- Téléchargez notre catalogue
- +33 1 89 62 34 30
- formation@acgcybersecurity.fr
Leader in the cybersecurity training sector.
- Téléchargez notre catalogue
- +33 1 89 62 34 30
Leader in the cybersecurity training sector.
Àretenir
Le CISSP est la certification internationale de référence pour les professionnels qui pilotent la sécurité d’une organisation. Elle est délivrée par ISC2, l’association qui définit son référentiel de connaissances, le CBK. Et chaque session de préparation nous met face au même profil : un ingénieur ou un architecte de dix ans de métier, très solide sur son périmètre, qui découvre en salle qu’il répond régulièrement à côté. Non par manque de connaissances, mais parce que la question posée n’est pas celle qu’il croit.
Trois points reviennent systématiquement, et aucun n’est une affaire de niveau technique. Cet article explique ce que la certification évalue réellement, quelle expérience elle exige, et ce qui se passe après l’examen. Il ne traite pas de la stratégie de certification d’une organisation en particulier, qui dépend de ses propres besoins.
Ce que l’examen évalue réellement
Le CBK couvre huit domaines, de la gouvernance des risques à la sécurité du développement logiciel. Cette largeur laisse penser qu’il s’agit d’un examen technique très étendu. C’est une lecture trompeuse.
Le CISSP évalue une posture. Devant un incident, la bonne réponse est presque toujours celle qui traite la cause organisationnelle, pas celle qui corrige le symptôme. Un excellent ingénieur ira instinctivement vers le correctif. L’examen attend qu’il remonte à la procédure absente, à la revue d’accès qui n’a pas eu lieu, à l’analyse de risque qui n’a pas été menée.
Le basculement est inconfortable pour qui a construit sa carrière sur la maîtrise technique. C’est aussi, précisément, ce que la certification valide : la capacité à arbitrer plutôt qu’à exécuter. Et c’est ce qui explique sa valeur sur le marché du travail.
La condition d’expérience écarte des candidats qui y sont éligibles
C’est l’obstacle le plus fréquent, et le plus regrettable, parce qu’il élimine des candidats avant même qu’ils ne se renseignent.
Le CISSP exige cinq ans d’expérience professionnelle cumulée, à temps plein, dans au moins deux des huit domaines du CBK. Deux sur huit, pas les huit. La nuance change tout.
Les huit domaines du CBK. Deux suffisent.
L’expérience exigée se compte sur deux domaines au choix, pas sur l’ensemble du référentiel.
DOMAINE 1
Risk management
DOMAINE 2
Asset Security
DOMAINE 3
Architecture et ingénierie
DOMAINE 4
Réseaux et communications
DOMAINE 5
Identités et accès
DOMAINE 6
Évaluation et tests
DOMAINE 7
Security Operations
DOMAINE 8
Développement logiciel
Exemple : un ingénieur réseau ayant aussi géré des habilitations remplit déjà la condition.
Un diplôme reconnu ou une certification approuvée par ISC2 remplace par ailleurs une de ces cinq années. Beaucoup de professionnels remplissent donc la condition depuis plusieurs années sans l’avoir jamais vérifié.
Et si les cinq ans ne sont pas atteints, la voie n’est pas fermée : il reste possible de passer l’examen et de devenir Associate of ISC2, avec six ans devant soi pour réunir l’expérience et obtenir le titre.
En pratique. Avant de renoncer, faites vérifier votre situation. Il suffit de lister vos postes, leurs durées et leur périmètre. L’exercice prend dix minutes et il change la réponse plus souvent qu’on ne l’imagine.
Réussir l’examen ne suffit pas
Dernier point, presque jamais anticipé : l’examen n’est pas la fin du parcours.
Une fois le score obtenu, le candidat dispose de neuf mois pour constituer un dossier d’expérience et obtenir le parrainage d’un membre déjà certifié. Tant que cette validation n’est pas prononcée par ISC2, la certification n’est pas délivrée. Nous voyons régulièrement des candidats laisser filer ce délai, faute d’avoir su qu’il existait.
L'examen est la quatrième. La formation intervient à la troisième.
Passé ce délai de neuf mois, le bénéfice de l'examen est perdu et la certification n'est pas délivrée.
