Former les formateurs en cybersécurité : concevoir un programme train-the-trainer
Pourquoi le train-the-trainer est-il indispensable en cybersécurité ?
La pénurie de formateurs cybersécurité qualifiés n'est plus une projection : elle est documentée par les directions des ressources humaines des établissements supérieurs et des organismes de formation. Recruter un formateur cybersécurité expérimenté prend du temps, coûte cher et ne résout pas le problème structurel.
Le train-the-trainer (former les formateurs) offre une alternative concrète : capitaliser sur des enseignants en place — qui connaissent déjà l'établissement, les étudiants, les contraintes administratives — pour leur transférer les compétences cybersécurité nécessaires. C'est un investissement pédagogique à long terme.
Mais attention : un programme train-the-trainer mal conçu produit des formateurs fragiles, qui répètent des slides sans comprendre les mécanismes sous-jacents, incapables de répondre aux questions techniques imprévues. La qualité du programme de formation des formateurs détermine directement la qualité de l'enseignement qui en découle.
Ce guide s'adresse aux responsables pédagogiques, directeurs de département et coordinateurs de formation qui veulent structurer un programme sérieux plutôt que d'improviser un « passage de relais ».
Qui former ? Identifier les profils prioritaires dans votre organisation
Avant de concevoir le programme, il faut identifier les bons candidats. Tous les enseignants ne sont pas également armés pour monter en compétence en cybersécurité.
Les profils les plus réceptifs
Les enseignants en informatique, réseaux ou systèmes sont les candidats naturels. Ils disposent déjà des fondamentaux techniques (modèle OSI, administration système, scripting) sur lesquels s'appuie la plupart des contenus cybersécurité. Leur courbe d'apprentissage est significativement plus courte.
Les enseignants en droit, gestion ou management qui interviennent déjà sur des sujets liés à la conformité ou à la gestion des risques peuvent être formés sur les volets GRC (Gouvernance, Risque, Conformité), RGPD, ou sensibilisation non technique. Ce périmètre est moins exigeant techniquement mais requiert une précision réglementaire.
Les ingénieurs ou consultants en reconversion partielle vers l'enseignement constituent une cible de choix : ils apportent l'expertise terrain, le programme doit les aider à la transmettre pédagogiquement.
Critères de sélection
| Critère | Priorité haute | Priorité basse |
|---|---|---|
| Culture technique (réseaux, systèmes) | Oui | Non |
| Expérience d'animation de groupe | Utile | Manquante |
| Curiosité documentée pour la cyber | Forte | Absente |
| Disponibilité pour la formation continue | Flexible | Rigide |
| Appétence pour la mise à jour permanente | Naturelle | Contrainte |
Il n'est pas nécessaire que toutes les cases soient cochées, mais un candidat sans aucune culture technique et sans appétence pour le domaine sera difficile à former efficacement pour des contenus autres que la sensibilisation de base.
Que couvrir ? Les compétences à transférer
Un programme train-the-trainer bien structuré transfère deux types de compétences : les compétences de contenu (ce que le formateur sait sur la cybersécurité) et les compétences pédagogiques (comment il le transmet).
Les compétences de contenu : socle minimum par périmètre
Le niveau de contenu à maîtriser dépend directement du module que le formateur animera.
Pour la sensibilisation générale (phishing, mots de passe, ingénierie sociale, télétravail sécurisé) :
- Comprendre les mécanismes de l'ingénierie sociale et du phishing
- Maîtriser les bonnes pratiques hygiène numérique (MFA, mots de passe, sauvegardes)
- Savoir illustrer avec des cas réels récents et compréhensibles d'un public non technique
- Connaître le cadre réglementaire de base (RGPD, responsabilités de l'établissement)
Pour les modules techniques intermédiaires (sécurité réseau, cryptographie, sécurité web) :
- Solide compréhension des protocoles réseau et des vulnérabilités web courantes
- Capacité à manipuler les outils démontrés en TP (Wireshark, Burp Suite, Nmap)
- Connaissance des certifications de référence (CompTIA Security+, niveau de repère)
- Aptitude à créer et corriger des exercices pratiques
Pour les modules avancés (pentest, forensic, réponse à incident) :
- Expérience terrain ou formation spécialisée certifiée obligatoire
- Ces modules ne se délèguent pas à un formateur non-praticien
Les compétences pédagogiques transversales
Indépendamment du contenu, chaque formateur doit développer :
- La formulation d'objectifs pédagogiques mesurables : « À la fin de cette séance, l'étudiant sera capable de… »
- La gestion du temps en TP : anticiper les blocages, gérer les écarts de niveau, ne pas laisser les rapides s'ennuyer ni les lents décrocher
- Le feedback structuré : consulter notre guide sur le feedback efficace en TP de cybersécurité pour s'outiller correctement
- La gestion des questions déstabilisantes : répondre « je ne sais pas, je vérifierai » est une compétence, pas un aveu de faiblesse
- L'adaptation au niveau réel du groupe : diagnostiquer en 30 minutes, pas en 30 secondes
Concevoir le programme : durée, formats, séquençage
La structure en trois phases
Un programme train-the-trainer efficace ne se fait pas en une journée de « transfert de slides ». Il suit une progression en trois phases distinctes.
