NIS 2 arrive : qui devez-vous former, et quelle preuve vous demandera-t-on ?

Oui pour les entités concernées. Le référentiel ReCyF, qui précise la transposition française, demande un programme de sensibilisation à la sécurité numérique de « l’ensemble des utilisateurs » (mesure 4.2), c’est-à-dire le personnel de l’entité et les prestataires agissant pour son compte, avec des actions tout au long de leur présence. Il demande en plus une charte d’usage opposable à chacun (mesure 4.1) et la prise de connaissance des règles de sécurité dès l’arrivée (mesure 4.4).

L’article 20 rend les organes de direction responsables de l’approbation et de la supervision des mesures de cybersécurité, et il impose à leurs membres de suivre une formation leur permettant d’identifier les risques et d’évaluer les pratiques de gestion de ces risques. La transposition française va dans le même sens : le dirigeant exécutif est désigné responsable de la sécurité numérique (mesure 2.A.1) et la sensibilisation doit viser « en particulier les dirigeants ». Concrètement, un dirigeant doit pouvoir montrer qu’il a lui-même été formé, pas seulement qu’il a fait former ses équipes.

ReCyF (Référentiel de cybersécurité France) est le référentiel de l’ANSSI qui décline la transposition de NIS 2 en vingt objectifs de sécurité, chacun assorti de moyens acceptables de conformité. Il est encore publié en version de travail (v2.5 de mars 2026). Son objectif 4, « intégration de la sécurité numérique dans la gestion des ressources humaines », regroupe ce qui concerne la formation : charte d’usage (4.1), sensibilisation de tous les utilisateurs (4.2), clauses de sécurité dans les contrats de travail pour les entités essentielles (4.3), processus arrivées et départs (4.4), formations dédiées pour les fonctions numériques (4.5). Il distingue ce qui est attendu d’une entité importante et d’une entité essentielle.

Le texte ne fixe pas de format, mais la logique de contrôle est connue : montrer qu’un programme existe, qu’il couvre les bonnes populations, et que telle personne l’a suivi à telle date. Une attestation nominative et horodatée par personne, un tableau de complétion exportable et un historique des rappels répondent à ces trois questions. Une feuille d’émargement d’une réunion annuelle répond mal à la troisième, et pas du tout quand il s’agit de prouver la formation du dirigeant lui-même.

La directive est en vigueur depuis 2023 et le délai de transposition est dépassé depuis octobre 2024 ; la France finalise sa loi et le référentiel ReCyF circule déjà en version de travail. Le volet formation est la mesure la moins dépendante du texte final : les populations à former et la nature de la preuve ne changeront pas. Commencer maintenant, c’est arriver au contrôle avec un historique, pas avec une première campagne lancée la veille. C’est aussi la mesure la moins coûteuse de la liste.

Non, et méfiez-vous de qui le promet. NIS 2 couvre une vingtaine d’objectifs, de la cartographie des systèmes à la gestion de crise. Memonico couvre une brique précise : diffuser la sensibilisation et les formations dédiées aux bonnes populations, vérifier la compréhension, et produire la preuve nominative demandée par l’objectif 4. C’est une pièce du dossier, celle que l’on vous demandera en premier parce qu’elle est la plus simple à vérifier.

La directive prévoit des amendes administratives jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, ainsi que la possibilité d’engager la responsabilité des dirigeants. La loi française fixera les montants et les pouvoirs de l’ANSSI. Cette page n’est pas un conseil juridique : vérifiez votre situation auprès d’un conseil.