--- id: CP-388 slug: courbe-oubli-ebbinghaus-formation-annuelle lang: fr title: La courbe de l'oubli d'Ebbinghaus description: "Pourquoi une formation annuelle unique ne suffit pas : ce que disent l'ENISA, le NIST, le NCSC et la CISA sur la conception et la mesure." canonical_url: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « La courbe de l'oubli d'Ebbinghaus », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ (CC BY 4.0) wing: 6 theme: learn_with_brain reflex: cr-015 schema: G2 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ en: https://startbrain.io/cyberpedia/en/articles/ebbinghaus-forgetting-curve-annual-training/ de: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ es: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ sources: - "n": 1 title: "Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity" publisher: ENISA url: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity published: "2019-04-16" accessed: "2026-11-03" - "n": 2 title: Addressing Skills Shortage and Gap Through Higher Education publisher: ENISA url: https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education published: "2021-11-24" accessed: "2026-11-03" - "n": 3 title: Building a Cybersecurity and Privacy Learning Program publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/50/r1/final published: "2024-09-12" accessed: "2026-11-03" - "n": 4 title: A Role-Based Model for Federal Information Technology/Cybersecurity Training publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/16/r1/2pd published: "2013-10-24" accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Cybersecurity Awareness Month publisher: CISA url: https://www.cisa.gov/cybersecurity-awareness-month accessed: "2026-11-03" --- # La courbe de l'oubli d'Ebbinghaus Une séance de sensibilisation d'une heure, une fois par an, laisse-t-elle des traces durables ? La courbe de l'oubli d'Ebbinghaus sert de point de départ à cette fiche pour en douter. Cette fiche en tire une idée simple : mieux vaut des rappels courts et répétés qu'une grande séance isolée. Une précision d'abord. Les pages consultées pour cette fiche sont des guides et des pages d'orientation de l'ENISA, du NIST, du NCSC britannique et de la CISA. Aucune ne décrit la courbe d'Ebbinghaus ni ne chiffre ce qu'un salarié retient après quelques semaines. La fiche ne donne donc aucun pourcentage d'oubli. Elle s'en tient à ce que ces organismes disent de la conception et du suivi des programmes de sensibilisation. ## En 30 secondes - Où ça arrive : dans toute organisation qui limite la sensibilisation à une séance annuelle. - Ce qu'il faut retenir : le guide du NIST décrit une approche en cycle de vie, avec des méthodes d'évaluation pour l'améliorer et la mettre à jour régulièrement [3]. - Le réflexe : signaler tout de suite un message suspect, sans attendre la prochaine formation. - Si c'est déjà fait : si vous avez répondu à un message douteux, prévenez votre équipe sécurité sans tarder. Le NCSC, service britannique, publie une page sur la façon de signaler un message suspect et sur la marche à suivre après une réponse à une arnaque par courriel [5]. ## Questions directes ### Que dit la courbe de l'oubli d'Ebbinghaus ? Aucune des sources citées ici ne la décrit. La fiche ne peut donc pas en citer les valeurs. Son rapport avec la formation annuelle reste une hypothèse de travail de cette fiche, non un résultat établi par les pages consultées. ### Une formation par an suffit-elle ? Les pages consultées ne le disent pas en ces termes. Le NIST décrit en revanche une approche en cycle de vie, qui gère ensemble la sensibilisation, la formation et l'éducation, avec des méthodes d'évaluation pour améliorer et mettre à jour le programme régulièrement [3]. On peut en déduire, sans que la source le dise, qu'un tel programme dépasse une séance par an. ### Qu'attendent les guides d'un programme de sensibilisation ? Le NIST écrit : « The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization. » [3] Le but visé est donc un changement de comportement. ### Existe-t-il un guide européen sur la culture de sécurité ? Oui. L'ENISA a publié le 16 avril 2019 un rapport consacré aux aspects humains de la cybersécurité. Il couvre la psychologie et la sociologie, mais aussi l'ethnographie, l'anthropologie, la biologie humaine et l'économie comportementale [1]. ## Ce que ça change pour un salarié Pour le salarié, l'enjeu pratique est de ne pas dépendre d'un souvenir. Une séance suivie une fois ne remplace pas un geste simple à portée de main. Le NCSC en donne un exemple : signaler un message d'hameçonnage. Selon sa page, le signalement est gratuit et ne prend qu'une minute : « Reporting a scam is free and only takes a minute. » [5] Le NCSC explique que ces signalements permettent de réduire le nombre de communications frauduleuses reçues, de devenir une cible plus difficile et de protéger les autres [5]. Le service dit aussi avoir le pouvoir d'enquêter sur les adresses et sites frauduleux et de les faire retirer [5]. Le NCSC ajoute une habitude qui ne demande aucune formation : les criminels utilisent les informations disponibles en ligne, réseaux sociaux compris, pour rendre leurs messages plus convaincants. Réfléchir à ce que l'on publie et revoir