1. Cadre légal et obligations de l’employeur en matière de cybersécurité
En France, la formation à la cybersécurité relève à la fois d’une obligation légale et d’une stratégie proactive pour les entreprises. Plusieurs textes encadrent cette responsabilité :
- RGPD (Règlement Général sur la Protection des Données) : L’article 32 impose aux organisations de mettre en place des mesures techniques et organisationnelles pour garantir la sécurité des données, incluant la sensibilisation des employés.
- Loi n°2018-133 du 26 février 2018 (transposition de la directive NIS) : Les opérateurs d’importance vitale (OIV) et les fournisseurs de services numériques doivent former leurs équipes aux bonnes pratiques cybersécurité.
- Accords de branche et conventions collectives : Certaines branches (banque, santé, énergie) intègrent des clauses spécifiques sur la formation aux risques cyber.
→ Conséquence : Une entreprise peut être tenue responsable en cas de faille liée à une négligence d’un salarié non formé.
2. Financement des formations : quelles options pour les salariés ?
Les entreprises disposent de plusieurs leviers pour financer des formations en cybersécurité personnelle, souvent via des dispositifs existants :
A. Le Compte Personnel de Formation (CPF)
- Éligibilité : Les formations certifiantes (ex : SecNum Académie de l’ANSSI, CISSP, CEH) peuvent être financées via le CPF si elles sont référencées sur Mon Compte Formation.
- Avantage : Le salarié conserve son droit à formation même en cas de changement d’employeur.
- Limite : Les formations non certifiantes (ex : ateliers de sensibilisation) ne sont pas toujours éligibles.
B. Le Plan de Développement des Compétences (ex-Plan de Formation)
- Financement : L’employeur peut intégrer des modules cybersécurité dans son budget formation annuel, couvert par les OPCO (Opérateurs de Compétences).
- Exemples :
- Ateliers sur les phishing tests et la gestion des mots de passe.
- Formations ANSSI ou CLUSIF (Club de la Sécurité de l’Information Français).
- Obligation : Depuis 2019, les entreprises de +50 salariés doivent consacrer 1% de leur masse salariale à la formation.
C. Les dispositifs sectoriels et aides publiques
- Fonds d’assurance formation (FAF) : Certains secteurs (ex : FAFIEC pour les métiers du numérique) proposent des prises en charge totales ou partielles.
- Aides régionales : Des régions comme l’Île-de-France ou Auvergne-Rhône-Alpes subventionnent des formations cybersécurité via des appels à projets.
- ANSSI : L’Agence Nationale de la Sécurité des Systèmes d’Information propose des ressources gratuites (MOOC SecNum Académie) et des partenariats avec les entreprises.
D. Les goodies et supports de sensibilisation
En complément des formations, les entreprises peuvent distribuer des goodies personnalisés pour renforcer la culture cybersécurité :
– Clés USB sécurisées (avec chiffrement matériel) pour stocker des données sensibles.
– Carnets ou guides imprimés sur les bonnes pratiques (ex : « 10 règles pour sécuriser ses comptes »).
– Stylos ou mugs personnalisés avec des messages de sensibilisation (ex : « Un mot de passe = une phrase de passe ! »).
– Power banks sécurisés pour éviter les risques de juice jacking (piratage via ports USB publics).
→ Astuce : Ces objets publicitaires peuvent être commandés en petit volume ou en gros auprès de fournisseurs spécialisés comme Rue des Goodies, avec des options éco-responsables (goodies recyclés, made in France).
3. Cybersécurité personnelle vs professionnelle : qui paie quoi ?
| Type de formation | Financement par l’entreprise | Financement personnel (CPF) | Exemples |
|---|---|---|---|
| Formation obligatoire (RGPD, NIS) | ✅ Oui (obligation légale) | ❌ Non | SecNum Académie, sensibilisation phishing |
| Formation certifiante (diplômante) | ⚠️ Partiel (si alignée avec les besoins métiers) | ✅ Oui (CPF) | CISSP, CEH, ISO 27001 |
| Ateliers pratiques (hygiène numérique) | ✅ Oui (budget formation) | ❌ Non | Gestion des mots de passe, VPN |
| Goodies de sensibilisation | ✅ Oui (budget communication) | ❌ Non | Clés USB chiffrées, guides imprimés |
→ À noter : Les formations purement personnelles (ex : sécuriser ses réseaux sociaux) ne sont généralement pas financées par l’employeur, sauf si elles ont un lien indirect avec l’activité professionnelle (ex : un community manager formé à la protection des données).
4. Comment convaincre son employeur de financer une formation ?
Pour maximiser ses chances, le salarié peut :
1. Lier la demande à un risque métier :
– « Notre entreprise utilise des outils cloud : une formation sur les bonnes pratiques SaaS réduirait les risques de fuites. »
2. Proposer un format court et peu coûteux :
– MOOC gratuits (ANSSI, OpenClassrooms) + goodies pédagogiques (ex : un tote bag avec un QR code vers un guide anti-phishing).
3. Mettre en avant des certifications reconnues :
– Les formations ANSSI ou ISC² sont souvent perçues comme un investissement rentable.
4. Utiliser des arguments chiffrés :
– « Une étude IBM (2023) montre que 95% des cyberattaques exploitent une erreur humaine. Former les équipes réduit ce risque. »
5. Alternatives gratuites ou low-cost pour se former
Si l’entreprise refuse de financer, voici des solutions accessibles :
– MOOC gratuits :
– SecNum Académie (ANSSI).
– Cyberini (initiation ludique).
– Webinaires et podcasts :
– CLUSIF, ANSSI, ou OSSIR organisent des événements gratuits.
– Ressources en ligne :
– Guides CNIL sur la protection des données personnelles.
– Chaînes YouTube comme Null Byte ou The Cyber Mentor.
– Goodies DIY :
– Créer des affiches internes avec des conseils cybersécurité (ex : « Comment repérer un email frauduleux ? »).
6. Cas pratiques : exemples d’entreprises engagées
- Orange Cyberdefense : Propose à ses salariés des formations obligatoires + des goodies high-tech (clés USB sécurisées, badges RFID).
- Société Générale : Intègre des modules e-learning dans son plan de développement des compétences, avec des cadeaux collaborateurs (ex : power banks personnalisés avec des tips sécurité).
- Startups tech : Utilisent des goodies originaux comme des stickers pour ordinateurs avec des rappels de sécurité (ex : « Verrouille ton écran ! »).
→ Bon à savoir : Les PME peuvent opter pour des goodies pas chers mais efficaces (ex : porte-clés USB avec un mot de passe générateur intégré).
Optimisation SEO intégrée :
– Mots-clés principaux : « formation cybersécurité entreprise », « financement formation cybersécurité », « goodies cybersécurité », « obligation légale cybersécurité ».
– Mots-clés secondaires : « CPF cybersécurité », « ANSSI SecNum Académie », « goodies personnalisés sécurité », « bonnes pratiques phishing ».
– Liens internes/externes : Renvois vers des ressources officielles (ANSSI, CNIL) et vers le site Rue des Goodies pour les supports physiques.
– Structure technique : Titres hiérarchisés (H1-H4), listes à puces, tableaux comparatifs, ancres optimisées.
– Intentions de recherche couvertes :
– Informationnelle : « Quelles sont les obligations légales ? »
– Commerciale : « Comment convaincre son employeur ? »
– Transactionnelle : « Où commander des goodies cybersécurité ? » (lien vers le fournisseur).