétion des modules, ventilés par équipe et suivis dans le temps. Chaque rapport de campagne daté est une preuve d’audit au sens de l’article 21.2.f. C’est la différence entre « nous sensibilisons nos équipes » (déclaratif, invérifiable) et « notre taux de clic est passé de 24 % à 9 % en six mois, voici les rapports » (démontrable).

Le facteur humain n’est pas un angle mort théorique : il est impliqué dans 68 % des violations de données selon le Verizon Data Breach Investigations Report 2024. Le pilier formation de NIS2 est celui dont le retour sur investissement sécurité est le plus direct.

Le plan à 90 jours pour le pilier formation

Pas besoin d’attendre la loi française pour construire le dossier. Quatre-vingt-dix jours suffisent pour passer de zéro à un programme documenté :

Jours 1 à 15 — État des lieux et baseline. Inventoriez ce qui existe (formations passées, traces disponibles, procédure de signalement). Désignez un responsable du programme. Lancez une première simulation de phishing sans annonce préalable : le taux de clic initial, daté, est votre point de référence et votre première preuve.

Jours 16 à 45 — Former l’organe de direction. Organisez la formation des dirigeants exigée par l’article 20.2 : panorama des risques, lecture des indicateurs, responsabilités juridiques NIS2. Conservez attestation, support et feuille de présence. Profitez de cette session pour faire approuver formellement le plan de sensibilisation annuel — vous cochez ainsi l’article 20.1 en même temps.

Jours 46 à 75 — Déployer pour le personnel. Lancez le cycle récurrent : simulation mensuelle, micro-formation automatique après chaque clic, procédure de signalement communiquée à tous. Ciblez en priorité les fonctions exposées : comptabilité (fraude au virement), direction et assistants (fraude au président), RH et achats.

Jours 76 à 90 — Mesurer et rapporter. Consolidez les indicateurs, comparez-les à la baseline, présentez un premier bilan à la direction et archivez le compte rendu. Vous disposez alors des cinq catégories de preuves listées plus haut. Ensuite, enchaînez sur le plan de sensibilisation sur 12 mois pour installer le rythme de croisière.

Questions fréquentes sur NIS2 et la formation

La formation à la cybersécurité est-elle vraiment obligatoire sous NIS2 ?

Oui, à deux niveaux. L’article 20.2 impose que les membres des organes de direction soient « tenus de suivre une formation ». L’article 21.2.g inscrit « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » parmi les mesures minimales de gestion des risques de chaque entité régulée. Pour les dirigeants, c’est une obligation directe ; pour le personnel, la formation est à la fois encouragée par l’article 20 et couverte par la mesure obligatoire de l’article 21.2.g.

Les dirigeants doivent-ils suivre une formation spécifique ?

Oui. La formation doit leur permettre « de déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité » (article 20.2). Ce niveau d’exigence s’explique par l’article 20.1 : les dirigeants approuvent les mesures, en supervisent la mise en œuvre et peuvent être tenus responsables des violations de l’article 21.

À quelle fréquence faut-il sensibiliser les employés ?

La directive ne fixe pas de chiffre : elle exige une formation offerte « régulièrement » et des pratiques de cyberhygiène continues. Un programme mensuel (simulation + micro-formation) avec bilan trimestriel est simple à défendre en audit ; une session annuelle unique ne l’est pas.

NIS2 impose-t-elle des simulations de phishing ?

Pas nommément. Mais le considérant 89 cite la sensibilisation « au hameçonnage ou aux techniques d’ingénierie sociale », et l’article 21.2.f impose d’évaluer l’efficacité des mesures. La simulation de phishing répond aux deux : elle entraîne sur le vecteur cité par le texte et produit des métriques datées.

Quelles preuves présenter lors d’un contrôle ?

Cinq catégories : le plan de sensibilisation approuvé par la direction, les attestations de formation des dirigeants, les registres de complétion du personnel, les rapports de simulation avec l’évolution des indicateurs, et les comptes rendus de revue. Toutes datées, ventilées par équipe, reliées à des décisions.

NIS2 est-elle déjà applicable en France en septembre 2026 ?

Non. La loi de transposition n’est pas promulguée (Sénat : 12 mars 2025 ; commission spéciale de l’Assemblée nationale : 10 septembre 2025 ; pas encore de séance publique) et aucun décret n’est publié. La Commission européenne a saisi la CJUE contre la France le 8 juillet 2026. Les obligations deviendront opposables avec la promulgation de la loi et de ses décrets — mais le contenu des obligations, lui, est déjà connu.

Que risque-t-on en cas d’absence de formation ?

Après l’entrée en vigueur : jusqu’à 10 M€ ou 2 % du CA mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante (article 34), plus la responsabilité personnelle des dirigeants (article 20.1) et, pour les entités essentielles, l’interdiction temporaire d’exercer des fonctions dirigeantes (article 32.5). Dès aujourd’hui : des points perdus dans les questionnaires de sécurité clients et auprès des assureurs cyber.

Un e-learning annuel suffit-il ?

C’est difficile à défendre. Il ne démontre ni la régularité exigée par l’article 20.2, ni l’efficacité mesurée exigée par l’article 21.2.f. La combinaison robuste : sessions courtes récurrentes, simulations réalistes, indicateurs archivés.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2) — texte officiel en français, EUR-Lex : articles 20, 21, 32, 34 et considérant 89 cités dans ce guide.
• ANSSI — FAQ MonEspaceNIS2 : avancement de la transposition de la directive NIS 2 : calendrier parlementaire, décrets, entrée en vigueur.
• ANSSI — FAQ MonEspaceNIS2 : quelles exigences de cybersécurité pour les entités régulées : la vingtaine d’objectifs de sécurité et l’hygiène informatique fondamentale.
• ANSSI — NIS 2 : l’ANSSI poursuit et renforce sa dynamique d’accompagnement (cyber.gouv.fr) : le ReCyF, document de travail diffusé depuis le 17 mars 2026.
• ANSSI — La directive NIS 2 (cyber.gouv.fr) : page de référence et ressources d’accompagnement.
• Commission européenne — saisine de la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026 : procédure d’infraction et sanctions financières demandées.
• Commission européenne — avis motivé adressé à 19 États membres, 7 mai 2025 : étape précédente de la procédure d’infraction.
• Verizon Data Breach Investigations Report 2024 : l’élément humain impliqué dans 68 % des violations de données.