ses réglages de confidentialité réduit le risque d'être visé [5]. La CISA résume les gestes de base en quatre points, présentés pendant le mois de la cybersécurité, en octobre : éviter et signaler l'hameçonnage, utiliser des mots de passe robustes, activer l'authentification multifacteur avec un gestionnaire de mots de passe, mettre à jour les logiciels [6]. Chaque rappel (une affiche, un message interne, un court point d'équipe) peut en reprendre un seul. ## Ce que ça change pour la direction Pour la direction, les sources consultées vont dans le sens de la mesure plutôt que du simple décompte des participants. Le NIST indique que son guide comprend des indicateurs et des méthodes d'évaluation proposés, afin d'améliorer régulièrement le programme [3]. Il précise aussi que les recommandations sont adaptables, pour des organisations grandes ou petites, y compris celles qui bâtissent un programme de zéro [3]. Le NIST présente son programme comme un processus qui gère la sensibilisation, la formation et l'éducation pour un ensemble varié de publics d'employés fédéraux [3]. Un deuxième projet public de 2013, depuis remplacé, décrivait un modèle de formation par rôle pour les personnes ayant des responsabilités importantes en informatique ou en cybersécurité [4]. Dans cette fiche, on en déduit qu'un module annuel identique pour tous répond mal à cette diversité de publics, mais aucune source ne l'affirme. La CISA propose de son côté une trousse d'outils pour le mois de la cybersécurité 2026, avec des visuels et des présentations que les organisations peuvent utiliser pour leurs propres campagnes [6]. L'ENISA décrit les politiques des États membres de l'Union selon quatre objectifs : sensibilisation, formation, défis et exercices [2]. La sensibilisation y est un objectif parmi d'autres, avec la formation et les exercices. Aucune de ces pages ne fixe de seuil de fréquence, par exemple un nombre de rappels par an. La fiche n'en donne donc pas. ## Ce que dit le texte Le principal document consulté est la publication SP 800-50 révision 1 du NIST, intitulée « Building a Cybersecurity and Privacy Learning Program ». Elle fournit aux agences fédérales américaines et aux organisations des orientations pour bâtir un programme d'apprentissage en cybersécurité et protection de la vie privée selon une approche de cycle de vie [3]. Elle s'appuie sur des normes, des réglementations, des textes législatifs et des bonnes pratiques largement admis [3]. Cette publication remplace la SP 800-50 de 2003 et la SP 800-16 de 1998 [3]. La page cite le Cybersecurity Enhancement Act et la circulaire OMB A-130 parmi les lois et réglementations associées [3]. Une version antérieure de la SP 800-16 révision 1, datée d'octobre 2013, décrit un modèle de formation par rôle. Elle précise que chaque personne qui possède, utilise ou gère des informations doit bien comprendre ses responsabilités de sécurité [4]. Cette version est un second projet public et la page indique qu'elle a été remplacée le 14 mars 2014 par un troisième projet [4]. Le rapport de l'ENISA de 2021 formule pour sa part cinq recommandations sur la pénurie de compétences en cybersécurité dans l'Union. Les pages consultées n'en détaillent pas le contenu [2]. ## Où en est l'application Les documents consultés sont des guides. Les pages ne parlent pas d'obligation légale pour une entreprise privée de former ses salariés à une fréquence donnée, et la fiche n'en affirme aucune. Côté américain, la version finale de la SP 800-50 révision 1 date de septembre 2024, après deux projets publiés en septembre 2021 et en août 2023 [3]. Elle s'adresse aux agences fédérales et aux organisations [3]. Côté européen, la page de l'ENISA sur la culture de cybersécurité classe son rapport de 2019 parmi les contenus écrits pour le secteur privé [1]. Elle liste aussi des rendez-vous : une troisième conférence européenne sur la sensibilisation, prévue le 11 novembre 2026 [1]. Les pages ne disent pas quelles organisations appliquent ces guides, ni avec quels résultats. Quant à l'idée centrale de cette fiche, elle reste à vérifier dans une source dédiée. Une mesure des comportements réels, par exemple le taux de signalement des messages suspects, est cohérente avec les orientations du NIST. Aucun des documents consultés ne la chiffre. ## Sources 1. ENISA, « Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity », 16 avril 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consulté le 3 novembre 2026) 2. ENISA, « Addressing Skills Shortage and Gap Through Higher Education », 24 novembre 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consulté le 3 novembre 2026) 3. NIST, « Building a Cybersecurity and Privacy Learning Program », 12 septembre 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (consulté le 3 novembre 2026) 4. NIST, « A Role-Based Model for Federal Information Technology/Cybersecurity Training », 24 octobre 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Phishing scams: how to spot and report them », 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consulté le 3 novembre 2026) 6. CISA, « Cybersecurity Awareness Month ». https://www.cisa.gov/cybersecurity-awareness-month (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.