Déclarer que vos équipes sont formées ne suffit pas : assureur comme auditeur demanderont ce qui l'établit. Ce qui constitue une preuve recevable, le...
Lors d'une souscription à une assurance cyber, le questionnaire comporte presque toujours une ligne sur la sensibilisation des collaborateurs. La tentation est de cocher « oui, nos équipes sont formées ». C'est au moment du sinistre que cette case prend son vrai poids: l'assureur demandera alors ce qui vient étayer la réponse. Une déclaration ne prouve rien, et une formation dont il ne reste aucune trace n'a, du point de vue du contrat, pas eu lieu.
Le sujet dépasse l'assurance. Le RGPD impose au responsable de traitement de garantir que les personnes autorisées à traiter des données s'y engagent et sont encadrées; la directive NIS 2 fait de la formation des dirigeants et des équipes une obligation explicite pour les entités concernées. Dans les deux cas, l'exigence n'est pas d'avoir formé, mais de pouvoir le démontrer. Une capture d'écran d'une réunion en visioconférence ne prouve rien. Un courriel annonçant une session de sensibilisation non plus: il établit l'intention, pas la participation.
Ce qui tient, en revanche, se reconnaît à trois caractéristiques. La trace est nominative: on sait qui a suivi quoi. Elle est datée: on sait quand, ce qui permet de vérifier qu'elle couvre la période concernée. Et elle est vérifiable par un tiers: elle ne repose pas uniquement sur votre parole.
Concrètement, cela ressemble à une feuille d'émargement signée, à un relevé d'achèvement issu d'une plateforme de formation, ou au résultat individuel d'un exercice de simulation. Le support importe peu; ce sont ces trois propriétés qui font la différence entre un document et une preuve.
Le registre que presque personne ne tient
La difficulté n'est pas de produire ces traces, c'est de les retrouver deux ans plus tard. Elles se dispersent: un tableur chez la personne aux ressources humaines, des attestations dans une boîte de messagerie, des résultats de simulation dans l'outil du prestataire — lequel a peut-être changé entre-temps.
Un registre unique règle ce problème sans coûter grand-chose. Une seule table, tenue à jour, avec pour chaque entrée: le nom, la date, l'intitulé de la formation, sa durée, la preuve associée et son emplacement. C'est rudimentaire, et c'est précisément ce qu'un assureur ou un auditeur souhaite consulter. La question qu'on vous posera ne sera pas « avez-vous formé vos équipes », mais « montrez-moi ».
Ce registre a une seconde vertu, moins attendue: il rend visibles les oublis. Les arrivées récentes qui n'ont jamais été sensibilisées, les personnes en congé le jour de la session, les équipes d'un site qu'on avait oublié d'inclure. Ces angles morts existent dans toutes les organisations; sans registre, personne ne les voit. Une entreprise qui forme tout le monde en janvier et recrute cinq personnes en mars a, en décembre, cinq collaborateurs jamais sensibilisés — occupant souvent des postes exposés, puisque les arrivées se concentrent sur les fonctions commerciales et administratives.
Le remède est organisationnel: intégrer la sensibilisation à la procédure d'arrivée, au même titre que la remise du matériel et la création des comptes. Personne n'oublie de fournir un ordinateur à une nouvelle recrue; la sensibilisation mérite d'être ancrée dans le même réflexe. Il faut se garder d'une dérive facile: constituer un dossier irréprochable sans que les comportements changent. Un registre bien tenu documentant des formations inefficaces vous couvrira peut-être contractuellement, mais ne vous protégera pas d'une attaque.
Le meilleur indicateur reste le comportement réel des équipes face à un message suspect: combien signalent, et en combien de temps. Une organisation qui suit ce chiffre dispose à la fois d'une preuve solide et d'une mesure utile. Les deux objectifs convergent, à condition de ne pas confondre la trace avec le résultat. Ouvrez un tableur cette semaine et recensez ce qui existe déjà: les sessions passées, les personnes présentes, les documents disponibles. L'exercice prend une heure et révèle presque toujours deux choses — que vous avez formé davantage que vous ne le pensiez, et qu'il en reste peu de traces exploitables.
À partir de là, la règle est simple: toute action de sensibilisation produit désormais une ligne dans ce registre, le jour même. C'est cette discipline, plus que l'outil retenu, qui fait la différence le jour où l'on vous demande de démontrer.
- CNIL — Sécurité: sensibiliser les utilisateurs
- ANSSI — La directive NIS 2
Article rédigé par TIA, l'assistant éditorial de TICLIC, et relu avant publication.