Le délai de neuf mois pour faire valider son expérience est l’étape la moins connue du parcours, et la plus coûteuse à manquer. Source : ISC2.
La certification se maintient ensuite dans la durée, par des crédits de formation continue et une cotisation annuelle. Là encore, mieux vaut le savoir avant de s’engager qu’après.
Ce que change une formation officielle
ISC2 est clair sur ce point, et nous le sommes aussi : suivre une formation n’est pas obligatoire pour passer l’examen. Beaucoup de candidats se préparent seuls, avec les ouvrages officiels, et réussissent.
Ce qu’apporte une formation officielle est plus circonscrit, mais réel. Le support de cours est celui qu’ISC2 développe et met à jour, en tant que créateur du référentiel. L’instructeur est agréé par ISC2 et titulaire de la certification qu’il enseigne. Et le temps passé en salle sert d’abord à ce que la lecture solitaire ne permet pas : confronter son raisonnement à celui du groupe, sur des cas où la réponse technique n’est pas la bonne.
ACG Cybersecurity figure à l’annuaire des partenaires officiels de formation ISC2 pour la France, la Belgique et la Suisse, ainsi que pour l’Algérie, le Maroc, la Tunisie, le Sénégal, le Rwanda et la République démocratique du Congo.
Nos sessions se tiennent au Campus Cyber, à Paris La Défense, ou à distance, et sont animées en français comme en anglais.
Ce que nos participants nous ont fait changer
Les retours de nos dernières sessions convergent sur un point : le programme officiel est dense, et c’est le temps de mise en pratique qui en pâtit quand une semaine prend du retard.
Nous en avons tiré deux décisions. Chaque inscrit reçoit désormais, avant la session, l’ordre de lecture du CBK et les chapitres à traiter en priorité, pour arriver le lundi matin avec les bases posées. Et nous limitons volontairement l’effectif, pour que la question d’un participant profite au groupe plutôt qu’elle ne le ralentisse.
La conviction est simple : sur une certification qui se prépare en plusieurs mois, la semaine de formation ne vaut que par ce qui l’entoure.
Pour aller plus loin
Le détail du programme, les sessions et les tarifs figurent sur la fiche de la formation CISSP. L’ensemble de nos certifications ISC2, du niveau débutant aux fonctions de direction, est présenté sur la page dédiée.
Si vous avez un doute sur votre éligibilité, écrivez-nous à formation@acgcybersecurity.fr avec votre parcours en quelques lignes : postes occupés, durées, périmètre. Nous vous répondons sur votre situation, avant toute inscription.
Questions fréquentes
Le Certified Information Systems Security Professional est une certification délivrée par ISC2. Elle valide la capacité à concevoir et piloter la sécurité de l’information d’une organisation, sur les huit domaines de son référentiel de connaissances, le CBK.
Cinq ans d’expérience professionnelle cumulée, à temps plein, dans au moins deux des huit domaines du CBK, et non dans les huit. Un diplôme reconnu ou une certification approuvée par ISC2 remplace une de ces cinq années.
Oui. L’examen reste accessible. En cas de réussite, le candidat devient Associate of ISC2 et dispose de six ans pour réunir l’expérience requise et obtenir le titre.
Il couvre huit domaines techniques mais évalue un raisonnement de décideur. Face à un incident, la réponse attendue traite la cause organisationnelle plutôt que le symptôme.
Le candidat dispose de neuf mois pour constituer un dossier d’expérience et obtenir le parrainage d’un membre certifié. La certification n’est délivrée qu’à l’issue de cette validation.
Non. ISC2 indique que la formation n’est requise ni pour passer ni pour réussir l’examen. Elle apporte une structure de révision et la confrontation du raisonnement, pas la connaissance elle-même.
Head of ACG CyberAcademy, l'organisme de formation d'ACG Cybersecurity implanté au Campus Cyber à Paris La Défense. Présidente de MEDRH & PREVENTUM Summit, entrepreneur. Ancien directeur chez Global Knowledge France, Sopra HR Software, Ooredoo Télécom et Poulina Group Holding.
