NIS2, DORA, CRA, AI Act : pourquoi la montée en compétences interne devient la priorité cyber des entreprises

En juin 2026, Global Knowledge et ACG Cybersecurity ont réuni experts juridiques, formateurs et dirigeants d'entreprise pour un premier Brief Cyber consacré à un constat simple mais urgent : les réglementations s'accumulent, les cyberattaques s'accélèrent, et le marché des talents ne suffit plus à répondre aux besoins. Retour sur les enseignements clés de cette session.

L'avalanche réglementaire : ce que ça change concrètement pour vous

La CNIL a reçu plus de 6 000 notifications de violations de données en 2025, soit une hausse de 10% par rapport à l'année précédente. Ce chiffre illustre mieux que n'importe quel discours l'accélération du risque cyber. Face à cette réalité, l'Union européenne a adopté en quelques années quatre textes majeurs qui transforment en profondeur les obligations des organisations : NIS2, DORA, le Cyber Resilience Act et l'AI Act.

Diane de Langeron, avocate au cabinet Anders Avocats, l'a formulé clairement lors du webinaire :

"L'objectif, ce n'est pas de faire de la technique juridique. C'est d'avoir des clés concrètes et opérationnelles."

Ce que ces textes imposent concrètement, c'est d'abord une cartographie de vos obligations selon votre secteur et votre position dans la chaîne d'approvisionnement. NIS2 élargit le périmètre des entités soumises à des exigences de cybersécurité à 10 000 à 15 000 entités françaises dans 18 secteurs critiques. DORA, en vigueur depuis janvier 2025, s'applique directement aux acteurs financiers et à leurs prestataires TIC — avec des délais de notification d'incidents ramenés à 24 heures. Le CRA impose la sécurité "by design" pour tous les produits numériques. L'AI Act introduit une approche par les risques qui touche aussi bien les fournisseurs que les déployeurs d'outils IA en entreprise.

Ce qu'il faut retenir : ces textes ne sont pas seulement des contraintes juridiques. Ils imposent tous, explicitement, la formation des équipes. NIS2 l'exige pour les organes de direction. DORA l'impose pour l'ensemble du personnel. L'AI Act en fait une obligation pour les entreprises qui déploient des systèmes d'IA.

Le paradoxe cyber : plus d'investissements, plus d'incidents

Malgré des budgets cyber en hausse constante, les incidents ne reculent pas. En 2024, l'ANSSI a enregistré 3 004 signalements et 1 361 incidents confirmés, soit une hausse de +15% en un an. 70% des répondants au Baromètre CESIN 2026 estiment ne pas disposer des ressources humaines et financières suffisantes. Et 88% des professionnels interrogés par ISC2 en 2025 ont subi au moins une conséquence significative liée au manque de compétences dans leurs équipes.

Le message est sans ambiguïté : la faille principale n'est pas technologique — elle est humaine. Investir dans des outils sans investir dans les compétences ne suffit pas à se protéger.

Le recrutement externe n'est plus une réponse suffisante

La réaction naturelle face à ce constat est de recruter. Mais le marché ne suit plus. Il manque 3,5 millions de professionnels cyber dans le monde. En France, 68% des entreprises peinent à recruter des experts. Et les profils disponibles sont déjà chassés activement : 69% des experts en poste reçoivent des sollicitations régulières, 44% en reçoivent plus de onze par an.

Lydia Sammaritano, directrice Projets Europe chez Global Knowledge, a posé la vraie question lors du webinaire :

"Est-ce que je n'ai pas en interne des personnes qui pourraient monter en compétences, avec la connaissance de l'entreprise, et aller encore plus vite ?"

La réponse, dans de nombreuses organisations, est oui. Des techniciens réseau, des administrateurs système qui maîtrisent déjà 80% des bases techniques nécessaires. Il ne manque qu'un gap — la pensée orientée menace, les référentiels, les techniques de sécurisation avancée — que la formation peut combler.

Le learning by doing : pourquoi la théorie seule ne suffit plus

Khalid Bennouk, expert référent chez ACG Cybersecurity, a mis le doigt sur un problème structurel de la formation cyber traditionnelle :

"En cybersécurité, la théorie seule ne suffit plus. On peut parfaitement connaître les normes, les référentiels, les frameworks — cela ne garantit pas qu'on saura prendre les bonnes décisions face à une situation réelle."

L'approche développée par ACG Cybersecurity et Global Knowledge repose sur des labs intégrés qui placent les participants dans des environnements réalistes, avec de vrais scénarios, de vrais outils et de vraies problématiques. La progression suit trois étapes : expérimenter pour comprendre, s'entraîner pour développer les bons réflexes, puis agir avec impact en conditions réelles.

