Formation cyber : un programme conforme à la DORA pour toute votre organisation
DORA exige de toutes les entités financières qu'elles forment leurs organes de direction, leurs équipes informatiques et leur personnel à la résilience opérationnelle numérique. Stroople propose un programme complet, certifié Qualiopi, qui couvre l'ensemble de votre organisation grâce à un programme unique et coordonné. Chaque module aborde directement les exigences de la réglementation.
Que demande DORA en matière de formation ?
Le règlement DORA (UE 2022/2554), en application depuis le 17 janvier 2025, oblige les entités financières à intégrer la sensibilisation et la formation aux risques TIC dans leur cadre de résilience. L'article 5, paragraphe 4, exige que les membres de l'organe de direction possèdent des connaissances et des compétences suffisantes pour comprendre et évaluer les risques TIC et leur impact sur les opérations. L'article 13, paragraphe 6, rend les programmes de sensibilisation à la sécurité TIC et la formation à la résilience opérationnelle numérique des composantes obligatoires des programmes de formation du personnel, tant pour tous les employés que pour la haute direction.
En pratique, trois obligations s'appliquent simultanément : équiper l'organe de direction pour gouverner le risque TIC, sensibiliser le personnel aux menaces quotidiennes et préparer la direction informatique à gérer la réponse aux incidents et les rapports dans les délais de la DORA. Un programme de formation DORA qui ne couvre qu'un seul de ces niveaux ne répond pas entièrement aux exigences réglementaires.
Ce que DORA dit : L'article 5(4) exige que les membres de l'organe de gestion maintiennent activement des connaissances et des compétences suffisantes pour comprendre et évaluer le risque TIC. L'article 13(6) exige des programmes de sensibilisation à la sécurité TIC et une formation sur la résilience opérationnelle numérique pour l'ensemble du personnel, y compris la haute direction. L'organe de gestion porte la responsabilité finale de la gestion des risques TIC.
Un programme de formation DORA
structuré selon trois niveaux.
Le programme Stroople couvre les trois profils visés par DORA. Chaque parcours est un programme annuel alliant enseignement en présentiel et à distance, conçu pour consolider des réflexes durables sans éloigner les équipes pendant des journées entières à la fois.
Avant le début de toute formation, Stroople effectue une évaluation de maturité et adapte le contenu à votre type d'entité, à votre environnement technologique et à votre exposition spécifique aux risques, que vous soyez une banque, un assureur, un gestionnaire d'actifs, un établissement de paiement ou un fournisseur de services TIC critiques.
Cette formation s'adresse aux dirigeants, aux membres du Comité Exécutif (ExCom) et du Conseil d'administration, ainsi qu'aux directeurs des entités financières soumises à DORA. Elle permet aux participants d'identifier les principaux objectifs du règlement, de comprendre ses conséquences pour la responsabilité des dirigeants, et d'associer chaque famille d'exigences aux leviers technologiques et organisationnels disponibles pour y répondre. Aucune expertise technique préalable n'est requise.
Découvrez le programme complet →Cette formation est conçue pour les DSI et RSSI des entités financières soumises à DORA. Elle donne aux équipes IT les repères et les méthodes nécessaires pour traduire DORA en actions concrètes au quotidien : grille RACI sur le référentiel de conformité, méthodologie d'analyse des risques (EBIOS RM, ISO 27005), classification et notification des incidents dans les délais DORA, registre des fournisseurs TIC et dimensionnement proportionné des mesures techniques.
Découvrez le programme complet →Cette formation est conçue pour les membres du Comité Exécutif (COMEX) et les membres de la Direction des Systèmes d'Information (bureau du DSI). Elle permet aux décideurs stratégiques et aux leaders opérationnels de partager une culture commune de gestion de crise cyber et de clarifier le rôle de chacun en situation de crise, y compris la notification réglementaire dans les délais de la DORA. Aucune expertise technique préalable n'est requise, la formation étant destinée aux dirigeants et aux managers.
Découvrez le programme complet →Parcours Dirigeants
Conçu pour les membres du conseil d'administration et les dirigeants, ce parcours permet de renforcer la posture de gouvernance des risques TIC exigée par l'article 5(4) de la DORA. Au-delà des connaissances réglementaires, les participants s'entraînent à diriger sous pression : l'exercice de crise place l'ensemble de l'équipe de direction dans un scénario d'incident TIC réel, de la détection initiale à la chaîne de décision et à la notification réglementaire dans le délai initial de 4 heures.
Parcours DSI
Conçu pour les DSI, les responsables informatiques et les responsables de la sécurité, ce parcours couvre la DORA d'un point de vue opérationnel : cadre de gestion des risques TIC, classification et signalement des incidents, tests de résilience opérationnelle numérique et risques liés aux tiers, y compris le registre des informations. L'exercice de crise est mené conjointement avec le parcours exécutif, garantissant que les deux équipes s'entraînent sur le même scénario et parlent le même langage lorsque cela compte.
Les collaborateurs suivent
Un programme annuel pour tous les employés, sans prérequis techniques. Quatre campagnes de simulation de hameçonnage menées tout au long de l'année, avec une remédiation immédiate pour chaque clic et des sessions de classe virtuelle dédiées aux multiclicqueurs. Des capsules de e-learning thématiques élargissent la sensibilisation à un large éventail de menaces quotidiennes, de la fraude au paiement à l'ingénierie sociale.
Formation en cybersécurité en pratique : le détail de votre programme
Le niveau de maturité cyber de chaque organisation varie. Avant de déployer nos modules de formation, nous effectuons un audit rapide pour évaluer votre type d'entité, votre environnement technologique et votre niveau d'exposition, afin de pouvoir adapter un programme à vos besoins spécifiques.
