NOUSEC est une plateforme de gestion du risque humain utilisée dans les services financiers, la santé, le secteur public, l'industrie et l'énergie. La plateforme est la même partout : simulation de phishing sur huit canaux, formation adaptative avec contrôle d'achèvement côté serveur, et un Human Risk Score unique de 0 à 100 à la méthodologie publiée. Ce qui varie selon le secteur, c'est la preuve à produire, les personnes à atteindre et le canal utilisé par l'attaquant. La finance fait face aux modules de formation obligatoires de DORA et à la fraude au paiement par voix clonée ; en santé, l'erreur par e-mail pèse autant que la tromperie ; le secteur public a la plus forte part d'élément humain et la charge de preuve la plus lourde ; l'industrie et l'énergie affichent la plus forte implication de tiers du Verizon DBIR.
Trois choses changent. La plateforme n’en fait pas partie.
Tous les éditeurs vous vendent une page sectorielle. Voici ce qui varie vraiment derrière.
Ce que vous devez prouver
NIS2 fait de la cyberhygiène et de la formation une mesure minimale obligatoire pour les entités essentielles et importantes. DORA va plus loin pour les entités financières et désigne la sensibilisation comme un module obligatoire. Un organisme public peut n’encourir ni amende ni interdiction de fonctions de direction, et devoir pourtant convaincre un auditeur.
Qui vous devez atteindre
Une salle de marchés lit ses e-mails toute la journée. Une infirmière de nuit, non. Un opérateur de machine n’a parfois aucun poste de travail. La portée est un problème de format et de canal avant d’être un problème de formation.
Ce que l’attaquant utilise vraiment
Le phishing est le deuxième vecteur d’accès initial dans la finance, la santé et l’administration publique, mais le prétexte diffère, et dans l’industrie la porte d’entrée est plus souvent un fournisseur qu’une boîte mail.
Quatre secteurs, côte à côte
Chaque chiffre ci-dessous provient de la section sectorielle du rapport cité en dessous. Rien n’est moyenné, lissé ni estimé.
| Finance et assurance (52) | Santé (62) | Administration publique (92) | Industrie manufacturière (31–33) | |
|---|---|---|---|---|
| Violations impliquant l'élément humain | 65 % | 54 % | 69 % | 56 % |
| Phishing comme accès initial | 20 % | 14 % | 20 % | 13 % |
| Acteurs externes | 88 % | 81 % | 56 % | 95 % |
| Acteurs internes | 12 % | 19 % | 44 % | 5 % |
| Motivation d’espionnage | 3 % | 2 % | 33 % | 15 % |
| Implication d'un tiers | 34 % | 32 % | 36 % | 61 % |
| Part couverte par les trois premiers schémas | 81 % des violations | 81 % | 80 % | 91 % |
| Les schémas humains parmi ces trois premiers | Ingénierie sociale | Erreurs diverses, ingénierie sociale | Erreurs diverses, abus de privilèges | Ingénierie sociale |
Verizon, Data Breach Investigations Report 2026, section sectorielle, p. 84[1]. Corpus : plus de 31 000 incidents et 22 000 violations confirmées dans 145 pays, d'octobre 2024 à novembre 2025. Le DBIR est un échantillon de dossiers transmis par des contributeurs, pas un échantillon représentatif de toutes les violations ; les sections sectorielles servent à hiérarchiser, pas à prédire. Un point signale la valeur la plus élevée d'une ligne ; les deux dernières lignes ne sont pas un classement.
Commencez là où commence votre régulateur.
Services financiers
Vos contrôles ont tenu. La voix qui autorisait le paiement était clonée. DORA désigne la sensibilisation comme un module obligatoire, et la direction porte en plus sa propre obligation.
Santé
L’erreur figure aux côtés de l’ingénierie sociale parmi les trois premiers schémas de violation en santé. Et un soignant entre deux gardes ne restera pas vingt minutes devant un module.
Secteur public
Le secteur le plus ciblé de l’UE, avec la plus forte part d’élément humain et la plus forte part d’acteurs internes des quatre. La difficulté n’est pas la formation : c’est la preuve.
Industrie et énergie
La plus forte implication de tiers de tous les secteurs du DBIR, et des adversaires qui ciblent directement le personnel d’exploitation par des prétextes. Beaucoup des personnes exposées n’ont pas de poste de travail attitré.
