NIS2 : 5 populations à sensibiliser, 5 réponses à mettre en place
La directive NIS2 change profondément la manière d’aborder la sensibilisation à la cybersécurité.
Pendant longtemps, de nombreuses organisations se sont contentées d’une campagne annuelle de sensibilisation, souvent identique pour tous les collaborateurs, complétée par quelques simulations de phishing. Cette approche répondait avant tout à un objectif pédagogique.
Avec NIS2, le sujet devient plus structurant.
La sensibilisation s’inscrit désormais dans un dispositif global de gestion des risques cyber. Elle doit concerner les collaborateurs, mais aussi les dirigeants, les nouveaux arrivants, les profils les plus sensibles et, selon les cas, certains prestataires et tiers disposant d’un accès au système d’information.
L’enjeu pour les RSSI et les DSI n’est donc plus seulement de « faire de la sensibilisation », mais de construire un programme cohérent, traçable, adapté aux risques et capable de démontrer son efficacité.
C’est dans cette logique que notre partenaire CALIDRA propose une approche fondée sur la personnalisation des parcours, l’adaptation au niveau de maturité, les simulations de phishing ciblées et le suivi dans le temps.
La solution repose notamment sur un audit initial, un programme annuel personnalisé, des modules de sensibilisation, des campagnes de phishing adaptées aux profils et un suivi régulier des résultats.
Pourquoi NIS2 renforce fortement le sujet de la sensibilisation
NIS2 ne traite pas uniquement de mesures techniques.
La directive impose aux organisations concernées de mettre en place des mesures de gestion des risques portant notamment sur les pratiques de cyberhygiène, la formation à la cybersécurité, la sécurité des ressources humaines, les contrôles d’accès et la sécurité de la chaîne d’approvisionnement.
La logique est claire : une organisation ne peut pas être considérée comme correctement protégée si ses utilisateurs, ses dirigeants ou ses prestataires ne comprennent pas les risques auxquels ils sont confrontés.
Pour être cohérent avec NIS2, un programme de sensibilisation doit donc être pensé comme un processus continu, et non comme une action ponctuelle.
Il doit également être adapté aux profils.
Un administrateur système n’est pas exposé aux mêmes menaces qu’un collaborateur RH. Un dirigeant n’a pas les mêmes responsabilités qu’un utilisateur bureautique. Un prestataire disposant d’un accès privilégié ne doit pas être traité comme un intervenant sans accès au SI.
C’est pourquoi une approche par population devient particulièrement pertinente.
1. Les collaborateurs : construire une sensibilisation régulière et adaptée
La première population reste naturellement l’ensemble des collaborateurs.
L’objectif est de développer un socle commun de bonnes pratiques cyber, mais sans tomber dans une approche trop générique.
Les thèmes peuvent couvrir les fondamentaux : mots de passe, phishing, ingénierie sociale, sécurité de la messagerie, protection des informations, bonnes pratiques liées au poste de travail, télétravail, utilisation des services numériques ou encore signalement des événements suspects.
Mais dans une logique NIS2, il est surtout important d’inscrire cette sensibilisation dans la durée.
CALIDRA propose précisément un programme annuel combinant des modules de sensibilisation, des exercices pratiques et des simulations de phishing, avec un suivi de l’évolution des connaissances.
La plateforme permet également de suivre la progression des utilisateurs à travers les modules e-learning, le cyberscore, les scores globaux et les résultats des campagnes de phishing.
L’intérêt pour le RSSI est double.
D’une part, il dispose d’un programme structuré et répétable.
D’autre part, il peut démontrer que la sensibilisation est effectivement suivie et mesurer son efficacité dans le temps.
2. Les nouveaux arrivants : intégrer la cybersécurité dès l’onboarding
Le deuxième enjeu concerne les nouveaux collaborateurs.
Attendre plusieurs mois avant de sensibiliser un nouvel arrivant crée une période de vulnérabilité inutile.
Dans une logique NIS2, la cybersécurité doit être intégrée dès l’entrée dans l’organisation.
Le parcours peut commencer par la présentation de la charte informatique, des principales politiques de sécurité, des règles d’usage du système d’information et des procédures internes.
CALIDRA prévoit justement un parcours d’onboarding structuré autour de plusieurs éléments : présentation des chartes et politiques, vidéos explicatives, QCM de validation des connaissances et possibilité de centraliser la signature des documents.
L’organisation peut ainsi mettre en place un principe simple :
pas d’accès définitif au SI sans validation préalable du parcours de sensibilisation.
Cela permet au RSSI de disposer d’une meilleure traçabilité et d’intégrer la sensibilisation directement au processus d’accueil.
3. Les profils sensibles : renforcer la sensibilisation selon le niveau de risque
Toutes les populations n’ont pas le même niveau de criticité.
Certains profils sont particulièrement exposés ou disposent de droits plus sensibles : administrateurs, équipes IT, finance, RH, direction, développeurs, personnes disposant d’accès privilégiés ou utilisateurs manipulant des données critiques.
