Sensibiliser les dirigeants : pourquoi le COMEX est un public à part

Les dirigeants — COMEX, CODIR, conseil — constituent un public stratégique dans toute démarche de sensibilisation cybersécurité. Stratégique parce qu'ils sont à la fois cibles privilégiées des attaques, décideurs des investissements, et modèles dont le comportement irrigue toute l'organisation.

Trois raisons de leur consacrer un programme dédié

1. Ils sont des cibles privilégiées

La fraude au président, le whaling, l'usurpation de PDG en visioconférence avec deepfake : les dirigeants sont attaqués spécifiquement. Avec succès : les fraudes au virement par usurpation de dirigeant représentent encore plusieurs centaines de millions d'euros de pertes annuelles en France.

2. Leur exposition est asymétrique

Un dirigeant compromis peut donner accès à :

• des décisions stratégiques,
• des données financières confidentielles,
• des informations RH sensibles,
• la signature électronique de l'entreprise,
• des comptes très privilégiés.

3. Ils donnent l'exemple

Si le DG ne se soucie pas de cybersécurité, personne ne s'en souciera vraiment. Inversement, un dirigeant exemplaire (qui verrouille sa session, qui signale, qui pose des questions) crée un effet d'entraînement puissant.

Ce qui ne fonctionne pas

• Leur demander de suivre les mêmes modules que le reste de l'organisation.
• Leur envoyer un long document explicatif.
• Les sensibiliser en groupe avec leurs équipes (ils n'oseront pas poser de "questions de débutant").
• Leur présenter la cyber sous l'angle technique uniquement.

Ce qui fonctionne

• Des formats courts (30 à 45 minutes maximum par session).
• Du sur-mesure, basé sur les risques de leur organisation.
• Des cas réels sectoriels et anonymisés.
• Du présentiel ou de la visio, en petit groupe ou en individuel.
• Une approche systémique : risque stratégique, réputationnel, financier, juridique.
• Un focus protection personnelle (eux et leur famille).

NIS2 : une obligation directe

Avec NIS2, la formation des dirigeants n'est plus un "nice to have". Elle est inscrite dans la directive, avec une exigence claire :

"Les organes de direction des entités essentielles et importantes doivent suivre une formation et veiller à ce que leurs salariés suivent une formation en matière de cybersécurité."

Voir notre article NIS2 et devoir de diligence et l'analyse NIS2, sensibilisation cybersécurité et devoir de diligence.

Trois angles d'attaque pédagogiques

1. Le risque pour l'entreprise

Continuité, image, sanctions, perte de clients. À chiffrer si possible.

2. Le risque pour eux personnellement

Responsabilité civile et pénale, atteinte à leur vie privée, deepfake, doxxing.

3. Le levier business

Une cyber-résilience visible devient un argument commercial, en particulier face aux exigences clients en matière de sécurité (assessments, ISO 27001, CyberVadis…).

Le rôle clé de l'incarnation

Comme évoqué dans Le RSSI face à la sensibilisation, incarner la cybersécurité n'est pas réservé au RSSI. Un dirigeant qui parle régulièrement de cybersécurité dans ses prises de parole internes vaut, pour la culture cyber, plusieurs millions investis en outillage.

Pratiques observées chez les organisations matures

• Un rapport cyber trimestriel présenté en COMEX, lu par tous.
• Une session de 1h annuelle avec le RSSI et un intervenant externe.
• Un exercice de crise annuel, scénarisé, impliquant le COMEX.
• Une revue d'indicateurs comportementaux, pas seulement techniques.
• Des rappels périodiques ciblés (rentrée, fin d'année, événement sectoriel).

Conclusion

Sensibiliser les dirigeants, c'est l'investissement à plus fort effet de levier d'une démarche de sensibilisation. Pour structurer la démarche, voir l'accompagnement sensibilisation cybersécurité proposé par Conscio Technologies.

---