Simulations de phishing : des campagnes personnalisables, des résultats mesurables
Les campagnes de simulation de phishing sont entièrement personnalisables : scénarios, identité de l'expéditeur, prétexte et niveau de difficulté sont adaptés à votre secteur et à votre population cible. Chaque campagne est plus exigeante que la précédente, progressant du phishing de masse générique vers le spear phishing ciblé et le whaling au niveau direction. Un rapport détaillé est remis à l'issue de chaque campagne, couvrant les taux de clic et de signalement par service, les profils à risque élevé et les actions de remédiation déclenchées.
Campagnes de simulation de phishing — ACME Bank
1 187 employés · Exercice 2024 · 4 campagnes · Difficulté croissante
Taux de clics moyen
18%
↓ −14 points face à C1
Taux de déclaration
39%
↑ +29 points face à C1
Cliquez plusieurs fois d'affilée
67
Classes virtuelles déclenchées
Remédiation
94%
219 clics au total
Tendance — taux de clics par rapport au taux de signalement
Taux de clics par service — C4 (chasse à la baleine)
C1 — Fév. 2024
Phishing de masse
E-mail d'alerte de sécurité générique
C2 — mai 2024
Masse visée
Fausse alerte de sécurité Office 365
C3 — septembre 2024
Hameçonnage ciblé
E-mail personnalisé — RH internes
C4 — novembre 2024
Chasse à la baleine
Ciblage de la direction — demande de virement urgente du PDG
* Le taux de clics C4 reste proche du C3 malgré les progrès généraux : les scénarios de "whaling" sont les plus difficiles à détecter. La performance au même niveau de difficulté est la référence pertinente, et non la tendance brute. · Les données présentées sont fictives et produites uniquement à titre illustratif.
Une offre e-learning configurée pour votre organisation
L'offre de formation en ligne est configurée par Stroople avant le début du programme, en fonction de vos obligations réglementaires et de votre profil de risque. Chaque module est disponible en plusieurs langues, conçu pour être suivi en moins de vingt minutes et validé par une évaluation notée dont le seuil de réussite est fixé à 80%. Le contenu est mis à jour au fur et à mesure de l'évolution du paysage des menaces.
Offre e-learning — ACME Bank
Personnel de suivi · DORA Art. 13(6) · cycle annuel 2025
Affecté à la filière administrative
Identifier un email malveillant
Sensibilisation au hameçonnage et aux ransomwares
Sensibilisation au hameçonnage
IA et hameçonnage : nouvelles menaces
Hameçonnage ciblé
Phishing par code QR
Hameçonnage par SMS
Fraude de paiement et de faux ordres de virement
Modules réglementaires — également assignés
Présentation générale du règlement DORA
RGPD en pratique quotidienne
Comprendre la conformité au RGPD
Le contenu est géré par Stroople et personnalisé pour votre secteur et vos obligations réglementaires. Les taux d'achèvement reflètent le suivi des progrès du personnel de la Banque ACME à compter de décembre 2025. Les données présentées sont fictives et produites à titre illustratif uniquement.
Suivi continu et reporting prêt pour l'audit
Les données de complétion et d'évaluation sont suivies en continu sur l'ensemble des trois groupes. Le reporting couvre les scores individuels, le temps passé, le niveau de risque et le taux de clic phishing par collaborateur, et constitue directement les preuves documentaires attendues lors d'un contrôle de conformité NIS2.
Suivi de formation — ACME Bank
1 187 apprenants · Suivi du personnel DORA · Déc. 2025
Accomplissement global
78%
926 sur 1 187 apprenants
Score moyen
7.2/10
Seuil de passage : 6,0
Temps moyen
47 min
Par apprenant actif
Apprenants à risque
58
Note inférieure à 6,0 ou progression 0%
Progression par la formation
Les apprenants les plus actifs
C. Lefebvre
Monsieur Garnier
T. Rousseau
S. Vasseur
A. Perrin
J. Delcourt
Réalisation par groupe
Groupe 1 — Personnel
Groupe 2 — Direction
Groupe 3 — Direction informatique
Les taux d'achèvement reflètent le suivi des progrès par le personnel de la Banque ACME à compter de décembre 2025. Les données présentées sont fictives et produites à titre illustratif uniquement.
Comment se déroule le déploiement du programme ?
Le déploiement suit quatre étapes, avec une charge de coordination minimale pour vos équipes. Stroople réalise d'abord le diagnostic de maturité et le cadrage du programme, en une à deux semaines. La planification est ensuite coordonnée avec votre agenda et celui de vos équipes. Les sessions en présentiel peuvent être organisées sur site ou dans nos espaces de formation ; les modules distanciels sont accessibles via n'importe quel navigateur, sans installation.
Tout au long du programme, chaque module génère des livrables d'évaluation formels : bilans de compétences à l'entrée, résultats aux QCM e-learning au seuil de 80 %, et rapports de simulation phishing. Ces documents sont directement utilisables comme preuves d'audit pour la conformité NIS2. Un rapport de clôture est remis à l'issue de chaque cycle annuel.
Votre organisation entre dans le champ d'application de la DORA. Prêt à structurer votre programme de formation ?
Repenser la formation cyber : former tout le monde de la même façon, c'est ne former personne
La plupart des programmes de formation en cybersécurité suivent la même logique : déployer des modules d'e-learning identiques pour tous les employés, une fois par an, et cocher la case. Cette approche a une vertu : elle est simple à déployer et rentable. Elle a un défaut majeur : elle ne fonctionne pas. Non pas parce que les outils sont de mauvaise qualité. Parce que la question de départ est mauvaise.