Cette pédagogie est pensée pour des classes hétérogènes. Les profils débutants progressent rapidement ; les profils seniors sont challengés sur des niveaux de difficulté plus avancés. L'environnement reste accessible tout au long du parcours pour consolider les acquis à son rythme.

PASI & DTISI : deux parcours, deux missions complémentaires

Maha Chehata, directrice d'ACG Cyber Académie, a présenté les deux parcours certifiants conçus pour répondre aux besoins des organisations :

PASI — Piloter et animer la sécurité informatique

Pour les futurs RSSI, DPO et managers GRC. Ce parcours couvre la gouvernance cyber, la gestion des risques (méthode EBIOS RM), la conformité ISO 27001, la construction d'une PSSI et la gestion de crise. Il s'étend sur six mois, incluant la soutenance de certification, à raison de deux à cinq jours toutes les trois à quatre semaines. Parcours finançable à 100% via OPCO Atlas pour les membres, hors quotas habituels.

DTISI — Détecter et traiter les incidents de sécurité informatique

Pour les analystes SOC et incident handlers. 50% de pratique, immersion en conditions réelles sur des outils SIEM/SOAR (Elastic, Splunk), investigation forensic, threat hunting et réponse à incidents. Durée : quatre mois avec certification intégrée. Parcours finançable à 100% via OPCO Atlas pour les membres, hors quotas habituels.

"La valeur de la formation ne se mesure pas à ce qu'on apprend pendant le cursus, mais à ce qu'on est capable de mettre en œuvre sur le terrain dès le lendemain." — Maha Chehata

Le retour terrain d'OROL Cyber Solutions : des résultats concrets

Ramzi Khechaimia, cofondateur d'OROL Cyber Solutions — acteur français de la cyberdéfense basé à Bourges, intervenant auprès d'organisations critiques — a apporté la preuve terrain de ce que la formation peut produire concrètement.

Son point de départ ? Un constat opérationnel :

"Depuis janvier 2026, on constate trois sociétés par jour compromises. La majorité n'avait pas de plan de réponse. Et le problème, ce n'est pas qu'un problème budgétaire — c'est aussi une question de compétences et de culture."

Face à la difficulté de recruter des analystes SOC dans la région Centre-Val de Loire, OROL a fait le choix de former en interne plutôt que de recruter à l'extérieur. Le résultat le plus emblématique : un administrateur réseau recruté en entrée de poste est aujourd'hui analyste SOC à temps plein au sein de l'entreprise.

Les bénéfices observés sont multiples :

• Montée en qualité des process internes et amélioration du PCA
• Renforcement de la cohésion d'équipe et de la motivation des collaborateurs
• Délais de réponse aux incidents divisés par deux

"La formation n'a pas été mise en œuvre pour compenser un déficit. Elle a renforcé et fait évoluer des expertises qui existaient déjà. C'est un investissement dans le potentiel humain de l'entreprise." — Ramzi Khechaimia

Ce que les organisations doivent faire maintenant

À l'issue du webinaire, les intervenants ont convergé vers huit priorités d'action pour les organisations qui souhaitent anticiper :

1. Identifier son périmètre réglementaire — quels textes s'appliquent à votre activité, votre secteur, votre position dans la chaîne d'approvisionnement
2. Cartographier vos actifs TIC et vos dépendances
3. Structurer la gouvernance cyber — nommer des responsables, impliquer les dirigeants
4. Mettre en place un dispositif de gestion des incidents — avec des délais de notification maîtrisés (24h pour DORA, 72h pour NIS2)
5. Réviser les contrats avec les prestataires TIC
6. Anticiper le CRA si vous éditez des produits numériques
7. Qualifier vos usages IA selon le niveau de risque AI Act
8. Former vos équipes selon leurs rôles — on ne forme pas de la même façon un conseiller clientèle et un DSI

La question n'est plus de savoir si la cybersécurité est une priorité. Elle l'est par obligation réglementaire, par nécessité opérationnelle, et par responsabilité vis-à-vis de ses clients et partenaires. La vraie question est : par où commencer, avec quels profils, et selon quel rythme ?

Retrouvez le replay du Brief Cyber de juin 2026

Prochain Brief Cyber : après l'été 2026.

Note — Depuis l'enregistrement de ce webinar, le règlement Digital Omnibus (27 juillet 2026) a reporté au 2 décembre 2027 les obligations applicables aux systèmes d'IA à haut risque. Notre article de blog fait le point sur le calendrier à jour.