Quels textes citent vraiment la formation.
Quatre textes, quatre exigences différentes. Les numéros d’article comptent davantage que les sigles.
« Les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » sont une mesure minimale obligatoire de gestion des risques, sans réserve du type « le cas échéant ».
L’art. 20(2) est l’obligation de l’organe de direction, et il ne fait qu’encourager la formation des salariés. Le fondement opposable côté salariés est l’art. 21(2)(g).
Les organes de direction doivent approuver et superviser les mesures, et peuvent être tenus responsables des manquements.
L’interdiction temporaire de fonctions de direction prévue à l’art. 32(5) ne vise que les entités essentielles, et pas l’administration publique.
Programmes de sensibilisation à la sécurité des TIC et formations à la résilience opérationnelle numérique, modules obligatoires des plans de formation, pour tout le personnel et la direction.
L’art. 5(4) oblige en outre l’organe de direction à tenir à jour ses propres connaissances du risque informatique.
La sensibilisation et la formation du personnel relèvent de la mission de contrôle de la conformité du DPO.
Un manquement à la sécurité au titre de l’art. 32 relève du palier de 2 % / 10 M€, pas de 4 % / 20 M€.
Compétences, sensibilisation, et la mesure « Sensibilisation, enseignement et formation en sécurité de l’information ».
Les auditeurs de certification demandent des preuves d’efficacité, pas des feuilles de présence.
Écrit pour le régulateur auquel vous rendez réellement compte.
Union européenne
NIS2 dans les 18 secteurs des annexes I et II ; DORA depuis le 17 janvier 2025 ; le RGPD ; les mesures de l’ISO 27001:2022. Données hébergées à Francfort.
En français
Le français fait partie des neuf langues entièrement localisées aujourd’hui : les noms des personnages, les noms d’entreprises et le contexte culturel changent avec la langue, pas seulement les phrases.
Partout ailleurs
SOC 2 et ISO 27701 sélectionnables par client, marque blanche complète et gestion automatique des devises.
Questions
Ce que demandent les acheteurs avant de choisir une page sectorielle.
Chaque chiffre de cette page, et sa provenance
Titre, éditeur, année d’édition, lien, et l’usage qui en est fait. Si un chiffre n’apparaît pas ici, il n’apparaît pas sur la page.
Dernière vérification : 21 octobre 2026. Les références réglementaires sont vérifiées sur le texte consolidé d’EUR-Lex à chaque révision.
- 2026 Data Breach Investigations ReportVerizon Business — section sectorielle, p. 84 pour la finance et l’assurance (NAICS 52). Corpus : plus de 31 000 incidents, plus de 22 000 violations confirmées, 145 pays, oct. 2024 – nov. 2025 · 2026Utilisé pour : Le tableau comparatif et les quatre cartes sectorielles : élément humain, phishing, acteurs, motivation, implication de tiers et trois premiers schémas pour la finance et l’assurance (52), la santé (62), l’administration publique (92) et l’industrie manufacturière (31–33). Corpus de plus de 31 000 incidents et 22 000 violations confirmées dans 145 pays, d’octobre 2024 à novembre 2025.
- Threat Landscape 2025ENISA — 13ᵉ édition, v1.2, 4 875 incidents, 1er juillet 2024 – 30 juin 2025 · 2025Utilisé pour : L’administration publique, secteur le plus ciblé de l’UE. 4 875 incidents, du 1er juillet 2024 au 30 juin 2025.
- Directive (EU) 2022/2555 (NIS2)Journal officiel de l’Union européenne, JO L 333, 27.12.2022 · 2022Utilisé pour : Articles 2, 3, 20, 21(2)(g), 32(5) et 34 ; annexes I et II.
- Regulation (EU) 2022/2554 (DORA)Journal officiel de l’Union européenne — applicable depuis le 17 janvier 2025 · 2022Utilisé pour : Articles 5(4) et 13(6).
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organisation internationale de normalisation — 3ᵉ édition · 2022Utilisé pour : Clauses 7.2 et 7.3 ; intitulé de la mesure 6.3 de l’annexe A.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Département de la Santé et des Services sociaux des États-Unis (HHS), Office for Civil Rights — p. 8–14 · 2024Utilisé pour : La carte du secteur de la santé : 663 violations majeures, dont 164 survenues par e-mail.