Phase 1 — Immersion de contenu (2 à 5 jours selon le périmètre)
Le futur formateur est d'abord apprenant. Il suit le module qu'il animera, dans les mêmes conditions que les étudiants. Cette expérience est irremplaçable : elle lui fait vivre les difficultés, identifier les points de blocage naturels, comprendre où les étudiants vont décrocher.
Ne pas sauter cette phase. Un formateur qui n'a jamais suivi le cours de sensibilisation qu'il va enseigner ne comprend pas ce que ressentent ses futurs apprenants.
Phase 2 — Formation pédagogique (2 jours)
C'est la phase souvent négligée. Elle couvre :
- La conception d'objectifs et la taxonomie de Bloom appliquée à la cybersécurité
- La gestion d'une salle technique : organisation des postes, gestion des incidents lab, timing
- Les techniques d'animation actives (questions socratiques, scénarios, démonstrations live)
- La création de grilles d'évaluation critériées
- L'utilisation des mécaniques de gamification pour maintenir l'engagement
Phase 3 — Co-animation et supervision (4 à 8 semaines)
Le formateur formé anime ses premières sessions en présence d'un expert ou d'un formateur expérimenté. Trois formats possibles :
- Co-animation : les deux interviennent, l'expert reprend les erreurs à chaud avec tact
- Observation supervisée : le formateur anime seul, l'expert observe et débrief après
- Supervision à distance : pour les établissements sans ressource interne, un consultant externe peut jouer ce rôle
Exemple de calendrier pour un module sensibilisation
| Semaine | Activité | Durée |
|---|---|---|
| S1 | Phase 1 : le formateur suit le module en tant qu'apprenant | 1 journée |
| S2 | Phase 2 : formation pédagogique (objectifs, animation, évaluation) | 2 journées |
| S3-S4 | Phase 3 : co-animation de 2 sessions avec expert | 2 × 3h |
| S5-S6 | Animation supervisée (observation + débriefing post) | 2 × 3h |
| S7 | Évaluation finale (simulation + entretien) | ½ journée |
Pour des modules plus techniques (sécurité web, Active Directory, etc.), doubler ou tripler les durées de la Phase 1 et de la Phase 3.
Valider les acquis : comment s'assurer que le formateur est prêt ?
La grille d'évaluation du formateur
L'évaluation du formateur formé doit être aussi rigoureuse que celle des étudiants. Elle porte sur deux dimensions :
Dimension technique :
- Exactitude des contenus présentés (pas d'erreurs factuelles ou réglementaires)
- Capacité à répondre à des questions de niveau +1 par rapport au contenu enseigné
- Pertinence des exemples et des analogies utilisés
Dimension pédagogique :
- Respect du timing et gestion du rythme
- Inclusion de tous les niveaux (ni trop facile, ni trop rapide)
- Qualité du feedback aux étudiants
- Réaction face à l'imprévu (question difficile, incident technique, étudiant démotivé)
La simulation de session
La méthode la plus efficace pour valider est la simulation de 45 minutes : le formateur anime un extrait de son module devant un petit groupe (pairs ou évaluateurs), suivi d'un debriefing structuré.
La simulation révèle ce que les tests écrits ne voient pas : la nervosité, la gestion du tableau blanc, la tendance à lire ses slides, l'incapacité à gérer une question hors script.
Le seuil d'autonomie supervisée
Après validation, le formateur obtient une autonomie supervisée : il anime seul, mais avec accès à un expert joignable pour les questions complexes, et une révision de ses sessions tous les trimestres. L'autonomie complète vient après une ou deux promotions animées avec succès.
Pièges courants et comment les éviter
Piège 1 : confondre « savoir » et « savoir enseigner »
Un expert technique brillant n'est pas automatiquement un bon formateur. L'expertise peut même nuire : elle crée une « malédiction de la connaissance » qui empêche de comprendre ce que ne sait pas encore l'apprenant.
Solution : ne pas sauter la phase pédagogique. Insister sur la formulation d'objectifs et sur les techniques de diagnostic du niveau réel.
