Une sécurité où personne n’est mis au pilori.
La sensibilisation ne doit pas devenir un contrôle des performances. Chez moi, il n’y a ni humiliation publique ni liste nominative « qui a cliqué » pour la direction. C’est l’équipe dans son ensemble qui est évaluée – pour la protéger, pas pour la surveiller.
Ce que vous devez faire – et ce que cela vous permet de cocher.
La référence, ce sont le § 87 BetrVG et le RGPD. Les deux se règlent proprement avec un court accord d’entreprise. Chaque point indique clairement si je le couvre, si je l’accompagne en partie ou s’il relève de votre informatique – avec le scénario d’attaque correspondant.
Une simulation de phishing peut relever de la codétermination. Je fournis le modèle d’accord d’entreprise et la fiche d’information pour que le CSE puisse donner son accord avant le lancement. La décision vous appartient.
Le rapport d’équipe n’indique que des taux par groupe. Il n’existe pas de liste « qui a cliqué » pour la direction, et aucun résultat ne finit dans le dossier personnel.
La fiche d’information destinée au personnel explique sur une page ce qui se passe, ce qui ne se passe pas et quelles données sont générées.
Seul ce qui est nécessaire à l’attestation et au rapport d’équipe est conservé ; les données de clic individuelles sont archivées après la campagne et ne sont pas évaluées.
D’abord la formation, ensuite un test annoncé. L’ordre fait partie du produit, il n’est pas négociable.
Vous trouverez la comparaison complète avec l’ISO 27001, NIS 2 et la cyberassurance sous Obligations & normes. Les entreprises génèrent leur attestation horodatée directement dans le Cockpit.
Deux documents pour obtenir l’accord en une seule séance.
Je mets les deux modèles à disposition gratuitement, sans inscription. Ils sont volontairement courts, rédigés en allemand clair et adaptés au traitement des données chez secureIT. Vos propres adaptations sont expressément bienvenues.
Finalité, déroulement, évaluation sans données nominatives, durées de conservation, droits des salariés. Deux pages, à remplir et à signer.
📄 Fiche d’information pour le personnel (PDF)Une page pour le panneau d’affichage ou l’e-mail collectif : ce qui nous attend, ce qui se passe après un clic malheureux, qui voit quoi.
Voici à quoi cela ressemble concrètement.
Cockpit, rapport d’équipe, certificat et attestation d’une entreprise fictive de douze personnes. Les noms et les résultats sont inventés ; la présentation est exactement celle que vous verrez ensuite.
Groupes, personnes inscrites et coût si tout le monde termine. C’est d’ici que vous lancez la formation, le test initial ou une nouvelle campagne.
Taux de clic et de saisie de l’équipe, comparaison avec l’ensemble des campagnes, participation à la formation et à l’entraînement. Anonymisé.
Résultats en un coup d’œil et niveau de protection avec recommandation. Le PDF porte un QR code d’authenticité et convient aux audits, aux assureurs et à la documentation NIS 2.
Nom, cours, dates de la formation et du test pratique, référence aux normes, signature et numéro de certificat vérifiable avec QR code.
Toutes les formations réalisées, horodatées et avec taux de participation, rattachées aux exigences. Également pour l’ISO 27001, le RGPD, l’AI Act et la cyberassurance.
Chaque personne ne voit que son propre résultat : réaction à chaque e-mail de test, indices qui permettaient de repérer l’arnaque, et ce que l’appareil a révélé.
Voici comment se déroule ma formation.
Chez moi, l’équité n’est pas une option, elle est intégrée : d’abord la formation, ensuite l’exercice – annoncé et sans pilori. Un clic malheureux est un moment d’apprentissage, pas une inscription au dossier personnel. Ainsi, la sécurité grandit avec l’équipe, pas contre elle.
Trois options – vous choisissez celle qui vous convient.
Je forme votre équipe en personne – sur place ou en ligne, par l’échange et avec des exemples tirés de votre quotidien.
Vous formez vous-même : je fournis les supports prêts à l’emploi, vous les diffusez en interne – à votre rythme.
Chaque personne apprend en ligne comme elle le préfère – par texte ou vidéo, à son rythme, en choisissant les contenus.
