Ce qui doit être prouvé, ce n'est pas la formation. C'est la compétence.

Trois niveaux souvent confondus

Traiter les trois de la même façon revient à former trop de monde trop superficiellement, et les personnes décisives trop peu.

1. 1
   Sensibilisation pour tousCourt, concret, récurrent : gestion des identifiants, détection du hameçonnage, voies de signalement en cas de doute, usage des appareils hors des locaux. Une demi-heure dont tout le monde a besoin.
2. 2
   Formation métier pour les responsablesPour les personnes aux missions particulières : méthodologie du risque, gestion des preuves, audit interne, traitement des incidents, évaluation des prestataires. Adaptée à chaque référentiel.
3. 3
   Organes de directionExpressément exigée par NIS2 et non délégable. Contenu : obligations de la direction, approbation et surveillance des mesures, responsabilité personnelle, délais de notification, et ce que l'on attend de la direction le jour venu.

Modules par référentiel

• ISO/IEC 27001 — responsables métier. Structure de la norme, domaine d'application, méthodologie du risque, déclaration d'applicabilité, types de preuves, déroulement des étapes 1 et 2.
• ISO 9001 — responsables métier. Orientation processus sans manuel obligatoire, indicateurs et efficacité, actions correctives, audit combiné avec ISO 27001.
• NIS2 — direction et responsables métier. Périmètre et classification, les dix mesures, délais de notification de 24 heures à un mois, approbation par la direction.
• DORA — responsables métier. Les sept domaines, classification des incidents majeurs, registre d'information, programme de tests et quand le TLPT s'applique réellement.
• Tous les référentiels — tous les collaborateurs. Sensibilisation : identifiants, hameçonnage, voies de signalement, travail mobile.

Comment nous formons

1. 1
   Sur site ou en visioconférenceAdapté à votre référentiel et à votre périmètre, avec vos exemples. Une demi-journée ou une journée, selon le niveau.
2. 2
   Avec une preuve qui compte en auditParticipation, contenu, date et intervenant sont documentés. Là où la compétence est en jeu, nous ajoutons une courte vérification — c'est la différence entre une feuille de présence et une preuve.
3. 3
   Séparé de la certificationNous conseillons et formons ; nous ne certifions pas. Selon ISO/IEC 17021 un organisme de certification ne peut pas faire les deux, c'est pourquoi vous choisissez le vôtre librement et indépendamment de nous.