Rehackt Recrutement

Accueil/Blog/

Une attestation n’a jamais transformé une entreprise.

Eva
Partager
in X

À lire aussi

Suivez Rehackt LinkedIn Instagram

Une entreprise industrielle de 400 personnes, quelque part dans l’Ouest. Un printemps, un courriel piégé, une comptable qui clique, un virement qui part. La banque rattrape l’essentiel. Le directeur général réagit vite : tout le personnel suit un module de sensibilisation en ligne, 45 minutes, quiz final, attestation téléchargeable. Le technicien informatique suit le même module et devient dans la foulée « référent cybersécurité ». Le plan de développement des compétences affiche désormais, à la ligne idoine : formation cyber, réalisée. En comité de direction, on parle de « transformation de la culture sécurité ».

6 mois plus tard, l’assureur demande un plan de réponse à incident, une cartographie des accès et le nom de la personne qui pilote. Le référent a son attestation, ni la méthode, ni le temps, ni l’autorité. L’équipe qui développe le portail client découvre au même moment qu’un service exposé sur internet n’a jamais été pensé pour l’être. C’est alors que l’on appelle un cabinet de recrutement cybersécurité (en l’occurrence le nôtre), avec cette demande : « il nous faut quelqu’un de formé ».

Formés, ils l’étaient tous. Transformés, aucun.

Cet épisode, recomposé à partir de situations que nous rencontrons et dont les détails ont été modifiés, illustre un réflexe devenu quasi universel : faire de la sensibilisation le vecteur de la transformation, puis considérer le sujet comme acquis. Le moment est bien choisi pour en parler, puisque nous sortons du Cybermois. La sensibilisation est une première marche indispensable. Elle n’est pas l’escalier. Développer les compétences en cybersécurité d’une organisation suppose de changer un état d’esprit dans la gouvernance, pour que chacun devienne acteur et moteur, et de professionnaliser deux populations que les campagnes ne touchent qu’en surface : ceux qui construisent les outils de l’entreprise, et ceux dont la sécurité est le métier.

Le Cybermois, un élan devenu indispensable

Commençons par ce qui fonctionne. Le Cybermois 2026, quatorzième édition française du mois européen de la cybersécurité, est porté par Cybermalveillance.gouv.fr avec plus de 2 400 partenaires, plus de 360 événements et une campagne relayée par quelque 15 000 marchands de journaux et 2 500 espaces France Services. Son slogan, « Se cyber protéger, ce n’est pas si bête », mobilise sept personnages animaliers pour toucher un public dont 1 jeune sur 5, selon Jérôme Notin, directeur général du dispositif, n’a jamais entendu parler des cybermenaces. Le programme ne s’arrête pas au grand public : un volet métiers à Rouen le 9 octobre, des rencontres destinées aux entreprises à Montpellier le 13 octobre. Au niveau européen, l’ENISA a placé l’édition sous le thème de la sécurité au travail.

C’est précieux, et c’est exactement le rôle d’une campagne : installer le sujet. Le malentendu commence lorsque les organisations lui confient, par commodité, ce qu’elle n’a jamais prétendu faire.

Sensibiliser n’est pas transformer

La distinction est posée depuis plus de 20 ans par le NIST, l’organisme de normalisation américain. Son guide de 2003 sur les programmes d’apprentissage en sécurité l’énonçait avec une sécheresse réjouissante : « la sensibilisation n’est pas de la formation ; son objet est simplement d’attirer l’attention sur la sécurité ». La formation produit des compétences, l’éducation les intègre dans une pratique. La révision de septembre 2024 conserve cette progression et insiste sur le changement de comportement.

SensibiliserFormerProfessionnaliser
PublicTout le mondeUn rôle précisUne personne, sur une trajectoire
ObjetUn réflexeUne compétenceUn jugement autonome
DuréeMinutes ou heuresJours ou semainesMois, voire années
PreuveUne attestationUn exercice réussiUne décision juste, prise seul, sous contrainte

Même à son propre niveau, celui des réflexes, la sensibilisation bute sur un écart que les chiffres européens rendent spectaculaire. L’Eurobaromètre sur la cybersécurité au travail, publié le 30 septembre 2026 auprès de 25 747 personnes dans les vingt-sept États membres, indique que 60 % des salariés ont suivi une formation à la cybersécurité dans l’année. Et 72 % déclarent savoir reconnaître un courriel suspect, mais 54 % seulement vérifient l’expéditeur avant d’ouvrir un lien. Dix-huit points entre savoir et faire, sur le geste le plus élémentaire de la discipline. Pourtant, 85 % des salariés veulent progresser, et le premier frein cité est le manque de temps.

