Épreuve du domaine Cybersécurité EPSO : 10 questions au rythme de l’examen

Télécharger les 10 questions en PDF →

Ce que couvre l’épreuve du domaine — le guide complet → · Fiche du concours et délais →

Les dix questions, avec réponses et sources

Les mêmes dix questions avec réponses et sources, pour la lecture et pour les moteurs de recherche. De vraies questions de la banque EU-now, rédigées à partir des textes officiels. Sans compte.

1. 1. Une entité essentielle au sens de la directive (UE) 2022/2555 (NIS 2) prend connaissance d’un incident important le lundi à 9 h 00. Quelle séquence de notifications à son CSIRT la directive impose-t-elle ?

   • A Une notification de l’incident dans les 72 heures et un rapport final dans les trois mois ; aucune alerte précoce n’est requise.
   • B Alerte précoce dans les 24 heures, notification de l’incident dans les 72 heures, rapport final un mois après cette notification.
   • C Alerte précoce dans les 72 heures, notification de l’incident dans les 24 heures suivant le confinement, rapport final dans le mois.
   • D Une notification à l’autorité nationale de protection des données dans les 72 heures, comme pour une violation de données personnelles au titre du RGPD.
   Bonne réponse: B

   L’article 23 de NIS 2 prévoit un schéma échelonné : une alerte précoce sans retard injustifié et en tout état de cause dans les 24 heures suivant la prise de connaissance de l’incident important, une notification de l’incident dans les 72 heures qui actualise l’alerte et donne une première évaluation, et un rapport final au plus tard un mois après la notification. Source : directive (UE) 2022/2555, article 23 et considérant 102.

   • A — Une alerte précoce à 24 heures vient d’abord, et le rapport final est dû un mois après la notification de l’incident.
   • B — Correct : 24 heures, 72 heures, un mois.
   • C — Les délais sont inversés : l’alerte précoce est l’étape à 24 heures et la notification de l’incident celle à 72 heures.
   • D — La notification de violation à l’autorité de protection des données dans les 72 heures relève de l’article 33 du RGPD, un autre instrument et un autre destinataire.

2. 2. Selon le règlement (UE, Euratom) 2023/2841 sur la cybersécurité des institutions, organes et organismes de l’Union, à quelle fréquence chaque entité de l’Union doit-elle réaliser une évaluation de maturité en cybersécurité après la première ?

   • A Au moins tous les deux ans, en couvrant tous les éléments de son environnement TIC.
   • B Chaque année, sous forme de chapitre du rapport annuel d’activité.
   • C Au moins tous les trois ans, en cohérence avec le cycle de supervision de NIS 2.
   • D Uniquement à la demande du CERT-UE après un incident important.
   Bonne réponse: A

   L’article 7 du règlement 2023/2841 impose à chaque entité de l’Union de réaliser, au plus tard le 8 juillet 2025 puis au moins tous les deux ans, une évaluation de maturité en cybersécurité couvrant tous les éléments de son environnement TIC, le cas échéant avec l’aide d’un tiers spécialisé. Le cadre interne de gestion des risques, de gouvernance et de contrôle devait être établi au plus tard le 8 avril 2025 (article 6). Source : règlement (UE, Euratom) 2023/2841, articles 6 et 7.

   • A — Correct : au plus tard le 8 juillet 2025, puis au moins tous les deux ans.
   • B — Le règlement ne lie l’évaluation ni au rapport annuel ni à un cycle annuel.
   • C — Trois ans est un chiffre de type NIS 2 ; le règlement dit deux.
   • D — L’évaluation est une obligation permanente de l’entité, pas une mesure déclenchée par le CERT-UE.

3. 3. Un fabricant apprend qu’une vulnérabilité de l’un de ses produits comportant des éléments numériques est activement exploitée. Selon le règlement (UE) 2024/2847 (règlement sur la cyberrésilience), que doit-il faire ?

