Formation en cybersécurité : en ligne, atelier ou simulations ?
Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.
Faits vérifiés : octobre 2026Ce comparatif n’est pas commandité.
Notre recommandation selon votre situation
Cabinet de 12 personnes à Québec qui part de zéro
Atelier en personne
Une première séance en français, bâtie sur vos propres courriels et vos outils, crée une base commune et ouvre la discussion. Ajoutez ensuite des rappels courts : une séance par année ne suffit pas.
Distributeur de 60 employés sur trois sites, avec des quarts de soir
Plateforme en ligne
Des modules courts accessibles à toute heure rejoignent chaque quart de travail, et les registres de complétion se tiennent seuls. Vérifiez que le contenu est réellement offert en français.
Entreprise de 120 employés qui remplit un questionnaire d'assurance et documente sa conformité à la Loi 25
Programme annuel combiné
Formation de base, rappels, simulations et modules pour la direction et les finances, réunis dans un plan annuel : c'est ce qui produit des preuves solides et une mesure de l'efficacité, comme le suggère la CAI.
Comparaison point par point
Critère
Plateforme en ligne
Atelier en personne
Simulations d'hameçonnage
Programme annuel combiné
Engagement des employés
Variable : bon si les modules sont courts et renouvelés
Élevé pendant la séance
Élevé sur le moment ; fragile si l'approche est punitive
Le plus soutenu : messages courts et fréquents toute l'année
Mesurabilité
Complétion et résultats aux quiz, par employé
Présences, sauf si vous ajoutez un questionnaire
Taux de signalement et de clics, par campagne
Complétion, signalements et tendances d'une année à l'autre
Ce que la méthode exerce
Les connaissances
Les connaissances et la discussion
Le réflexe devant un courriel réaliste
Connaissances, réflexes et responsabilités propres à chaque rôle
Adaptation aux rôles
Selon la plateforme (parcours par rôle)
Oui : contenu ajusté au groupe
Oui : campagnes par service
Oui : base pour tous, modules par rôle
Modèle de coût
Licence ou abonnement, souvent par utilisateur
Par séance, plus le temps des employés
Outil ou service, souvent par utilisateur
Addition des composantes sur l'année
Disponibilité en français
Variable : vérifier le contenu, pas seulement l'interface
Oui, si le formateur l'offre en français
Selon l'outil : courriels piégés et pages de formation à vérifier
À exiger pour chaque composante
Preuve pour la Loi 25 et l'assureur
Registres individuels de formation
Feuilles de présence et contenu présenté
Rapports de campagne : signalements, clics, formation suivie
Une formation de base pour tous, des rappels courts toute l'année, des simulations et des modules par rôle, réunis dans un plan annuel.
Idéal pour
Les PME qui doivent démontrer leurs mesures à un assureur, à un client ou au regard de la Loi 25.
Prix
Addition des composantes, à budgéter sur l'année
Points forts
Couvre la base, la pratique et la mesure
Suit l'approche par cycle de vie du NIST (SP 800-50 Rev. 1)
Produit les preuves les plus complètes : plan, registres, résultats
Limites
Exige un responsable et un calendrier
Le plus exigeant en temps de gestion
L'effet sur les comportements prend du temps à se voir (NCSC)
Tout le monde s'entend pour dire qu'il faut former les employés. Le désaccord commence au moment de choisir comment. Une plateforme en ligne ? Un atelier dans la salle de conférence ? De faux courriels d'hameçonnage ? Chaque formule a ses défenseurs, et chaque fournisseur vante la sienne.
Les autorités, elles, convergent. Le Centre canadien pour la cybersécurité demande aux PME d'investir dans la sensibilisation et la formation de leurs employés, et recommande d'y intégrer des exercices pratiques. La CISA rappelle qu'il faut répéter la formation régulièrement. Ce comparatif vous aide à composer la bonne combinaison selon votre taille et vos obligations.
Notre méthode
Nous comparons des approches, pas des fournisseurs. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, du NCSC britannique, du NIST, de la CISA, de la CAI et de l'OQLF, consultées en octobre 2026.
Critères retenus : engagement, mesurabilité, ce que la méthode exerce, adaptation aux rôles, modèle de coût, disponibilité en français, preuves et effort de gestion.
Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.
La formation en ligne règle un problème concret : rejoindre tout le monde, y compris le quart de soir et les employés en télétravail. Le Centre canadien mentionne la formation par ordinateur comme moyen de rafraîchir les connaissances, et demande de conserver des registres individuels de formation. Une plateforme les produit automatiquement.