Le modèle d’évaluation de Donald Kirkpatrick, toujours en usage, distingue 4 niveaux : satisfaction, apprentissage, comportement, résultats pour l’organisation. Les campagnes s’évaluent presque toujours aux deux premiers. Un taux de complétion de 98 % est une excellente nouvelle, surtout pour l’éditeur de la plateforme. Il ne dit rien de ce qui a changé dans l’entreprise.

Premier chantier : la gouvernance, ou passer de la case cochée à l’engagement

Le vrai problème n’est pas la sensibilisation. C’est l’état d’esprit qu’elle laisse derrière elle lorsqu’on s’en contente : la sécurité devient une obligation que l’on subit une fois par an, que l’on valide, puis que l’on range. Les collaborateurs restent spectateurs d’un sujet dont on leur a expliqué qu’il les concernait.

Rendre les équipes actrices et motrices relève de la gouvernance, pas du catalogue de formation. Trois leviers, très concrets.

Des dirigeants qui portent le sujet, pas qui le délèguent.
La directive NIS 2 impose aux membres des organes de direction de suivre une formation et les rend responsables de l’approbation des mesures de gestion des risques ; elle encourage seulement les entités à proposer une formation similaire à leur personnel. Le texte place donc la première exigence là où se prennent les décisions. Sa transposition française n’est toujours pas adoptée (le projet de loi a été retiré de l’ordre du jour de l’Assemblée nationale début octobre 2026), mais la logique est posée : la sécurité se gouverne d’en haut avant de se pratiquer partout.

Des managers qui en font un sujet d’équipe.
Un incident remonté vite, une erreur avouée sans crainte, un projet ralenti parce qu’un risque a été identifié : ce sont des comportements que seul le management de proximité peut encourager. Tant que signaler une anomalie expose davantage que de la taire, aucune campagne ne changera la culture. Les cloisonnements entre directions jouent ici un rôle décisif, comme nous l’avions montré dans pourquoi vos silos organisationnels sabotent votre sécurité.

Des indicateurs de comportement, pas de présence.
Le délai de signalement d’un courriel suspect, la part des projets qui intègrent une analyse de risque dès le cadrage, la participation réelle aux exercices de crise : ces mesures disent si l’organisation bouge. Le taux de complétion dit seulement qu’elle a été informée.

La sensibilisation reste le point de départ. Elle devient utile lorsqu’elle ouvre une conversation que la gouvernance prolonge, au lieu de clore un sujet que personne ne rouvre.

Deuxième chantier : ceux qui construisent les outils

C’est l’angle mort le plus coûteux. Les développeurs, architectes, équipes données et intelligence artificielle, chefs de produit : ceux qui conçoivent les applications, les flux et désormais les agents automatisés de l’entreprise reçoivent, en matière de sécurité, le même module que la comptabilité. Or ce sont eux qui décident, chaque semaine, si une faille naîtra ou non.

Les professionnaliser ne consiste pas à en faire des experts en sécurité, ni à leur ajouter des compétences en cybersécurité hors sol. Il s’agit de leur donner une double lecture.

Le sens du métier de l’entreprise.
Savoir ce qui génère le chiffre d’affaires, quelles données sont critiques, ce que coûterait une journée d’interruption, quelles obligations pèsent sur le client final. Un développeur qui comprend le modèle économique de son employeur arbitre autrement entre rapidité de livraison et robustesse. Il devient force de proposition, au lieu d’exécuter une spécification.

Les enjeux réels de la cybersécurité et de l’intelligence artificielle.
Modéliser les menaces d’une fonctionnalité, gérer les identités et les secrets, anticiper ce qu’un agent automatisé a le droit de faire et avec quels accès. Le rapport SANS-GIAC publié en mars 2026 indique que 74 % des organisations interrogées voient déjà l’intelligence artificielle modifier la taille ou la structure de leurs équipes, mais que 38 % seulement dispensent une formation complète à la sécurité de l’IA. Fortinet, en avril 2026, relève que 63 % des décideurs anticipent un besoin accru de rôles de supervision et de gouvernance de l’IA d’ici trois ans.

C’est cette double lecture qui rend possible la sécurité dès la conception, ce que l’on désigne souvent par l’expression anglaise security by design. Et ce n’est plus seulement une bonne pratique. Le règlement européen sur la cyberrésilience (règlement 2024/2847), entré en vigueur le 10 décembre 2024, exige que les produits comportant des éléments numériques soient conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié aux risques. Ses obligations de signalement des vulnérabilités activement exploitées s’appliquent depuis le 11 septembre 2026, avec une alerte précoce sous 24 heures ; l’application complète est attendue en décembre 2027. Pour tout éditeur ou fabricant, la sécurité dès la conception devient une obligation de résultat portée par les équipes de conception. Nous avions détaillé la méthode dans la sécurité dès la conception, du principe au terrain.

