Plan de sensibilisation cybersécurité sur 12 mois : modèle

Vous êtes responsable sécurité dans une PME. Vous savez que les formations ponctuelles ne tiennent pas. Vous avez peut-être déjà organisé un atelier, envoyé une note de sensibilisation, voire lancé une première simulation de phishing. Sans plan structuré, les effets s’évaporent en quelques mois.

Ce guide vous donne un plan opérationnel sur 12 mois, prêt à exécuter : un calendrier mois par mois, les thèmes à couvrir, la fréquence des simulations, les indicateurs à suivre et la façon de rendre compte à votre direction. Il applique la méthode décrite dans notre guide comment former ses salariés à la cybersécurité.

Pourquoi un plan sur 12 mois

La formation ponctuelle bute sur un défaut décrit dès 1885 par le psychologue Hermann Ebbinghaus : sans rappel, une information nouvelle s’efface vite. Les recherches sur le phishing le confirment. Dans une étude présentée au symposium SOUPS 2020, l’effet d’une formation anti-phishing restait mesurable quatre mois plus tard et avait disparu au bout de six mois (Reinheimer et al., 2020). Un rappel régulier, étalé sur l’année, vaut mieux qu’une immersion intensive unique.

D’autres raisons plaident pour un plan écrit.

Les obligations demandent de la continuité. La directive NIS2 impose aux dirigeants des entités concernées de suivre une formation (article 20) et range la formation à la cybersécurité parmi les mesures de gestion des risques (article 21). Une session annuelle unique se défend mal comme démarche suivie ; un plan documenté, avec ses campagnes et ses bilans trimestriels, montre ce qui a été fait et quand. Le détail est dans notre guide NIS2 : sensibilisation et formation.

Les assureurs veulent des preuves. Les questionnaires de souscription des assureurs cyber demandent souvent à quelle fréquence vous menez des simulations et si le programme est formalisé. Notre article sur la preuve de formation exigée par les assureurs détaille ce qu’ils regardent.

Enfin, un changement de comportement prend du temps. Le premier trimestre installe la conscience du risque, les six mois suivants ancrent les réflexes, le dernier trimestre consolide. Raccourcir ce cycle, c’est renoncer à la plus grande partie du bénéfice.

Mois 1 : la mesure de départ

Avant de construire le programme, il vous faut un point de départ mesurable. Le mois 1 a un seul objectif : l’établir.

Annoncez le programme, sans donner la date de la première campagne. Le Code du travail l’impose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4). Une note interne et une mention dans la charte informatique suffisent en général. Gardez en revanche la date secrète : une simulation annoncée mesure le comportement de personnes sur leurs gardes.

Utilisez un scénario classique et peu sophistiqué : notification de mise à jour de compte, alerte de sécurité, réinitialisation de mot de passe. L’objectif est de mesurer le comportement habituel des équipes.

Les mesures à relever :

Taux de clic : la part des destinataires qui ont cliqué sur le lien simulé. Avant tout programme, KnowBe4 mesure un taux moyen de 33,1 % (Phishing by Industry Benchmarking Report 2025).
Taux de signalement : la part des destinataires qui ont signalé l’email comme suspect. Sans programme actif, il est en général très bas. C’est le chiffre le plus révélateur, car ne pas cliquer ne veut pas dire signaler.
Délai de clic : combien de temps après la réception les premiers clics arrivent. Verizon mesure un délai médian de 21 secondes entre l’ouverture d’un email de phishing et le clic (DBIR 2024, résumé exécutif). Des clics très rapides signalent un réflexe de vérification absent.

Segmentez les résultats par département dès le départ. La comptabilité et les ressources humaines reçoivent beaucoup d’emails légitimes qui demandent une action (virements, relevés, contrats) : leurs résultats diffèrent souvent de ceux de l’informatique. Connaître cette répartition vous permettra de cibler les formations et de choisir des scénarios pertinents.

Réservez les résultats à la direction. Ce premier test sert de référence, personne n’est noté, et il ne doit pas circuler en interne. Présentez-le comme le point de départ d’un programme d’amélioration : « Voici notre point de départ. Voici notre objectif à 12 mois. »

Fixez vos objectifs de fin d’année à ce stade. Pour un programme annuel bien conduit, des objectifs réalistes sont un taux de clic sous 5 %, un taux de signalement au-dessus de 25 % et un délai de clic qui s’allonge, signe que les équipes prennent le temps de vérifier.