Piège 2 : donner des slides et appeler ça « formation »
Transmettre un PowerPoint et quelques notes ne constitue pas un programme train-the-trainer. C'est une délégation déguisée, qui produit des formateurs récitateurs incapables de s'adapter.
Solution : exiger que le formateur formé construise lui-même au moins une partie de ses supports, à partir d'objectifs pédagogiques qu'il a rédigés.
Piège 3 : ignorer la mise à jour continue
La cybersécurité évolue vite. Un formateur formé en 2024 sur les vulnérabilités web qui n'a pas suivi les évolutions de 2025 et 2026 dispensera rapidement un contenu partiel ou inexact.
Solution : intégrer dans la convention du formateur une clause de mise à jour annuelle (participation à une conférence, suivi d'un MOOC de 10h, lecture d'un rapport ANSSI ou ENISA). Pour des écoles d'ingénieurs avec des contraintes statutaires, prévoir ce temps dans la charge de service.
Piège 4 : négliger le soutien institutionnel
Un formateur formé qui se retrouve seul face à des étudiants difficiles, sans ressource de secours, sans accès à un lab fonctionnel, abandonnera rapidement le sujet ou baissera son niveau d'exigence.
Solution : désigner un référent cybersécurité interne ou externe joignable, documenter les procédures de gestion des incidents lab, créer un canal d'échange entre formateurs (même informel).
Piège 5 : trop élargir le périmètre trop vite
Vouloir qu'un seul formateur couvre l'ensemble de la cybersécurité — de la sensibilisation au pentest — est irréaliste. Cela produit de la superficialité sur tous les sujets.
Solution : définir un périmètre réaliste par formateur et l'assumer. Mieux vaut un formateur excellent sur la sensibilisation et la GRC qu'un formateur approximatif sur tout.
Pérenniser le programme : gouvernance et indicateurs de suivi
Un programme train-the-trainer sans dispositif de suivi s'érode rapidement. Les formateurs débutants ont tendance à réduire leur périmètre dès la deuxième promotion, à retirer les exercices jugés « trop complexes », et à ne plus mettre à jour leurs supports face à la pression du temps. Le résultat est une dégradation silencieuse de la qualité.
Indicateurs de performance à suivre
Définissez dès le lancement trois à cinq indicateurs simples à collecter :
| Indicateur | Fréquence | Source |
|---|---|---|
| Satisfaction étudiants (note 1-5) | Chaque session | Formulaire anonyme |
| Taux de réussite aux évaluations du module | Par promotion | Données pédagogiques |
| Nombre d'erreurs factuelles signalées | Par session | Retour formateur référent |
| Mise à jour des supports (date dernière révision) | Semestrielle | Vérification directe |
| Disponibilité du formateur (taux d'annulations) | Annuelle | Planning |
Un tableau de bord simple partagé avec la direction pédagogique permet d'identifier rapidement les formateurs qui stagnent et ceux qui progressent.
La communauté de pratique comme moteur
Les programmes les plus durables sont ceux qui créent une dynamique entre les formateurs formés. Une réunion trimestrielle de 2 heures, un canal de messagerie dédié, ou même un dépôt partagé de ressources pédagogiques suffisent à créer une communauté de pratique où les formateurs s'entraident, partagent leurs adaptations et signalent les évolutions technologiques ou réglementaires à intégrer.
Cette dynamique collective compense partiellement le manque de temps individuel pour la veille : si dix formateurs surveillent chacun un aspect différent du domaine, l'information circule plus vite qu'un seul expert ne peut la produire.
Quand recertifier le formateur ?
Définissez un critère de recertification léger mais réel : participation à une journée de mise à jour annuelle, validation d'un module de veille en ligne, ou présentation d'un exemple récent intégré dans ses supports. Ce rituel annuel maintient le niveau sans alourdir une charge de service déjà contrainte.
Ce qu'il faut retenir
- Le train-the-trainer est une réponse structurelle à la pénurie de formateurs cybersécurité qualifiés, mais il exige un programme rigoureux en trois phases : immersion de contenu, formation pédagogique, co-animation supervisée.
- Les profils les plus efficaces à former sont ceux qui disposent déjà d'une culture technique (enseignants informatique, ingénieurs en transition). Pour les modules techniques avancés, une formation ou une expérience certifiée reste indispensable.
- La validation du formateur ne se réduit pas à un test écrit : la simulation d'une session de 45 minutes avec grille critériée est le standard.
- La mise à jour continue du contenu est une condition sine qua non de la qualité dans un domaine qui évolue aussi vite que la cybersécurité.
Vous souhaitez structurer un programme train-the-trainer adapté à votre établissement, ou identifier les bons profils pour former votre équipe pédagogique ? Cyber Teachers accompagne les directions pédagogiques dans la montée en compétence de leurs formateurs cybersécurité.