CISM : ISACA redéfinit les priorités des managers de la sécurité

La certification CISM évolue pour mieux représenter les responsabilités actuelles des managers de la sécurité de l’information. À partir du 3 novembre 2026, ISACA applique un référentiel actualisé qui renforce la place de la stratégie, de la gouvernance et du pilotage d’un programme de sécurité.

Cette évolution concerne les professionnels qui préparent l’examen, mais aussi les entreprises qui veulent consolider leur gouvernance cybersécurité. Le CISM ne vise pas seulement la connaissance de contrôles techniques. Il évalue la capacité à relier la sécurité aux objectifs métier, à arbitrer les risques et à guider les décisions de l’organisation.

Les candidats qui passeront l’examen à compter du 3 novembre 2026 doivent utiliser les ressources correspondant au nouveau programme. Les supports de préparation actualisés sont disponibles depuis le 1er septembre 2026.

Ce qui évolue dans la certification CISM

ISACA conserve les quatre domaines fondamentaux du CISM, tout en mettant à jour les connaissances attendues et leur pondération. Cette nouvelle version accorde une place plus importante à la construction, au suivi et à l’amélioration continue d’un programme de sécurité de l’information.

Le référentiel renforce également les thèmes liés à l’architecture d’entreprise et à l’architecture de sécurité. Ce choix reflète les réalités des organisations actuelles : multiplication des environnements cloud, recours aux applications SaaS, dépendance aux fournisseurs, évolution des obligations réglementaires et accélération des menaces cyber.

Le manager de la sécurité doit donc pouvoir analyser les risques, construire une feuille de route réaliste et expliquer les priorités à des interlocuteurs non techniques. La certification CISM formalise cette approche de la sécurité comme une fonction de management et de gouvernance.

Les quatre domaines du nouvel examen CISM

Le nouvel examen reste organisé autour de quatre domaines. Leur poids évolue afin de mieux correspondre aux missions des responsables de la sécurité.

Le domaine Programme de sécurité de l’information devient le plus important, avec 33 % de l’examen. Cette évolution est révélatrice. La cybersécurité ne repose pas uniquement sur des outils ou des procédures : elle dépend aussi de la manière dont l’entreprise organise ses responsabilités, développe les compétences, mesure son niveau de maturité et pilote ses investissements.

Une certification davantage orientée stratégie et gouvernance

La sécurité de l’information est devenue un sujet de direction. Une cyberattaque, une fuite de données ou une indisponibilité prolongée peuvent affecter la continuité d’activité, la réputation, les clients et les résultats financiers d’une organisation.

Le responsable sécurité doit ainsi traduire des risques techniques en enjeux compréhensibles pour les décideurs. Il doit démontrer pourquoi une action est nécessaire, quelles conséquences elle permet d’éviter et comment son efficacité sera suivie. Cette capacité à relier les décisions de sécurité aux priorités de l’entreprise est au cœur de l’évolution du CISM.

Le référentiel valorise aussi une vision transversale. Le manager sécurité doit dialoguer avec les équipes IT, la conformité, les métiers, les achats, les ressources humaines et la direction générale. Il doit prendre en compte les dépendances entre applications, données, infrastructures et partenaires externes.

L’intégration plus marquée des notions d’architecture d’entreprise et d’architecture de sécurité répond à cette nécessité. Il ne suffit plus de sécuriser chaque composant séparément. La sécurité doit être conçue comme une composante du système d’information et de la stratégie de l’organisation.

Ce que les candidats doivent anticiper

La première étape consiste à confirmer la date prévue pour le passage de l’examen. Les candidats qui se présentent avant le 3 novembre 2026 suivent l’ancien programme. À partir de cette date, la préparation doit obligatoirement s’appuyer sur le nouveau référentiel.

Avant de débuter ou de poursuivre une préparation, il est conseillé de vérifier :

• la version du manuel utilisé ;
• l’actualisation de la banque de questions ;
• l’alignement du contenu de formation avec le nouvel examen ;
• la répartition du temps de travail entre les quatre domaines ;
• les éventuels écarts entre son expérience professionnelle et les thèmes renforcés.

Le CISM exige une logique de décision. Les questions d’examen ne cherchent pas uniquement à vérifier la connaissance d’une définition ou d’une technologie. Elles évaluent la capacité du candidat à identifier la meilleure action dans un contexte de gouvernance, de gestion des risques, de pilotage de programme ou de gestion de crise.

Une préparation efficace doit donc associer l’étude du référentiel à des mises en situation. Le candidat doit apprendre à reconnaître les priorités d’un responsable sécurité : comprendre le contexte, analyser les impacts, associer les parties prenantes, décider au bon niveau et mesurer le résultat.

Pourquoi les entreprises sont concernées ?

La mise à jour du CISM peut servir de point de départ à une réflexion plus large sur la maturité cybersécurité de l’entreprise. La gouvernance est-elle clairement définie ? Les rôles et responsabilités sont-ils connus ? Les risques sont-ils présentés de façon compréhensible au comité de direction ? Le programme de sécurité possède-t-il des objectifs, des indicateurs et une trajectoire d’amélioration ?

Les entreprises ont aussi besoin de responsables capables de créer un lien entre la cybersécurité et les décisions opérationnelles. Un programme de sécurité utile doit soutenir l’activité, accompagner les transformations numériques et préserver la confiance des clients, partenaires et collaborateurs.

Dans cette perspective, le CISM est particulièrement pertinent pour les RSSI, responsables cybersécurité, managers IT, responsables risques, responsables conformité et consultants qui évoluent vers des fonctions de pilotage.

La certification encourage une approche structurée : identifier les enjeux, prioriser les risques, construire un programme, mobiliser les équipes et organiser les retours d’expérience. Cette méthode aide les organisations à faire de la sécurité un levier de résilience, plutôt qu’un sujet traité seulement lors d’un incident.

Comment préparer efficacement le CISM ?

Une préparation solide commence par une lecture complète du référentiel. Le candidat doit ensuite organiser son travail selon les quatre domaines et identifier les sujets qui nécessitent un approfondissement.

La gouvernance et la gestion des risques demandent une bonne compréhension de l’environnement de l’entreprise. Le programme de sécurité exige de savoir passer d’une stratégie à des actions concrètes : politiques, processus, compétences, budgets, contrôles et indicateurs. La gestion des incidents suppose enfin de maîtriser les phases de préparation, de réponse, de communication et d’amélioration.

Les entraînements doivent privilégier les cas pratiques et les questions de mise en situation. Ils permettent de développer un raisonnement cohérent avec les attentes d’ISACA et de distinguer une réponse techniquement possible d’une décision réellement prioritaire pour un manager sécurité.

Les professionnels qui souhaitent structurer leur préparation peuvent consulter la formation CISM proposée par Oo2, en vérifiant que les supports utilisés correspondent au référentiel applicable à leur date d’examen.

FAQ