Qualiopi et formation en cybersécurité : ce que la certification garantit vraiment

Qualiopi apparaît dans presque tous les appels d’offres de formation, et son rôle est souvent mal compris. C’est une certification de processus, pas de contenu.

Comprendre ce qu’elle couvre — et ce qu’elle ne couvre pas — évite de fonder un choix sur un critère qui ne dit pas ce qu’on croit.

Ce que Qualiopi certifie

La certification atteste la conformité d’un prestataire d’actions de formation au Référentiel national qualité. Elle porte sur la qualité du processus mis en œuvre : information du public, identification des objectifs, adaptation aux bénéficiaires, moyens pédagogiques, qualification des intervenants, inscription dans l’environnement professionnel, recueil des appréciations, traitement des réclamations et amélioration continue.

Elle est délivrée par un organisme certificateur accrédité, avec un audit initial, un audit de surveillance en cours de cycle, et un audit de renouvellement.

Son enjeu principal est financier : elle conditionne l’accès aux fonds publics et mutualisés de la formation professionnelle. Un organisme non certifié peut former, mais ses actions ne sont pas finançables par ces canaux.

Ce qu’elle ne dit pas

C’est le point à retenir pour un acheteur de formation.

Elle ne juge pas le contenu. Un organisme peut être certifié et enseigner un programme daté ou approximatif. Le référentiel vérifie que les objectifs sont définis et cohérents, pas qu’ils sont pertinents techniquement.

Elle ne garantit pas la compétence du formateur sur le sujet. Elle exige que la qualification des intervenants soit documentée et adaptée — l’appréciation reste large.

Elle ne dit rien de la valeur de la certification obtenue. Une formation certifiante délivre un titre dont la reconnaissance dépend de l’organisme certificateur du domaine, pas de Qualiopi.

Autrement dit : Qualiopi est un critère d’éligibilité au financement et un signal de sérieux administratif. Ce n’est pas un critère de qualité pédagogique.

Ce qu’il faut regarder en plus, en cybersécurité

Le schéma de certification du domaine

Sur les formations certifiantes en sécurité de l’information, l’élément déterminant est l’organisme qui délivre la certification finale et sa reconnaissance sur le marché.

C’est ce qui distingue une attestation de présence d’un titre qu’un recruteur ou un client reconnaîtra — voir les certifications qui comptent.

Le profil réel du formateur

La question à poser : le formateur pratique-t-il le métier qu’il enseigne, et sur quelles missions ?

En cybersécurité, l’écart est net entre quelqu’un qui déroule un support et quelqu’un qui a mené des analyses de risques, des audits ou des mises en conformité. Le second répond aux questions qui sortent du programme — et ce sont celles qui font la valeur d’une session.

La mise à jour du programme

Le domaine bouge. Un programme ISO 27001 qui n’intègre pas la révision 2022, ou un module réglementaire qui ignore NIS 2 et l’AI Act, forme sur un état dépassé.

Demandez la date de dernière révision du programme et ce qui a changé.

Le taux de réussite à l’examen

Pour une formation certifiante, c’est un indicateur objectif. Un taux très bas signale un problème de préparation ; un taux de 100 % sur des volumes importants mérite aussi une question.

Les modalités

Présentiel, distanciel, e-learning : chacune convient à des besoins différents. Ce qui compte est la cohérence entre la modalité et l’objectif — une certification exigeant de la pratique et des échanges se prête mal à un format entièrement asynchrone.

Ce que la réglementation impose de votre côté

Un point souvent ignoré des directions : l’article 20 de NIS 2 impose la formation des organes de direction eux-mêmes, et encourage son extension aux salariés.

La mesure 6.3 d’ISO/IEC 27002:2022 impose de son côté une sensibilisation, une formation et un entraînement réguliers, adaptés aux fonctions.

Dans les deux cas, ce qui sera demandé en contrôle est une preuve : programme suivi, participants, dates, évaluation. Une formation sans traçabilité ne démontre rien.

Construire un plan de formation qui serve

Trois principes, tirés de ce que nous observons chez nos clients.

Certifier au moment du besoin. Financer une formation Lead Implementer à quelqu’un qui pilotera effectivement un projet de certification a un retour immédiat. La financer « pour l’employabilité », sans mise en pratique dans l’année, revient à payer un diplôme qui s’oubliera.

Différencier par population. La direction a besoin de comprendre les enjeux et sa responsabilité ; les équipes techniques ont besoin de méthode ; les fonctions exposées — comptabilité, ressources humaines — ont besoin de scénarios spécifiques, comme pour la fraude au virement.

Prévoir la mise en pratique. Une formation suivie sans application se dissipe en quelques mois. Le plus efficace est de la caler juste avant le chantier qu’elle doit servir.

Les questions à poser à un organisme

1. Quel organisme délivre la certification finale, et quelle est sa reconnaissance ?
2. Qui anime, et quelles missions mène-t-il par ailleurs ?
3. Quand le programme a-t-il été révisé pour la dernière fois ?
4. Quel est le taux de réussite à l’examen, sur quel volume ?
5. Quelle est la taille des groupes ?
6. Que se passe-t-il en cas d’échec à l’examen ?

La deuxième et la troisième sont les plus discriminantes.

Sources

• Ministère du Travail — Référentiel national qualité et certification Qualiopi
• Directive (UE) 2022/2555 (NIS 2), article 20
• ISO/IEC 27002:2022, mesure 6.3

Aller plus loin

Cyberdian est certifié Qualiopi et partenaire PECB. Notre catalogue de formations certifiantes couvre ISO 27001, ISO 22301, ISO 27005, EBIOS Risk Manager, NIS 2 et DORA, en présentiel à Paris ou en distanciel, avec une partie du catalogue en e-learning. Voir aussi pourquoi et comment se certifier.