D’abord former, ensuite tester – volontairement dans cet ordre.
-
Formation initiale
Je commence par former votre équipe (ou vous le faites avec mes supports). Tout le monde part avec les mêmes bases.
-
Test de phishing pour s’auto-évaluer
Ce n’est qu’ensuite que suit l’attaque simulée – non pas comme un examen, mais comme une auto-évaluation : chacun voit si ses acquis tiennent au quotidien.
-
Une culture de la sécurité, rafraîchie si besoin
La formation et le test font naître dans l’entreprise une culture de la sécurité constructive, que vous renouvelez simplement le moment venu.
Votre bilan repose sur les résultats de votre équipe après la formation – il montre le niveau que vous vouliez atteindre, pas le point de départ sans protection.
Les nouveaux membres de l’équipe s’ajoutent plus tard en un clic : ils reçoivent aussitôt les supports de formation en ligne et un premier autotest – et rejoignent la prochaine formation commune avec les mêmes bases.
L’ordre inverse – et pourquoi je le déconseille.
Du point de vue de la direction, il paraît souvent logique de faire d’abord un état des lieux par un test, puis de décider si des formations sont nécessaires. Techniquement, c’est possible – je vous le mets en place.
Un test surprise sans formation préalable, c’est exactement ce contre quoi vous mettez en garde à juste titre : on piège des gens avant qu’ils aient pu savoir mieux. Cela abîme la confiance et le climat social – et c’est délicat au regard du droit de codétermination. Un test sans formation préalable ne mesure que le point de départ, à zéro. Ma méthode inverse les choses : d’abord donner les moyens, ensuite vérifier.
Sans abonnement, selon vos besoins et toujours avec mon accompagnement personnel.
Les outils d’IA sont soumis à la codétermination. Voici un modèle pour cela.
Copilot, transcription, chatbots : dès que des outils d’IA peuvent évaluer le comportement ou les performances, le CSE (Betriebsrat en droit allemand) dispose d’un droit de codétermination au titre du § 87 al. 1 n° 6 BetrVG (loi allemande sur l’organisation des entreprises). Mon modèle d’accord d’entreprise sur l’IA fixe les principes, pour que chaque outil n’ait pas à être négocié séparément : pas de contrôle des performances, pas de décisions de l’IA sur des personnes, formation pendant le temps de travail.
- Modèle d’accord d’entreprise sur l’IA, gratuit en PDF
- Obligation de formation au titre de l’art. 4 du règlement européen sur l’IA, intégrée à l’accord
- Cours IA avec attestation, sans évaluation des réponses individuelles
Pour votre examen.
Comment évaluation, volontariat et protection des données s’articulent.
Comment ça fonctionne →Le déroulement complet, transparent du début jusqu’à l’attestation.
Me poser vos questions →Des points en suspens ? J’y réponds personnellement – y compris pour le CSE.
Questions fréquentes
Le comité social et économique (CSE) doit-il approuver une simulation de phishing ?
La direction voit-elle qui a cliqué ?
Que deviennent les données après le test ?
Le CSE peut-il convenir de « formation seulement, test plus tard » ?
S’agit-il d’un abonnement ?
Combien cela coûte-t-il ?
L’effet d’une formation unique dure-t-il vraiment ?
Ai-je besoin d’un service informatique pour cela ?
Comment se déroule une formation avec vous ?
Quelqu’un chez nous sera-t-il exposé ou surveillé ?
Est-ce que je remplis ainsi le RGPD, NIS 2, l’ISO 27001 ou les exigences de mon assureur ?
Que se passe-t-il en cas de changement de personnel ?
Est-ce que je reçois une attestation ou un certificat ?
Est-ce que cela couvre aussi la fraude par IA et les deepfakes ?
Les écoles et les associations sont-elles vraiment gratuites ?
En combien de temps puis-je démarrer ?
Votre question n’y figure pas ?
Posez-la-moi directement. Une adresse e-mail n’est nécessaire que si vous souhaitez recevoir ma réponse.
Mis en place en une heure – sans service informatique.
Choisir un cours, inscrire votre équipe, c’est parti. Les attestations sont générées automatiquement au passage.