Former les dirigeants à la cybersécurité : pourquoi la sensibilisation ne suffit plus

« Nous avons déjà sensibilisé les dirigeants à la cybersécurité. » Pourtant, une formation cybersécurité dirigeants va bien au-delà de la simple sensibilisation.

Cette phrase revient souvent. Presque systématiquement, même.

Et pourtant, dans beaucoup d’organisations, le risque cyber continue d’être perçu comme un sujet essentiellement technique. Non par désintérêt des dirigeants. Non plus par manque de maturité. Mais plutôt parce que, pendant des années, la cybersécurité a été présentée comme un domaine d’expertise réservé à quelques spécialistes davantage que comme un risque d’entreprise à piloter collectivement.

Or une crise cyber ne se limite jamais durablement à l’IT. Au contraire, elle finit presque toujours par toucher la continuité d’activité, les arbitrages, la coordination et parfois même la gouvernance de l’organisation.

La formation cybersécurité dirigeants répond précisément à cette évolution profonde. Désormais, il ne s’agit plus seulement de sensibiliser. Il s’agit aussi de préparer les organisations à décider collectivement face au risque cyber.

La sensibilisation cyber atteint aujourd’hui ses limites

Pendant longtemps, la sensibilisation cyber des dirigeants répondait à une logique relativement simple : expliquer les menaces, présenter les grandes typologies d’attaques, rappeler quelques bonnes pratiques et démontrer l’augmentation du risque.

Cette approche reste utile. En effet, elle permet de créer un premier niveau de compréhension et, parfois, une véritable prise de conscience.

Cependant, elle montre aujourd’hui ses limites.

Car comprendre qu’un ransomware existe ne prépare pas nécessairement un dirigeant à arbitrer lorsque l’activité ralentit, que les opérations deviennent incertaines ou que plusieurs fonctions clés attendent une décision immédiate.

À cet instant, les questions changent de nature.

Peut-on continuer à produire ?
Faut-il arrêter un service ?
Qui décide réellement ?
Quels impacts accepter temporairement ?
Comment coordonner les métiers, la communication, le juridique, les RH et l’IT ?

Autrement dit, le sujet quitte progressivement le terrain de la connaissance pour entrer dans celui du pilotage.

Et c’est souvent là qu’apparaît un angle mort discret mais profond. Beaucoup d’organisations pensent avoir préparé leurs dirigeants parce qu’elles les ont sensibilisés. Alors qu’en réalité, elles leur ont surtout transmis de l’information sans toujours transformer cette compréhension en capacité d’action.

Une crise cyber révèle souvent les zones floues de l’organisation

Une cyberattaque agit parfois comme un révélateur brutal des dépendances invisibles d’une entreprise.

En effet, les organisations découvrent alors que certains circuits de décision reposaient davantage sur des habitudes implicites que sur une préparation réellement partagée.

Ce qui semblait clair dans les organigrammes devient soudain plus fragile dans la réalité.

Qui arbitre une interruption d’activité ?
Qui assume la communication externe ?
À quel moment les métiers reprennent-ils la main ?
Quels fournisseurs deviennent critiques ?
Quels seuils de dégradation sont acceptables ?

Très vite, la crise dépasse le périmètre technique.

Elle devient alors une question de coordination.

D’ailleurs, dans plusieurs échanges menés avec des dirigeants ou des COMEX, une phrase revient régulièrement après les exercices de crise :

« Nous avions surtout préparé la réponse technique. Pas forcément la décision collective. »

Pourtant, cette nuance est essentielle.

Car la résilience d’une organisation ne repose pas uniquement sur sa capacité à protéger ses systèmes. Elle repose aussi sur sa capacité à maintenir une forme de lucidité collective lorsque l’incertitude augmente.

C’est précisément là que la préparation des dirigeants au risque cyber devient déterminante.

Les dirigeants n’ont pas besoin de devenir experts cyber

C’est probablement l’un des malentendus les plus fréquents.

Former des dirigeants à la cybersécurité ne consiste pas à transformer un COMEX en équipe technique. Ce n’est ni réaliste, ni souhaitable.

Un dirigeant n’a pas besoin de maîtriser le détail des architectures de sécurité ou le fonctionnement précis d’une attaque.

En revanche, il doit comprendre ce que le risque cyber peut provoquer sur l’activité réelle de l’entreprise.

Il doit également pouvoir percevoir les dépendances critiques, mesurer les conséquences d’un arrêt d’activité, comprendre les arbitrages possibles et identifier les responsabilités de décision lorsque la situation se dégrade.

Autrement dit, il ne s’agit pas de faire des dirigeants des experts cyber.

Il s’agit plutôt de leur permettre de piloter le risque cyber comme ils pilotent déjà les autres risques stratégiques de l’entreprise.

Ainsi, cette évolution explique pourquoi la formation cybersécurité dirigeants devient progressivement un sujet stratégique pour de nombreuses organisations.

