EPSO/AD/430/26 — Cybersécurité (AD 8)
Les institutions de l’UE recrutent 254 administrateurs en cybersécurité au grade AD 8. Les candidatures ferment le 13 octobre 2026 à 12 h 00, heure de Bruxelles. La seule épreuve qui classe les candidats est un QCM de 30 questions sur le domaine, passé dans votre deuxième langue. Cette page explique ce que mesure cette épreuve et comment s’y préparer.
Le concours en un tableau
Ce que mesure l’épreuve du domaine
L’avis ne publie aucun programme. L’épreuve est « spécifique au domaine », et le domaine est défini par les tâches types de l’annexe II. Cinq catégories se partagent les 254 postes, et une bonne banque de questions doit couvrir les cinq :
- Gestion des risques et assurance de la sécurité : cadres de gestion des risques, modèles de maturité, évaluations de sécurité, gestion des vulnérabilités, tests d’intrusion, revues des identités et des accès, indicateurs et rapports.
- Architecture, conception et technologie : architecture de sécurité pour le cloud et l’hybride ; outils SIEM, XDR et CDR ; AAA/IAM et PIM/PAM ; développement sécurisé et revue de code ; cryptographie, gestion des clés et transition post-quantique ; DevSecOps ; IA, apprentissage automatique et informatique quantique appliqués à la sécurité.
- Opérations de sécurité et réponse aux incidents : surveillance, détection et chasse aux menaces ; criminalistique numérique et réponse aux incidents ; ingénierie du SOC, automatisation du renseignement sur les menaces et red team ; services CSIRC.
- Gouvernance, politique et coordination : projets et programmes de sécurité, encadrement d’équipes, stratégie de sécurité pluriannuelle, politiques et normes, conformité et audit, groupes de travail interinstitutionnels.
- Sensibilisation, compétences et conseil : campagnes et formations, conseil spécialisé en gestion des identités et des accès, signature électronique et services de confiance.
Comment EU-now vous y prépare
EU-now dispose d’un domaine Cybersécurité au sein de sa spécialité TIC. Chaque question est générée à partir de sources officielles uniquement : une question sur la notification d’incidents cite le règlement, pas la page d’un fournisseur. Les sources : le règlement 2023/2841 sur la cybersécurité des institutions de l’UE et le CERT-UE, NIS2 avec son règlement d’exécution et les orientations techniques de l’ENISA, le règlement sur la cyberrésilience, le règlement sur la cybersolidarité et le Cyber Blueprint 2025, le règlement sur la cybersécurité et le schéma EUCC, DORA, la feuille de route post-quantique de l’UE, l’ENISA Threat Landscape 2025 et le cadre européen des compétences en cybersécurité, ainsi que les publications du NIST visées par les tâches : le cadre de gestion des risques, SP 800-30 et 800-53, CSF 2.0, Zero Trust (800-207), identité numérique (800-63-4), gestion des incidents (800-61r3), criminalistique (800-86), gestion des journaux, développement sécurisé (SSDF) et les normes post-quantiques FIPS 203, 204 et 205.
Vous choisissez le domaine une fois, à l’inscription, et les exercices s’ouvrent dessus. Chaque question est accompagnée d’une explication qui montre pourquoi la bonne option est bonne et où chaque distracteur se trompe. Les trois tests de raisonnement et l’épreuve écrite s’entraînent au même endroit, dans les cinq langues de la plateforme.
Les autres épreuves sont éliminatoires, pas classantes
Le raisonnement verbal exige 10 sur 20 ; le numérique et l’abstrait sont notés ensemble et exigent 10 sur 20 au total. L’épreuve écrite exige 5 sur 10 et n’est corrigée que pour les candidats proches de la tête du classement de l’épreuve du domaine. Aucune de ces notes n’entre dans le classement : la stratégie est simple, les passer avec de la marge et consacrer les semaines restantes au domaine.
Questions fréquentes
Puis-je postuler à la fois en Cybersécurité et en Intelligence artificielle ?
Non. L’avis n’autorise qu’un domaine par candidat, choisi au moment de la candidature. Le choix ne peut plus être modifié après la date limite.
Dans quelle langue se passe l’épreuve du domaine ?
Dans votre langue 2, celle que vous déclarez au niveau B2 ou plus. Les tests de raisonnement se passent dans votre langue 1 (C1 ou plus).
L’épreuve porte-t-elle sur le droit de l’UE ou sur la sécurité technique ?
Sur les deux. Les tâches de l’annexe II mêlent réglementation (NIS2, règlement sur la cyberrésilience, régime des institutions de l’UE) et architecture, opérations et réponse aux incidents concrètes. Un candidat qui ne maîtrise qu’un côté laisse la moitié des 30 questions au hasard.
Les certifications comme CISSP ou CISM comptent-elles ?
Elles ne sont pas une condition d’admission et l’avis ne les mentionne pas. Leurs corpus recoupent largement les tâches, elles constituent donc une bonne préparation, mais les questions portent sur le cadre de l’UE et les normes de référence, pas sur le programme d’une certification.
Faut-il un diplôme en cybersécurité ?
Pas nécessairement. Cybersécurité, sécurité de l’information, ingénierie de la sécurité, criminalistique ou cryptographie sont admis directement. La plupart des autres diplômes TIC, d’ingénierie, de mathématiques ou de science des données le sont avec une orientation sécurité documentée (spécialisation formelle, au moins 30 ECTS, mémoire, article évalué par les pairs ou projet de recherche pendant les études). Sans diplôme admis, il faut neuf ans d’expérience pertinente.
Cinq semaines suffisent si elles vont à la bonne épreuve
Choisissez le domaine Cybersécurité à l’inscription et commencez par les exercices construits sur NIS2, le règlement sur la cyberrésilience et les normes du NIST.
Commencer à préparer le domaine Cybersécurité →L’autre domaine du même avis: EPSO/AD/430/26 — Intelligence artificielle (AD 8)
Chiffres et dates issus de l’avis de concours EPSO/AD/430/26, JO C/2026/4668 du 8 septembre 2026. Lieux d’affectation selon la liste eu-careers. eur-lex.europa.eu ↗