Sa limite est l'engagement. Le NCSC britannique recommande des messages courts et fréquents, et met en garde contre la même vidéo reprise d'année en année. Il existe des modules gratuits de qualité, comme celui du NCSC, qui se suit en moins de 30 minutes, mais il n'est offert qu'en anglais et en gallois. Au Québec, l'OQLF rappelle que les formations offertes au personnel doivent être disponibles en français : vérifiez le contenu, pas seulement le menu.
Rien ne remplace un formateur qui montre un vrai courriel reçu la semaine dernière par la comptabilité. Le NCSC recommande justement de relier la formation au travail quotidien des participants. L'atelier permet aussi d'aborder ce qu'un module en ligne contourne : les virements urgents demandés par « le président », la gêne de signaler une erreur.
Son défaut est d'être ponctuel. Le NCSC juge des messages courts et fréquents plus efficaces qu'une séance d'une heure par année. Un atelier sert donc de point de départ, ou de rendez-vous annuel, pas de programme complet.
Les simulations mesurent ce qu'aucun quiz ne mesure : le geste devant un courriel réaliste. Le Centre canadien recommande d'inclure dans la formation des exercices pratiques qui simulent de vraies attaques. Les outils produisent des rapports précis : qui a reçu le message, qui l'a signalé, qui a cliqué ou saisi ses identifiants, qui a suivi la formation assignée.
Le NCSC britannique pose toutefois deux limites fermes. Aucune formation, simulations comprises, ne peut apprendre à repérer chaque hameçonnage. Et punir les employés qui cliquent mine la confiance et décourage les signalements. Mesurez d'abord le taux de signalement, pas seulement les clics. Notre article sur la simulation d'hameçonnage détaille la façon de procéder sans piéger personne.
Le NIST, dans sa publication SP 800-50 Rev. 1 (septembre 2024), décrit la formation comme un programme à cycle de vie, avec des indicateurs et des méthodes d'évaluation pour l'améliorer. La CAI va dans le même sens dans son guide de janvier 2026 : former et sensibiliser le personnel, concevoir un plan d'action annuel, puis mesurer l'effet d'une campagne sur l'hameçonnage.
Pour une entreprise de 120 employés, cela peut donner : un module de base à l'embauche, un rappel de cinq minutes chaque mois, une simulation chaque trimestre et un atelier annuel pour les finances et la direction. C'est aussi ce qui produit les meilleures preuves : un plan, des registres de complétion, des résultats de simulation qui s'améliorent. Un assureur peut aussi vous demander quelles mesures de sécurité vous avez mises en place, rappelle Pensez cybersécurité ; notre guide pour réussir le questionnaire d'assurance cyber indique quoi préparer.
Des modules par rôle pour les finances, la direction et les administrateurs, avant l'octroi de leurs accès.
Des simulations qui mesurent les signalements, sans sanction.
Un contenu entièrement en français.
Un registre à jour : qui a suivi quoi, et quand.
Notre accompagnement continu inclut la formation de sensibilisation et les simulations d'hameçonnage, intégrées à votre plan annuel.
Questions fréquentes
À quelle fréquence faut-il former les employés en cybersécurité ?+
La Loi 25 ne fixe pas de fréquence. Le NCSC britannique recommande des messages courts et fréquents plutôt qu'une séance d'une heure par année, et le Centre canadien pour la cybersécurité demande de revoir le programme chaque année. Nous suggérons une formation de base à l'embauche, avant l'octroi des accès, puis un rappel court chaque mois ou chaque trimestre.
Faut-il sanctionner les employés qui cliquent pendant une simulation ?+
Non. Le NCSC britannique prévient que punir ceux qui cliquent sur vos propres faux courriels ressemble à un piège et décourage les signalements. Mesurez plutôt combien de personnes signalent le message, et offrez une courte formation à celles qui ont cliqué.
La Loi 25 exige-t-elle une formation en cybersécurité ?+
La loi oblige les entreprises à prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels (art. 10). Dans son guide sur la prévention des incidents de confidentialité (janvier 2026), la CAI cite la formation et la sensibilisation du personnel parmi ces mesures, et suggère de mesurer l'effet d'une campagne sur l'hameçonnage. Validez la portée exacte de vos obligations avec votre conseiller juridique.
Une formation offerte seulement en anglais est-elle acceptable au Québec ?+
L'Office québécois de la langue française indique que l'employeur doit rendre disponibles en français les formations offertes à son personnel et les documents de formation produits à son intention, peu importe le support. Une plateforme dont seule l'interface est traduite risque donc de ne pas suffire. Validez avec votre conseiller juridique.