Pour ces profils, une sensibilisation générique est rarement suffisante.
CALIDRA a justement construit son approche autour de la différenciation des profils.
La solution permet d’adapter le contenu, la durée, la fréquence des modules et les techniques d’attaque simulées en fonction de la criticité du profil et de son niveau de maturité.
Cela permet de concentrer l’effort de sensibilisation là où le risque est réellement le plus important.
Un administrateur peut par exemple recevoir des contenus portant sur les accès privilégiés, les attaques ciblées, les ransomwares ou les techniques d’ingénierie sociale avancées.
Un collaborateur de la direction financière peut être davantage sensibilisé à la fraude au président ou aux demandes de virement frauduleuses.
Un collaborateur RH pourra être davantage exposé aux scénarios liés aux CV, aux pièces jointes, aux données personnelles ou aux faux candidats.
Cette logique est beaucoup plus proche d’une approche de gestion du risque que d’une simple formation uniforme.
4. Les prestataires et tiers : sensibiliser avant d’attribuer certains accès
NIS2 accorde également une importance forte à la sécurité de la chaîne d’approvisionnement.
Pour les RSSI et les DSI, cela implique de ne plus considérer uniquement les salariés internes.
Les prestataires, fournisseurs, consultants, infogérants ou partenaires disposant d’un accès au SI peuvent représenter une surface de risque importante.
Une approche particulièrement efficace consiste donc à intégrer la sensibilisation dans le processus d’attribution des accès.
Avant qu’un prestataire puisse accéder à certaines ressources, il peut être demandé de :
prendre connaissance des règles de sécurité applicables ;
suivre un module de sensibilisation spécifique ;
valider un QCM ;
accepter les engagements de sécurité ;
prendre connaissance des clauses SSI applicables.
CALIDRA dispose déjà de briques adaptées à ce type de logique, notamment autour de la présentation des chartes, de la validation des connaissances, de la signature de documents et de la gestion des parcours d’onboarding et d’outboarding.
Cela permet de transformer la sensibilisation en véritable prérequis opérationnel à l’accès au SI.
5. Les dirigeants : un parcours NIS2 spécifique pour comprendre leurs responsabilités
La cinquième population est probablement la plus importante dans le cadre de NIS2 : les dirigeants.
NIS2 renforce fortement la responsabilité des organes de direction.
Les dirigeants doivent comprendre les principaux risques cyber auxquels l’organisation est confrontée, être en capacité de superviser les mesures de sécurité et disposer d’une compréhension suffisante des impacts d’un incident majeur.
La sensibilisation du management ne doit donc pas être une simple reprise du parcours destiné aux collaborateurs.
Elle doit être construite spécifiquement autour des enjeux de gouvernance.
Un parcours dédié peut notamment traiter :
- la responsabilité des dirigeants dans NIS2 ;
- les principes de gouvernance cyber ;
- la compréhension des principaux risques ;
- la supervision des mesures de sécurité ;
- la gestion des incidents majeurs ;
- la gestion de crise ;
- les arbitrages entre risque, budget et niveau de sécurité ;
- la capacité à suivre les indicateurs de cybersécurité.
CALIDRA intègre déjà une approche dédiée au top management, avec notamment l’analyse des conséquences des risques, la présentation de différentes stratégies de sécurisation et des échanges permettant à la direction de prendre les décisions nécessaires.
L’objectif n’est donc pas simplement de former les dirigeants à reconnaître un email de phishing.
Il s’agit de leur donner les éléments nécessaires pour comprendre leur rôle dans la gouvernance cyber de l’organisation.
Le phishing : un outil de mesure autant qu’un outil de sensibilisation
Le phishing occupe une place importante dans ce dispositif.
Il ne doit pas être présenté comme une finalité.
Une campagne de phishing isolée apporte peu de valeur si elle n’est pas intégrée à un programme de sensibilisation plus large.
La logique la plus pertinente consiste à utiliser les simulations comme un outil d’évaluation.
CALIDRA adapte ses campagnes selon la criticité des profils, leur niveau de sensibilisation, la sophistication nécessaire et le contexte professionnel.
Les campagnes peuvent être coordonnées avec les modules de sensibilisation afin qu’un utilisateur ayant échoué à une simulation soit immédiatement orienté vers un contenu de rappel adapté.
On passe ainsi d’une logique :
« campagne de phishing annuelle »
à une logique :
« tester, mesurer, former, retester ».
C’est cette boucle qui permet de démontrer l’amélioration du niveau de maturité.
Une approche personnalisée plutôt qu’un programme uniforme
L’un des principaux défauts des programmes classiques de sensibilisation est leur manque de personnalisation.
Tous les collaborateurs reçoivent souvent les mêmes modules, à la même fréquence, quel que soit leur poste ou leur exposition au risque.
CALIDRA adopte une logique différente.
La solution permet d’adapter les contenus aux différents profils, mais aussi au contexte propre de l’organisation. Les contenus peuvent intégrer des situations métier, des sujets sensibles, des contextes organisationnels particuliers et des scénarios réalistes.
