Une formation adossée à votre dispositif, pas à un modèle générique

Ce que la directive attend en matière de formation

NIS 2 traite la compétence comme une mesure de sécurité à part entière. Deux articles la rendent opposable.

• Article 20. Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements. Ils doivent suivre une formation leur permettant d’identifier les risques et d’évaluer les pratiques de gestion. Les entités sont tenues d’offrir régulièrement une formation comparable à leurs employés.
• Article 21, mesure de cyberhygiène et de formation. Parmi les dix catégories de mesures minimales figure explicitement la formation à la cybersécurité, au même rang que la sauvegarde ou l’authentification multifacteur.
• Article 21, mesure de continuité et de gestion de crise. Le dispositif de crise n’est plus une bonne pratique volontaire. Il est attendu, et il devra pouvoir être présenté.
• Référentiel Cyber France, objectif 15. Le ReCyF publié par l’ANSSI traduit les objectifs de la directive en vingt objectifs de sécurité. Le quinzième porte sur les exercices, tests et entraînements. Il attend au minimum un exercice sur table à une fréquence définie par l’entité, et un programme triennal d’entraînement et d’exercice pour les entités essentielles. L’objectif 14 porte sur la réaction aux crises d’origine cyber.
• Article 23. Alerte précoce sous vingt-quatre heures, notification circonstanciée sous soixante-douze heures, rapport final sous un mois. Ces échéances supposent des rôles attribués et des trames prêtes avant l’incident.
• Sanctions. Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions d’euros ou 1,4 % pour une entité importante.

Objectifs de la formation

• Situer les obligations de NIS 2 qui touchent la gestion de crise et comprendre ce qu’elles impliquent concrètement pour votre organisation.
• Savoir qualifier un incident, décider de son caractère notifiable et tenir les délais de l’article 23.
• Faire fonctionner une cellule de crise sur un scénario cyber, en environnement dégradé, quand la messagerie et les annuaires ne répondent plus.
• Articuler la réponse technique, la décision de direction et la communication vers les clients, les salariés et les autorités.
• Répondre à l’obligation de formation des membres des organes de direction et en conserver la preuve.

Publics concernés

• Membres du conseil d’administration, du directoire ou du comité de direction, visés par l’article 20.
• Membres de la cellule de crise décisionnelle et de la cellule opérationnelle.
• Responsables sécurité des systèmes d’information, directeurs des systèmes d’information, responsables de la continuité d’activité.
• Responsables conformité, délégués à la protection des données, directions juridique, communication, ressources humaines et achats.

Prérequis

Aucun prérequis technique n’est exigé. Une connaissance du dispositif de crise de votre organisation et de son schéma d’alerte facilite l’appropriation des mises en situation. Lorsque le dispositif est incomplet ou ancien, la formation permet précisément d’en faire apparaître les manques.

Programme

1. Ouverture et tour de table : ce que NIS 2 change pour votre organisation, à quel titre elle est concernée, ce que les participants ont déjà vécu.
2. Lecture opérationnelle de l’article 21 : ce que recouvre la mesure de continuité et de gestion de crise au-delà des sauvegardes et des plans de reprise.
3. Article 20 en pratique : ce qui relève de la décision de direction pendant une crise cyber et ce qui relève de l’expertise, où passe la frontière et comment elle se tient sous pression.
4. Anatomie des crises cyber : rançongiciel, compromission de messagerie, exfiltration de données, défaillance d’un prestataire numérique. Ce que chacune produit, et en combien de temps.
5. Alerte et qualification : à partir de quel seuil un incident devient notifiable, qui en décide, sur quels critères, et comment la décision est tracée.
6. Construire l’horloge de l’article 23 : préparer l’alerte des vingt-quatre heures, la notification des soixante-douze heures et le rapport final, avec les trames et les circuits de validation associés.
7. Articulation avec les autres régimes de notification : violation de données personnelles et information de l’autorité de protection, obligations sectorielles, obligations contractuelles envers les clients et les assureurs.
8. La cellule de crise en mode cyber : composition, interfaces avec la filière informatique, le prestataire de réponse à incident et l’assureur, fonctionnement quand les outils habituels sont indisponibles ou suspects.
9. Communication de crise : cartographie des parties prenantes, éléments de langage, ce qui peut être dit pendant une investigation en cours, gestion des réseaux sociaux et de la pression médiatique.
10. Mise en situation : exercice sur un scénario bâti à partir de votre activité, avec injections successives et contraintes de temps réelles.
11. Retour d’expérience et plan d’action : ce qui a tenu, ce qui a manqué, ce qui doit être corrigé dans votre dispositif, par ordre de priorité.

Méthodes pédagogiques

La formation alterne apports méthodologiques, analyses de cas réels et mises en situation. Le scénario d’exercice et les cas pratiques sont écrits à partir de votre secteur, de vos dépendances numériques et de votre organisation de crise.

Un ensemble de supports est remis aux participants : fiche de qualification d’un incident, trame d’alerte précoce, trame de notification circonstanciée, fiches réflexes par rôle, éléments de langage et modèles de communiqués.

Modalités d’évaluation

• Évaluation des acquis en amont et en aval de la formation.
• Observation des participants en situation pendant l’exercice.
• Compte rendu d’exercice remis à la direction, avec les axes d’amélioration identifiés.
• Attestation de fin de formation, utile pour documenter le respect de l’article 20.

Organisation et accessibilité

• Format : intra-entreprise, dans vos locaux ou à distance.
• Durée : adaptée au public visé et au périmètre retenu, de la séquence de gouvernance destinée au comité de direction à la session complète prolongée par un exercice.
• Dates : fixées selon vos disponibilités.
• Effectif : sur demande.
• Délai d’accès : sur demande.
• Tarif : sur demande.
• Accessibilité : la formation peut être adaptée aux personnes en situation de handicap. Pour étudier les modalités d’accueil et d’adaptation, contactez-nous.

Ce que nous apportons

Prolonger la démarche

Questions fréquentes