Le sujet n’est donc plus seulement : « Comprennent-ils la menace ? »

La vraie question devient plutôt :

« Seraient-ils capables de décider collectivement sous contrainte ? »

Le risque cyber devient un sujet de gouvernance

Les évolutions réglementaires accélèrent fortement cette transformation.

Avec NIS2, DORA ou les recommandations portées notamment par l’ANSSI, les attentes changent progressivement de niveau.

Désormais, la cybersécurité ne concerne plus uniquement la protection technique des systèmes d’information. Elle devient également un sujet de gouvernance, de supervision et de continuité.

Cela modifie naturellement le regard porté sur le rôle des dirigeants.

Pendant longtemps, beaucoup de directions générales considéraient la cybersécurité comme un sujet qu’il fallait “laisser aux experts”.

Aujourd’hui, cette séparation devient plus difficile à maintenir.

Car lorsqu’une crise survient, les décisions attendues concernent rarement uniquement la technique. Elles touchent aussi la continuité d’activité, les priorités business, la communication, les responsabilités juridiques ou encore la coordination des métiers.

Dès lors, la question n’est plus seulement de savoir si l’entreprise est protégée.

La question devient aussi de savoir si elle est réellement préparée à décider collectivement lorsque la situation se dégrade.

Par conséquent, cette transformation explique également pourquoi la formation cyber COMEX devient aujourd’hui un véritable enjeu de résilience organisationnelle.

Le RSSI ne peut plus porter seul le sujet cyber

C’est un constat qui revient avec beaucoup de lucidité dans les échanges avec certains RSSI.

Le plus difficile n’est pas toujours la menace elle-même.

C’est parfois le fait de devoir continuellement traduire, expliquer, convaincre et réexpliquer encore.

Ainsi, dans certaines organisations, le RSSI devient progressivement à la fois expert, pédagogue, coordinateur et parfois même principal porteur du sujet cyber.

Cette situation crée souvent une fatigue discrète. Pas forcément spectaculaire. Plutôt une forme d’usure liée au sentiment de porter presque seul un sujet qui concerne pourtant toute l’organisation.

Or une entreprise devient réellement plus résiliente lorsque la compréhension du risque cesse d’être concentrée entre quelques mains.

Lorsque les métiers comprennent leurs dépendances.
Lorsque les dirigeants perçoivent leurs responsabilités.
Lorsque les arbitrages ont été anticipés.
Lorsque la coordination devient concrète.

C’est précisément ce que cherchent aujourd’hui les démarches de pilotage du risque cyber et les formations exécutives : transformer une compréhension théorique en capacité collective d’action.

Former les dirigeants, c’est préparer la décision collective

Les formations les plus utiles aujourd’hui ne sont pas nécessairement celles qui parlent le plus de technologie.

Au contraire, ce sont souvent celles qui permettent aux dirigeants de mieux comprendre leur propre organisation face à une situation dégradée.

Les dépendances.
Les zones floues.
Les arbitrages difficiles.
Les responsabilités implicites.
Les fragilités de coordination.

Autrement dit, la cybersécurité devient un révélateur de la maturité collective de l’organisation.

Chez ADHEL, c’est précisément cette logique qui guide les accompagnements réalisés auprès des dirigeants, COMEX et fonctions clés : faire du risque cyber un sujet compris, préparé et porté collectivement.

Parce qu’au fond, une organisation ne devient pas résiliente uniquement grâce à ses outils.

Elle devient résiliente lorsqu’elle est capable de comprendre ensemble… puis de décider ensemble.

Finalement, derrière la question de la formation cybersécurité dirigeants se joue en réalité la capacité collective d’une organisation à faire face à l’incertitude.

Pourquoi la sensibilisation cyber des dirigeants ne suffit-elle plus ?

Parce qu’elle transmet principalement de l’information. Or les dirigeants doivent désormais être capables d’arbitrer, coordonner et piloter l’organisation en situation dégradée.

Les dirigeants doivent-ils devenir experts en cybersécurité ?

Non. Leur rôle n’est pas technique. En revanche, ils doivent comprendre les impacts business, les responsabilités de gouvernance et les conséquences opérationnelles d’une crise cyber.

Pourquoi parle-t-on aujourd’hui de gouvernance cyber ?

Parce que les crises cyber impactent désormais directement la continuité d’activité, la prise de décision et la coordination de l’entreprise. Le sujet dépasse largement le seul périmètre IT.

Pourquoi le RSSI ne peut-il plus porter seul le risque cyber ?

Parce qu’une crise cyber touche l’ensemble de l’organisation : métiers, opérations, juridique, communication, RH et direction générale. La résilience devient nécessairement collective.

Quel est l’objectif d’une formation cyber pour dirigeants ?

Permettre aux dirigeants de mieux comprendre les impacts organisationnels du risque cyber afin de renforcer la capacité collective de décision, de coordination et de résilience.

by anne.dore@adhel.fr