Publié le 16 septembre 2026 · Mis à jour le 16 septembre 2026 · Conditions de certification vérifiées auprès d’ISC2 le 1er septembre 2026.
Àretenir
Le CISSP est la certification internationale de référence pour les professionnels qui pilotent la sécurité d’une organisation. Elle est délivrée par ISC2, l’association qui définit son référentiel de connaissances, le CBK. Et chaque session de préparation nous met face au même profil : un ingénieur ou un architecte de dix ans de métier, très solide sur son périmètre, qui découvre en salle qu’il répond régulièrement à côté. Non par manque de connaissances, mais parce que la question posée n’est pas celle qu’il croit.
Trois points reviennent systématiquement, et aucun n’est une affaire de niveau technique. Cet article explique ce que la certification évalue réellement, quelle expérience elle exige, et ce qui se passe après l’examen. Il ne traite pas de la stratégie de certification d’une organisation en particulier, qui dépend de ses propres besoins.
Ce que l’examen évalue réellement
Le CBK couvre huit domaines, de la gouvernance des risques à la sécurité du développement logiciel. Cette largeur laisse penser qu’il s’agit d’un examen technique très étendu. C’est une lecture trompeuse.
Le CISSP évalue une posture. Devant un incident, la bonne réponse est presque toujours celle qui traite la cause organisationnelle, pas celle qui corrige le symptôme. Un excellent ingénieur ira instinctivement vers le correctif. L’examen attend qu’il remonte à la procédure absente, à la revue d’accès qui n’a pas eu lieu, à l’analyse de risque qui n’a pas été menée.
Le basculement est inconfortable pour qui a construit sa carrière sur la maîtrise technique. C’est aussi, précisément, ce que la certification valide : la capacité à arbitrer plutôt qu’à exécuter. Et c’est ce qui explique sa valeur sur le marché du travail.
La condition d’expérience écarte des candidats qui y sont éligibles
C’est l’obstacle le plus fréquent, et le plus regrettable, parce qu’il élimine des candidats avant même qu’ils ne se renseignent.
Le CISSP exige cinq ans d’expérience professionnelle cumulée, à temps plein, dans au moins deux des huit domaines du CBK. Deux sur huit, pas les huit. La nuance change tout.
Les huit domaines du CBK. Deux suffisent.
L’expérience exigée se compte sur deux domaines au choix, pas sur l’ensemble du référentiel.
DOMAINE 1
Risk management
DOMAINE 2
Asset Security
DOMAINE 3
Architecture et ingénierie
DOMAINE 4
Réseaux et communications
DOMAINE 5
Identités et accès
DOMAINE 6
Évaluation et tests
DOMAINE 7
Security Operations
DOMAINE 8
Développement logiciel
Exemple : un ingénieur réseau ayant aussi géré des habilitations remplit déjà la condition.
Un diplôme reconnu ou une certification approuvée par ISC2 remplace par ailleurs une de ces cinq années. Beaucoup de professionnels remplissent donc la condition depuis plusieurs années sans l’avoir jamais vérifié.
Et si les cinq ans ne sont pas atteints, la voie n’est pas fermée : il reste possible de passer l’examen et de devenir Associate of ISC2, avec six ans devant soi pour réunir l’expérience et obtenir le titre.
En pratique. Avant de renoncer, faites vérifier votre situation. Il suffit de lister vos postes, leurs durées et leur périmètre. L’exercice prend dix minutes et il change la réponse plus souvent qu’on ne l’imagine.
Réussir l’examen ne suffit pas
Dernier point, presque jamais anticipé : l’examen n’est pas la fin du parcours.
Une fois le score obtenu, le candidat dispose de neuf mois pour constituer un dossier d’expérience et obtenir le parrainage d’un membre déjà certifié. Tant que cette validation n’est pas prononcée par ISC2, la certification n’est pas délivrée. Nous voyons régulièrement des candidats laisser filer ce délai, faute d’avoir su qu’il existait.
L'examen est la quatrième. La formation intervient à la troisième.
Passé ce délai de neuf mois, le bénéfice de l'examen est perdu et la certification n'est pas délivrée.
Le délai de neuf mois pour faire valider son expérience est l’étape la moins connue du parcours, et la plus coûteuse à manquer. Source : ISC2.