Un module de quarante-cinq minutes n’apprendra jamais à un architecte à refuser une interconnexion mal pensée devant un comité qui attend sa mise en production. Une mise en situation construite sur son propre contexte, si.

Troisième chantier : les praticiens, et le chaînon manquant

Reste la filière cyber elle-même. En tant que cabinet de recrutement cybersécurité, nous avons montré cet été que le déficit n’est plus de bras, mais de compétences. Les rapports du printemps 2026 permettent de situer ce déficit plus précisément.

Selon SANS-GIAC (947 répondants), les postes de débutants ne représentent que 4 % des difficultés de recrutement déclarées, contre 27 % pour les experts de plus de quinze ans d’expérience, et 55 % des recrutements de confirmés prennent 6 mois ou davantage. Seules 24 % des organisations disposent de parcours de carrière clairement définis. Fortinet (2 750 décideurs, trente-deux pays) confirme que 51 % des organisations ont avant tout besoin de compétences confirmées ou expertes, tandis que 92 % se disent prêtes à financer une certification. On paie volontiers le diplôme du chaînon intermédiaire. On organise beaucoup moins son apprentissage réel.

Réserve due au lecteur : ces enquêtes sont déclaratives, majoritairement nord-américaines (16 % seulement des répondants de SANS sont européens) et produites par des acteurs qui vivent de la formation ou de la certification. Elles restent cohérentes entre elles et avec ce que nous observons en France.

Le goulot n’est donc ni à l’entrée ni au sommet, mais au milieu de l’échelle. Le franchir demande des ingrédients connus, aucun ne s’achetant sur étagère : un rôle cible décrit (le cadre européen des compétences en cybersécurité publié par l’ENISA en décrit douze, gratuitement), une pratique délibérée à la limite de son niveau, des situations qui résistent (l’ANSSI publie un guide pour organiser des exercices de crise cyber), un tuteur et du temps protégé, et une preuve observable de progression plutôt qu’une attestation.

Pourquoi on s’arrête à la première marche

Si tout cela est documenté, pourquoi les organisations s’en tiennent-elles si souvent à la sensibilisation ? Parce que les deux démarches n’ont pas la même économie.

La sensibilisation se déploie à grande échelle, pour un coût par tête modeste, avec un tableau de bord flatteur et une case réglementaire cochée. La professionnalisation est individuelle, lente et consommatrice de temps senior, c’est-à-dire de la ressource que tout le monde cherche à recruter. Le serpent se mord la queue : on ne professionnalise pas faute de confirmés, et l’on manque de confirmés faute d’avoir professionnalisé.

La ligne budgétaire entretient la confusion. « Formation cybersécurité » peut désigner un module de 45 minutes pour 800 personnes ou un parcours de 6 mois pour une seule. Le directeur financier voit une ligne, le directeur des ressources humaines une obligation remplie, le directeur général une case cochée. Personne n’a menti, et tout le monde se trompe.

Ajoutons une confusion qu’un cabinet de recrutement cybersécurité rencontre chaque semaine : l’attestation prouve une présence, la certification prouve un savoir à une date donnée, seule la compétence prouve un savoir-faire en situation. SANS relève d’ailleurs que la certification reste la première méthode de validation des compétences (64 %), devant les mises en situation (49 %). On mesure ce qui est facile à mesurer.

Le prisme du recrutement : recruter des passeurs, préparer les arrivants

L’essentiel de la transformation se joue avec les équipes déjà en poste. Le recrutement n’est pas la réponse à tout, et nous le disons volontiers à nos clients. Il a pourtant un rôle précis à jouer, selon votre point de départ.

Aucune fonction sécurité constituée.
Ne prenez pas votre campagne de sensibilisation pour une compétence interne. Votre premier recrutement doit poser le socle et savoir le transmettre, aux équipes de direction comme aux équipes techniques.

Une équipe existe, mais l’organisation ne suit pas.
Le manque est rarement technique. Il porte sur des profils capables de faire le pont entre le métier et la sécurité : un architecte qui sait parler budget, un référent qui sait animer des développeurs, un responsable qui sait mettre la sécurité à l’ordre du jour d’un comité projet. Ces passeurs démultiplient la montée en compétences de ceux qui sont déjà là.