Le calendrier mensuel

Ce calendrier couvre les 12 mois d’un programme complet. Pour chaque mois : le thème, le type de scénario, le module de formation associé et l’action de suivi.

Mois	Thème	Type de simulation	Formation associée	Action
M1	Mesure de départ	Phishing générique par email	Aucune	Mesure des indicateurs initiaux
M2	Mots de passe et MFA	Fausse alerte de sécurité, réinitialisation de mot de passe	Bonnes pratiques de mots de passe, activation du MFA	Déploiement du MFA si ce n’est pas fait
M3	Fraude au président	Email usurpant la direction, demande de virement urgent	Reconnaître la fraude au président, vérifier par téléphone	Procédure de double validation
M4	Pièces jointes piégées	Fausse facture PDF, faux contrat Word	Analyser une pièce jointe, extensions dangereuses	Revue des règles anti-spam
M5	Bilan T1 et signalement	Exercice de signalement (email suspect connu)	Utiliser le bouton de signalement, procédure interne	Rapport T1 à la direction
M6	Faux changement de RIB	Email usurpant un fournisseur, modification de coordonnées bancaires	Vérifier un changement de RIB, double validation fournisseur	Revue des procédures comptables
M7	Phishing lu sur mobile	Email court avec lien raccourci, lisible sur petit écran	Reconnaître le phishing par email et par SMS sur mobile	Rappel des règles d’usage des appareils personnels
M8	Période estivale	Email ciblant les remplaçants, usurpation des RH	Risques propres aux remplaçants, accès temporaires	Brief sécurité pour les renforts d’été
M9	Bilan T2 et télétravail	Faux portail VPN, fausse notification Teams	Sécurité en télétravail, réseaux Wi-Fi publics	Rapport T2 et revue de la politique de télétravail
M10	QR codes piégés	Module et exemple commenté	Reconnaître le quishing, vérifier une URL	Information sur les nouveaux vecteurs
M11	Phishing saisonnier	Fausse promotion Black Friday, fausse carte cadeau de fin d’année	Méfiance envers les offres urgentes, vérification des expéditeurs	Alerte préventive avant le Black Friday
M12	Bilan annuel et plan N+1	Simulation récapitulative (mise à jour logiciel, alerte de sécurité)	Rappel des bonnes pratiques de l’année	Rapport annuel et proposition de budget N+1

Quatre mois en détail

Mois 3, fraude au président : c’est l’un des scénarios les plus coûteux pour une entreprise. La simulation envoie un email qui semble venir d’un membre de la direction et demande un virement urgent ou une action confidentielle. Le module qui suit insiste sur un réflexe : toute demande financière ou sensible reçue par email, même d’un supérieur, se vérifie par un autre canal avant d’être exécutée. Les cas réels et le mode opératoire sont décrits dans notre dossier sur la fraude au président.

Mois 6, faux changement de RIB : ce scénario vise les équipes comptabilité et finance. Un email usurpe un fournisseur connu et annonce de nouvelles coordonnées bancaires. Le module doit déboucher sur une procédure concrète : rappeler le fournisseur sur le numéro déjà connu (jamais celui indiqué dans l’email) avant toute modification. Inscrivez cette règle dans vos processus comptables ; notre procédure anti-fraude au virement fournit un modèle.

Mois 8, période estivale : les remplaçants et les CDD connaissent moins les fournisseurs habituels, accèdent à des outils sans en maîtriser toutes les règles et hésitent à questionner une demande venant d’un supérieur. Prévoyez un brief sécurité ciblé sur ces arrivées temporaires.

Mois 10, quishing : le quishing cache le lien piégé dans un QR code, que l’on scanne avec son téléphone, hors de la protection du poste de travail. L’email semble banal (mise à jour de compte, accès à un document) et les filtres qui analysent les liens ne lisent pas toujours une image. Les réflexes acquis sur les liens classiques ne s’appliquent pas encore : ce mois sert à introduire ce vecteur par un module court et un exemple commenté.

La fréquence idéale

Une simulation par mois est un minimum. En dessous, l’effet pédagogique s’évapore entre deux campagnes. Dans le Phishing by Industry Benchmarking Report 2025 de KnowBe4, le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation.