La certification se maintient ensuite dans la durée, par des crédits de formation continue et une cotisation annuelle. Là encore, mieux vaut le savoir avant de s’engager qu’après.
Ce que change une formation officielle
ISC2 est clair sur ce point, et nous le sommes aussi : suivre une formation n’est pas obligatoire pour passer l’examen. Beaucoup de candidats se préparent seuls, avec les ouvrages officiels, et réussissent.
Ce qu’apporte une formation officielle est plus circonscrit, mais réel. Le support de cours est celui qu’ISC2 développe et met à jour, en tant que créateur du référentiel. L’instructeur est agréé par ISC2 et titulaire de la certification qu’il enseigne. Et le temps passé en salle sert d’abord à ce que la lecture solitaire ne permet pas : confronter son raisonnement à celui du groupe, sur des cas où la réponse technique n’est pas la bonne.
ACG Cybersecurity figure à l’annuaire des partenaires officiels de formation ISC2 pour la France, la Belgique et la Suisse, ainsi que pour l’Algérie, le Maroc, la Tunisie, le Sénégal, le Rwanda et la République démocratique du Congo.
Nos sessions se tiennent au Campus Cyber, à Paris La Défense, ou à distance, et sont animées en français comme en anglais.
Ce que nos participants nous ont fait changer
Les retours de nos dernières sessions convergent sur un point : le programme officiel est dense, et c’est le temps de mise en pratique qui en pâtit quand une semaine prend du retard.
Nous en avons tiré deux décisions. Chaque inscrit reçoit désormais, avant la session, l’ordre de lecture du CBK et les chapitres à traiter en priorité, pour arriver le lundi matin avec les bases posées. Et nous limitons volontairement l’effectif, pour que la question d’un participant profite au groupe plutôt qu’elle ne le ralentisse.
La conviction est simple : sur une certification qui se prépare en plusieurs mois, la semaine de formation ne vaut que par ce qui l’entoure.
Pour aller plus loin
Le détail du programme, les sessions et les tarifs figurent sur la fiche de la formation CISSP. L’ensemble de nos certifications ISC2, du niveau débutant aux fonctions de direction, est présenté sur la page dédiée.
Si vous avez un doute sur votre éligibilité, écrivez-nous à formation@acgcybersecurity.fr avec votre parcours en quelques lignes : postes occupés, durées, périmètre. Nous vous répondons sur votre situation, avant toute inscription.
Questions fréquentes
Le Certified Information Systems Security Professional est une certification délivrée par ISC2. Elle valide la capacité à concevoir et piloter la sécurité de l’information d’une organisation, sur les huit domaines de son référentiel de connaissances, le CBK.
Cinq ans d’expérience professionnelle cumulée, à temps plein, dans au moins deux des huit domaines du CBK, et non dans les huit. Un diplôme reconnu ou une certification approuvée par ISC2 remplace une de ces cinq années.
Oui. L’examen reste accessible. En cas de réussite, le candidat devient Associate of ISC2 et dispose de six ans pour réunir l’expérience requise et obtenir le titre.
Il couvre huit domaines techniques mais évalue un raisonnement de décideur. Face à un incident, la réponse attendue traite la cause organisationnelle plutôt que le symptôme.
Le candidat dispose de neuf mois pour constituer un dossier d’expérience et obtenir le parrainage d’un membre certifié. La certification n’est délivrée qu’à l’issue de cette validation.
Non. ISC2 indique que la formation n’est requise ni pour passer ni pour réussir l’examen. Elle apporte une structure de révision et la confrontation du raisonnement, pas la connaissance elle-même.
Head of ACG CyberAcademy, l'organisme de formation d'ACG Cybersecurity implanté au Campus Cyber à Paris La Défense. Présidente de MEDRH & PREVENTUM Summit, entrepreneur. Ancien directeur chez Global Knowledge France, Sopra HR Software, Ooredoo Télécom et Poulina Group Holding.
Publié le 16 septembre 2026 · Mis à jour le 16 septembre 2026 · Conditions de certification vérifiées auprès d’ISC2 le 1er septembre 2026.
Demande d’information
Demande d’information