Une fonction structurée. Faites de la capacité pédagogique un critère de sélection à part entière. Un expert brillant qui ne sait pas expliquer reste un expert. Il ne devient pas une équipe.

Dans tous les cas, nous évaluons ce que les candidats savent démontrer plutôt que ce qu’ils déclarent ; les moments d’entretien qui décident vraiment d’un recrutement reposent sur ce principe. Et nous exploitons le temps le plus mal utilisé du recrutement, celui qui sépare la signature de la prise de poste. Nous construisons pour le candidat retenu un parcours de préintégration sur mesure : nous partons de sa matrice de compétences à date et des attendus réels du poste, puis nous bâtissons des mises en situation interactives fondées sur le contexte de l’entreprise (son secteur, son modèle économique, son jargon, ses arbitrages typiques). Il arrive le premier jour en comprenant déjà le métier qu’il va protéger. Ces parcours s’appuient sur le savoir-faire pédagogique de notre Académie Cyber.

L’avis de Rehackt

La sensibilisation est indispensable, et elle est innocente.
Elle ne prétend pas transformer une entreprise. C’est nous qui, par commodité, lui faisons porter cette ambition.

Une culture ne se télécharge pas.
Elle se gouverne. Tant que la sécurité restera une obligation annuelle plutôt qu’un réflexe managérial, les collaborateurs resteront spectateurs.

Ceux qui construisent les outils sont les premiers à former, pas les derniers.
Un développeur qui comprend le métier de son entreprise et les risques de ce qu’il livre vaut toutes les campagnes. Le règlement européen sur la cyberrésilience vient d’ailleurs de transformer cette évidence en obligation.

Le vrai déficit est au milieu de l’échelle.
On trouve des débutants, on s’arrache les experts, et presque personne n’organise le passage de l’un à l’autre.

Le Cybermois a fait sa part. Aux organisations de faire la leur.
Se protéger n’est pas si bête, disent les animaux de la campagne. Protéger les autres, et concevoir des outils qui n’ont pas besoin d’être protégés après coup, ne s’improvise pas. Octobre ouvre la conversation ; les 11 autres mois servent à transformer.

Ce qui est établi, ce qui relève de notre lecture

Faits vérifiés et sourcés.
Le programme et les chiffres du Cybermois 2026. L’Eurobaromètre du 30 septembre 2026. La distinction du NIST (version de 2003 citée textuellement, révision de 2024). Les rapports SANS-GIAC et Fortinet de 2026. Les articles 20 et 21 de NIS 2 et l’état de la transposition au 11 octobre 2026. Le calendrier du règlement européen sur la cyberrésilience. Le cadre européen des compétences de l’ENISA et le guide d’exercice de crise de l’ANSSI.

Données à lire avec prudence.
Les enquêtes SANS et Fortinet, déclaratives et produites par des organismes qui vendent formation ou certification. L’Eurobaromètre, qui recueille des déclarations et non des comportements observés.

Notre lecture, assumée comme telle.
Les trois chantiers (gouvernance, bâtisseurs, praticiens) et les indicateurs de comportement proposés. Le goulot au milieu de l’échelle, déduit du croisement des données et de nos mandats. La lecture économique de la confusion budgétaire. L’anecdote d’ouverture, recomposée et modifiée. Le modèle de Kirkpatrick est cité pour sa valeur explicative, non comme démonstration chiffrée.

Zones d’incertitude.
Aucune donnée publique française ne mesure la part des budgets consacrée à la sensibilisation plutôt qu’à la professionnalisation, ni le niveau de formation à la sécurité des équipes de développement. La loi de transposition de NIS 2 pourrait modifier ce cadre sous peu.

Pour aller plus loin

Si vous dirigez l’entreprise, en tenez les comptes ou en portez les ressources humaines, posez-vous trois questions. Qui, dans votre comité de direction, porte réellement le sujet ? Vos équipes de conception comprennent-elles à la fois votre métier et les risques de ce qu’elles livrent ? Et dans votre dernier budget, combien est allé à faire savoir, combien à faire savoir-faire ? Nous avions montré que la sensibilisation n’admet plus guère d’excuses. La transformation n’en admet pas davantage.

Rehackt est un cabinet de recrutement cybersécurité qui travaille à façon, de Paris à la Normandie, Bretagne comprise. Nous cadrons le besoin à partir du rôle réel, nous recrutons les passeurs qui feront progresser vos équipes, et nous préparons la personne retenue à votre contexte avant son premier jour. Une heure de cadrage suffit généralement à savoir par quel chantier commencer pour faire progresser vos compétences en cybersécurité.

Sources

Un recrutement cyber à confier ? On en parle directement avec vous.

Confier un recrutement →