Deux simulations par mois sont un maximum. Au-delà, la lassitude et le cynisme s’installent : les équipes traitent chaque email inhabituel comme un exercice potentiel, un mauvais réflexe quand les vrais emails de phishing côtoient les simulations.

La difficulté doit progresser : un scénario simple au mois 1, des scénarios plus élaborés (message nominatif, usurpation d’un fournisseur connu) aux mois 10 et 11. Si le niveau reste le même toute l’année, les équipes s’habituent au type d’exercice, alors que le phishing réel, lui, progresse.

Les bilans trimestriels rythment le programme. Les mois 5, 9 et 12 sont consacrés aux bilans, avec une campagne plus légère. Le rapport T1 présenté au mois 5 montre les premières améliorations et justifie la suite du programme. Il contient l’évolution du taux de clic et du taux de signalement, et les actions correctives prioritaires du trimestre suivant. Pour aller plus loin sur le rythme, voir notre article sur la fréquence des simulations.

Les indicateurs à suivre

Sans indicateurs, impossible de piloter. Voici les cinq à suivre sur 12 mois.

Taux de clic : l’indicateur principal. La part des destinataires qui ont cliqué sur le lien ou ouvert la pièce jointe de la simulation. Objectif de fin d’année : sous 5 %.

Taux de signalement : le plus sous-estimé. La part des destinataires qui ont signalé l’email suspect par le canal officiel. Un salarié qui signale protège ses collègues. Objectif : dépasser 25 % en fin d’année.

Délai de clic : la vitesse de réaction. Des clics dans les premières minutes trahissent un comportement impulsif. À mesure que le programme avance, ce délai doit s’allonger.

Taux de complétion des formations : la part des salariés qui ont suivi le module déclenché après un clic. Sous 70 %, il y a un problème de motivation ou de disponibilité, à traiter vite, car le module qui suit un clic arrive au moment où l’on apprend le mieux.

Évolution par département : ne vous contentez pas de la moyenne. Le département le plus exposé en début d’année peut devenir le meilleur, ou rester en retard si ses risques propres ne sont pas traités.

Pour situer vos résultats, notre page sur le taux de clic et l’efficacité de la sensibilisation rassemble les repères publiés.

Communiquer sans punir

La façon dont vous communiquez les résultats décide en grande partie si les salariés jouent le jeu ou contournent les simulations.

La règle absolue : jamais de données nominatives en public. Nommer un salarié qui a cliqué, même indirectement, fait de l’outil de formation un outil de surveillance. L’effet est immédiat : les équipes cherchent à ne pas se faire prendre, et leurs réflexes ne progressent plus. Certains s’entraident même pour éviter les simulations, ce qui fausse les résultats sans rien changer à la sécurité.

Communiquez sur les progrès collectifs, par exemple : « En six mois, notre taux de clic a nettement baissé. Bravo à toute l’équipe. » Ce message motive davantage qu’un classement des départements.

Utilisez les chiffres par département uniquement en positif. Félicitez le département qui signale le plus ; ne publiez jamais le classement des moins bons. Si un département reste en difficulté, traitez-le en tête-à-tête avec son responsable.

Créez des défis internes : quel département atteindra le premier 30 % de signalement ? Une récompense symbolique suffit. Le but est de rendre la vigilance collective, sans surveiller les performances individuelles.

Répondez à chaque signalement. Tout salarié qui signale un email suspect doit recevoir un retour immédiat, même un message automatique bref. Sans retour, les signalements diminuent.

Adapter aux obligations réglementaires

Un programme de sensibilisation bien documenté sur 12 mois sert de preuve sur plusieurs fronts.

NIS2, articles 20 et 21 : vos rapports de campagne trimestriels documentent l’évaluation de l’efficacité des mesures (article 21, paragraphe 2, point f), vos modules de formation la cyberhygiène et la formation à la cybersécurité (point g). L’article 20 exige une formation propre aux dirigeants : leur présenter le bilan trimestriel ne suffit pas. NIS2 impose aussi bien d’autres mesures que la formation (gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, chiffrement).

DORA, pour le secteur financier : le règlement DORA, applicable depuis janvier 2025 aux entités financières de l’Union européenne, impose à l’article 13 des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique pour le personnel. Pour les banques, assureurs et gestionnaires d’actifs concernés, le programme de sensibilisation entre donc dans le périmètre de DORA, et les simulations documentées servent de preuve.