L’approche permet également d’ajuster la fréquence et le niveau de sophistication des campagnes.
Un utilisateur mature et peu exposé n’a donc pas nécessairement besoin du même programme qu’un utilisateur à haut privilège ayant déjà démontré une fragilité face au phishing.
Un programme annuel piloté par la maturité
La logique CALIDRA commence par un diagnostic initial.
L’objectif est d’identifier le niveau de maturité de départ, les pratiques existantes et les populations les plus sensibles.
À partir de cette analyse, un programme annuel est construit.
Ce programme peut intégrer des modules de sensibilisation, des campagnes de phishing, du retargeting, des actions spécifiques par population et un suivi régulier.
Le service est managé par un consultant CALIDRA, qui accompagne le client dans la définition du programme, l’analyse des résultats et l’ajustement des contenus.
Cela permet au RSSI de ne pas avoir à administrer seul l’ensemble du dispositif.
Mesurer pour démontrer l’efficacité
Un programme NIS2 ne doit pas uniquement produire des formations.
Il doit produire des indicateurs.
Parmi les éléments pouvant être suivis :
- le taux de complétion des modules ;
- les scores obtenus ;
- le niveau de maturité par population ;
- le taux d’ouverture des campagnes de phishing ;
- le taux de clic ;
- le taux de saisie d’informations ;
- le taux de signalement ;
- l’évolution des résultats dans le temps ;
- les populations nécessitant un renforcement.
CALIDRA met à disposition des outils de suivi permettant notamment de visualiser les résultats des campagnes et les progrès des utilisateurs.
La plateforme prévoit également des bilans analytiques destinés aux équipes dirigeantes, RH ou formation.
Pour un RSSI, cette capacité à produire des indicateurs est essentielle.
Elle permet de passer d’une obligation de moyens à une logique beaucoup plus pilotable.
NIS2 : 5 populations, 5 réponses
Pour simplifier la démarche, le programme peut être structuré autour de cinq populations.
- Collaborateurs : mettre en place un programme annuel de sensibilisation avec des modules réguliers, des évaluations et des campagnes de phishing.
- Nouveaux arrivants : intégrer un parcours cyber obligatoire dès l’onboarding, avec prise de connaissance des règles et validation des acquis.
- Profils sensibles : renforcer les parcours selon le niveau de risque, le métier, la criticité des accès et le niveau de maturité.
- Prestataires : intégrer la sensibilisation et l’acceptation des règles SSI avant l’attribution de certains accès.
- Dirigeants : mettre en place un parcours spécifique sur NIS2, les risques cyber, la gouvernance et leurs responsabilités.
Cette approche permet de rendre la sensibilisation beaucoup plus cohérente avec une démarche NIS2.
Comment CALIDRA peut accompagner cette démarche
Notre partenaire CALIDRA peut servir de plateforme opérationnelle pour structurer ces différents parcours.
La solution associe une plateforme SaaS et un accompagnement managé avec une logique fortement personnalisée.
Elle permet notamment de mettre en place des contenus personnalisés par structure, des programmes adaptés aux profils utilisateurs, des simulations de phishing, des évaluations, des indicateurs de suivi et un accompagnement tout au long du programme.
La philosophie de la solution est de ne pas considérer la sensibilisation comme une simple bibliothèque de vidéos.
CALIDRA combine trois dimensions complémentaires :
- apprendre, avec des modules courts et personnalisés ;
- s’entraîner, grâce à des simulations adaptées aux métiers ;
- mesurer, grâce aux scores, campagnes et indicateurs de progression.
Conclusion : avec NIS2, la sensibilisation devient un dispositif de gestion du risque humain
NIS2 constitue une opportunité pour les RSSI et DSI de revoir en profondeur leur stratégie de sensibilisation.
La question n’est plus seulement :
« Avons-nous formé nos collaborateurs cette année ? »
Elle devient :
« Avons-nous identifié les populations à risque, adapté les parcours, formé les dirigeants, intégré les nouveaux arrivants, pris en compte les prestataires et mesuré l’efficacité de notre dispositif ? »
Cette approche permet de replacer le facteur humain dans une logique de gestion du risque et d’amélioration continue.
Notre partenaire CALIDRA peut accompagner cette démarche en mettant à disposition une solution de sensibilisation et de phishing personnalisée, adaptée aux profils et pilotée dans le temps.
Pour les organisations engagées dans leur trajectoire de conformité NIS2, ce type de dispositif permet de transformer une obligation réglementaire en véritable programme de réduction du risque cyber.
Besoin d’en savoir plus ou de voir CALIDRA en démonstration ?
Pour toute question sur la mise en place d’un programme de sensibilisation et de phishing dans le cadre de NIS2, ou pour organiser une démonstration de la solution de notre partenaire CALIDRA, vous pouvez contacter nos équipes à l’adresse suivante : contact@ornisec.com.