Les employés reçoivent-ils une formation sur les pratiques de base de la cyberhygiène ?

Hygiène informatique et formations : deux mesures distinctes

Oui, ce champ doit figurer en standard dans les questionnaires sur la sécurité de l'information, car il s'agit de l'une des dix mesures de l'article 21 paragraphe 2 de la directive NIS2. Le point (g) de ce paragraphe mentionne littéralement « les bonnes pratiques en matière d'hygiène informatique et de formation à la cybersécurité ». Il s'agit donc de deux choses à la fois : des bonnes pratiques structurelles (politique de mots de passe, discipline de mise à jour, traitement sécurisé des pièces jointes et liens) et des formations qui sensibilisent les salariés à ces pratiques. Un client qui pose cette question veut généralement savoir s'il existe quelque chose au-delà des mesures techniques — la part humaine de la sécurité.

La preuve généralement demandée est un historique de formation, un module d'apprentissage en ligne avec un pourcentage de réussite, ou un document de politique interne contenant les bonnes pratiques. Si vous ne disposez pas de cela, alors « non » ou « pas encore en place » est une réponse plus honnête que de suggérer une formation qui n'existe pas — le client pose souvent cette question comme complément à des questions sur la politique d'accès, donc vérifiez également si la politique d'accès de l'entreprise est documentée, car une sensibilisation sans politique sous-jacente est rarement convaincante. Tenez également compte de la périodicité : une formation unique à l'embauche est différente d'une répétition annuelle, et cette distinction fait souvent la différence dans l'évaluation par le client.

D'où cela vient : article 21 paragraphe 2, point g

L'article 21 paragraphe 2 de la directive (UE) 2022/2555 énumère dix catégories de mesures que les entités doivent prendre pour sécuriser leurs réseaux et systèmes d'information. Le point (g) mentionne spécifiquement l'hygiène informatique et la formation à la sécurité, ainsi que notamment le point (a) sur la politique d'analyse des risques — voir aussi comment la politique d'analyse des risques est évaluée — et le point (d) sur la continuité d'activité. Cette question ne doit donc pas être considérée isolément dans le reste de la liste : elle fait partie des dix éléments obligatoires qu'un client examine systématiquement.