ISO 27001, clause 7.3 et mesure A.6.3 : la clause 7.3 demande que les personnes travaillant sous le contrôle de l’organisation soient conscientes de la politique de sécurité et des conséquences de son non-respect ; la mesure A.6.3 porte sur la sensibilisation, l’éducation et la formation. Douze campagnes annuelles et des modules documentés sont une preuve utilisable devant l’auditeur de certification.

Assurance cyber, renouvellement annuel : les questionnaires de souscription et de renouvellement posent souvent ces questions : « Réalisez-vous des simulations de phishing ? À quelle fréquence ? Disposez-vous de rapports ? » Un programme annuel documenté y répond avec des pièces concrètes.

Sur 12 mois, le programme laisse une trace complète : 12 rapports de campagne, 4 bilans trimestriels, un rapport annuel, les taux de complétion des formations et la preuve de participation de la direction. Ce dossier se présente à un auditeur, à un certificateur ISO ou à un assureur.

Questions fréquentes

Quelle fréquence de simulation de phishing est recommandée ?

Une simulation par mois est un bon minimum. Plus espacées, les campagnes laissent les réflexes s’effacer : dans une étude présentée à SOUPS 2020, l’effet d’une formation anti-phishing restait mesurable après quatre mois et avait disparu après six. Au-delà de deux simulations par mois, la lassitude s’installe.

Quel budget prévoir pour un programme annuel de sensibilisation ?

Le budget dépend surtout de l’outil et du temps interne. Chez nophi.sh, la formule Starter coûte 99 € HT par mois jusqu’à 50 utilisateurs, à prix fixe, avec 20 % de remise en paiement annuel. Côté interne, comptez quelques heures par mois pour la personne qui pilote le programme. Notre comparatif des tarifs du marché reprend les autres grilles publiques. À mettre en regard du coût moyen d’une violation de données en France : 3,59 millions d’euros selon IBM (Cost of a Data Breach Report 2025), un chiffre tiré surtout de grandes organisations.

Faut-il prévenir les employés avant de lancer les simulations ?

Annoncez l’existence du programme en début d’année, sans donner les dates des campagnes. Le Code du travail (article L1222-4) interdit de collecter une information personnelle sur un salarié par un dispositif dont il n’a pas été informé. Cette annonce présente aussi les simulations comme un outil de formation, ce qui rend les équipes plus réceptives aux modules qui suivent un clic.

Que faire si le taux de clic ne baisse pas après trois mois ?

Regardez la répartition par département : la moyenne cache souvent des équipes très différentes. Ciblez les modules supplémentaires sur les groupes qui stagnent, adaptez les scénarios à leur métier (une fausse facture fournisseur parle davantage à la comptabilité qu’une réinitialisation de mot de passe) et prévoyez une session en présentiel pour ceux qui ne progressent pas avec les modules en ligne.

NIS2 exige-t-elle un programme documenté sur 12 mois ?

NIS2 n’impose pas de format précis. L’article 21 range la formation à la cybersécurité parmi les mesures de gestion des risques et demande d’évaluer l’efficacité de ces mesures ; l’article 20 impose une formation aux dirigeants. Un plan annuel documenté, avec ses campagnes et ses bilans trimestriels, est une preuve utile sur ces points. NIS2 exige par ailleurs bien d’autres mesures que la formation.

Pour démarrer

Un programme sur 12 mois change des comportements dans toute l’organisation. Les résultats prennent des mois, mais ils se mesurent et se documentent, ce qu’un filtre email ou un antivirus ne vous donne pas.

Avant la première campagne, vérifiez que votre propre domaine ne peut pas être usurpé pour viser vos équipes : notre test de sécurité email gratuit contrôle SPF, DKIM et DMARC. Lancez ensuite votre mesure de départ dans les 30 jours.

Pour exécuter ce plan sans le piloter à la main, notre plateforme de sensibilisation à la cybersécurité lance la mesure de départ le jour même, assigne un module après chaque clic et relance les tests selon le niveau de risque de chacun. Le rapport d’audit PDF et l’export CSV servent de preuves pour vos audits NIS2, ISO 27001 (A.6.3) ou DORA. Essai gratuit de 14 jours, sans carte bancaire.