Former à la décision et à la supervision
L’article 20 de la directive traite du rôle des organes de direction dans l’approbation et la supervision des mesures de gestion des risques. Il prévoit aussi une formation de leurs membres. La FAQ ANSSI reprend cette orientation. Une prestation utile doit donc aider les dirigeants à comprendre les risques et à examiner les décisions. Elle ne se limite pas à une liste de mots techniques.
Le programme doit préciser le public : organe de direction, comité exécutif, direction d’une filiale ou responsables de services. La présence d’un RSSI ne remplace pas l’implication des décideurs. Les responsabilités et les sanctions nationales doivent être vérifiées dans les textes applicables avant toute affirmation. Ce guide ne crée ni durée légale universelle ni obligation de certificat commercial.
Définir les objectifs pédagogiques
Demandez ce que les participants devront savoir faire après la session. Ils peuvent apprendre à lire un registre des risques, à demander des preuves sur une mesure ou à arbitrer une dépendance de continuité. Les objectifs doivent être reliés aux décisions réellement prises par le public. Une formation destinée aux administrateurs techniques n’est pas automatiquement adaptée à un conseil d’administration.
La présentation réglementaire distingue la directive, le droit national et les ressources de préparation. ReCyF peut servir de support pour comprendre les domaines de sécurité, mais ne doit pas être présenté comme une certification. Le formateur doit expliquer les limites de ses exemples et éviter d’inventer des sanctions ou des échéances pour rendre la session plus alarmante.
Utiliser des situations métier
Une indisponibilité de service, une dépendance à un fournisseur ou une incertitude sur une notification peuvent servir de cas pédagogiques. Le scénario doit être explicitement fictif ou rattaché à une source officielle. Il ne doit pas être présenté comme un client accompagné par le prestataire sans preuve et autorisation. La discussion porte sur les informations nécessaires et les décisions à prendre.
Dans un exemple pédagogique, la direction reçoit une alerte indiquant une interruption d’accès à une application critique. Elle doit savoir qui qualifie l’impact, quelles activités sont prioritaires et comment les faits sont validés avant une communication. Le résultat attendu est la compréhension du circuit de décision. Les participants ne doivent pas improviser une investigation technique ou annoncer l’absence d’impact sans preuve.
| Objectif | Activité possible | Preuve de travail |
|---|---|---|
| Comprendre le risque | Lecture d’un scénario métier | Questions et impacts identifiés |
| Superviser les mesures | Examen d’un tableau de suivi | Décisions et réserves consignées |
| Arbitrer la continuité | Discussion sur un service prioritaire | Hypothèses validées par les métiers |
| Réagir à une crise | Exercice de décision sur table | Journal et retour d’expérience |
Préparer les supports et les preuves
Demandez le programme, les supports et les modalités d’évaluation. Une feuille de présence établit la participation, pas à elle seule l’acquisition de compétences. Un exercice ou des questions de mise en situation peuvent aider à identifier les points à reprendre. Les documents doivent pouvoir être conservés dans le dossier de préparation avec la date et le public concerné.
La confidentialité doit être prévue si la session utilise des éléments de l’organisation. Les données sensibles sont expurgées. Une session peut être adaptée au contexte sans exposer des détails d’architecture ou des vulnérabilités. Les supports remis ne doivent pas diffuser des informations internes à des participants qui n’en ont pas besoin.
Relier la formation aux instances de gouvernance
La formation devient utile lorsque ses acquis se retrouvent dans les revues de direction. Préparez un tableau de suivi indiquant les décisions en attente, les mesures engagées et les preuves de réalisation. Les dirigeants doivent pouvoir distinguer un projet annoncé d’un contrôle opérationnel. Une synthèse de risques expose les conséquences métier et les dépendances, sans imposer une connaissance technique détaillée.
Après la session, identifiez les sujets nécessitant une décision ou une clarification. Le formateur peut remettre une liste de points à approfondir. Leur traitement relève du programme interne et doit être attribué. Une attestation commerciale ne doit pas être présentée comme une exonération de responsabilité ou une validation de conformité par l’autorité.
Cahier de mission et critères de réception
Dans le cahier de consultation, précisez le public, les décisions concernées et le niveau de connaissance initial. Demandez une proposition de séquence et des exemples de mise en situation. Le devis identifie ce qui est personnalisé, les supports remis et les modalités de questions après la session. Aucun délai ou tarif de partenaire n’est présumé sur ce site.
Vérifiez les compétences mobilisées pour la partie réglementaire et pour la conduite d’exercices. La prestation doit distinguer information générale et avis juridique sur une situation précise. Demandez comment les sources seront actualisées avant la session et comment une évolution nationale sera signalée. Les exemples de sanctions doivent être accompagnés de leur texte, de leur périmètre et de leurs limites.
La réception peut vérifier la réalisation du programme, la participation et la remise des supports. Demandez un retour sur les questions mal comprises et les décisions à reprendre. L’évaluation doit respecter le public et les objectifs convenus. Le dossier de preuve conserve le programme et les résultats utiles ; il ne se limite pas à un logo de formation. Prévoyez comment les nouveaux membres de la direction accèderont à un parcours adapté lorsqu’ils rejoignent l’organisation.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- NIS2 et collectivités : préparer l'analyse du périmètre
- NIS2 et ISO 27001 : réutiliser les acquis sans équivalence automatique
Questions sur ce dossier
Existe-t-il une durée de formation universelle à annoncer ?
Ce site n’en annonce aucune. Le programme doit répondre au public et aux objectifs ; toute durée présentée comme obligatoire doit être rattachée à un texte applicable.
Une attestation démontre-t-elle la conformité NIS2 ?
Non. Elle peut établir une participation selon ses conditions, mais ne remplace ni la gouvernance ni les mesures et leurs preuves.
Faut-il inclure des exercices techniques ?
Le besoin dépend du public. Pour les dirigeants, une mise en situation de décision peut être pertinente. Les manipulations techniques ne sont pas un objectif implicite de la mission.