   • A Notifier l’autorité de surveillance du marché de son État membre dans les 30 jours, puis publier un avis de sécurité avec le correctif.
   • B Alerte précoce en 24 heures, notification de l’incident en 72 heures et rapport final dans le mois, comme pour les incidents NIS 2.
   • C Le signaler uniquement à l’ENISA, dans les 72 heures, une fois le correctif publié, et informer les utilisateurs à la prochaine mise à jour.
   • D Alerte précoce en 24 heures, notification de la vulnérabilité en 72 heures, rapport final 14 jours après un correctif.
   Bonne réponse: D

   L’article 14 du règlement sur la cyberrésilience impose au fabricant de notifier toute vulnérabilité activement exploitée simultanément au CSIRT désigné comme coordinateur et à l’ENISA, via la plateforme unique de signalement : alerte précoce dans les 24 heures suivant la prise de connaissance, notification de la vulnérabilité dans les 72 heures, et rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation. Source : règlement (UE) 2024/2847, articles 14 et 16.

   • A — Les autorités de surveillance du marché contrôlent la conformité ; l’obligation de signalement vise le CSIRT coordinateur et l’ENISA, avec des délais bien plus courts.
   • B — C’est le schéma des incidents NIS 2 ; pour une vulnérabilité activement exploitée, le règlement sur la cyberrésilience fixe le rapport final 14 jours après la mise à disposition d’une mesure corrective.
   • C — La notification n’est pas conditionnée à un correctif, et elle va simultanément au CSIRT et à l’ENISA.
   • D — Correct : 24 heures, 72 heures, 14 jours, via la plateforme unique.

4. 4. Quelle affirmation décrit correctement le système européen d’alerte en matière de cybersécurité créé par le règlement (UE) 2025/38 (règlement sur la cybersolidarité) ?

   • A Un centre unique d’opérations de sécurité au niveau de l’UE, géré par l’ENISA, qui remplace les SOC nationaux des États membres.
   • B Une réserve de prestataires de services de sécurité gérés de confiance que les États membres peuvent solliciter après un incident de cybersécurité à grande échelle.
   • C Des centres transfrontières de cybersécurité, regroupant chacun au moins trois centres nationaux, qui détectent les menaces et partagent l’information.
   • D Le mécanisme par lequel l’ENISA, à la demande de la Commission, réexamine a posteriori les incidents importants ou à grande échelle.
   Bonne réponse: C

   Le règlement sur la cybersolidarité bâtit le système européen d’alerte comme plusieurs centres transfrontières de cybersécurité interopérables, regroupant chacun trois centres nationaux ou plus, afin de renforcer la détection et le partage d’informations. La réserve de prestataires de confiance est la réserve de cybersécurité de l’UE, pilier du mécanisme d’urgence en matière de cybersécurité, et le réexamen a posteriori est le mécanisme de réexamen des incidents de cybersécurité. Source : règlement (UE) 2025/38, considérants et chapitre II.

   • A — Il n’existe pas de SOC unique de l’UE ; le système fédère des centres nationaux et transfrontières sans remplacer les capacités nationales.
   • B — C’est la réserve de cybersécurité de l’UE, un autre pilier.
   • C — Correct : des centres transfrontières regroupant trois centres nationaux ou plus.
   • D — C’est le mécanisme de réexamen des incidents de cybersécurité.

5. 5. Dans l’architecture zéro confiance du NIST SP 800-207, quels composants se placent entre un sujet qui demande un accès et la ressource de l’entreprise, et que font-ils ?

   • A Un point de décision de politique qui statue sur chaque session et un point d’application de politique qui ouvre, surveille et ferme la connexion.
   • B Un pare-feu et un concentrateur VPN, qui donnent accès au segment de réseau interne une fois l’appareil à l’intérieur du périmètre.
   • C Un SIEM et un agent XDR, qui journalisent chaque session et la bloquent automatiquement dès qu’une alerte corrélée se déclenche.
   • D Une autorité de certification et un service d’annuaire, qui authentifient l’utilisateur une fois par jour puis font confiance à l’appareil jusqu’à la déconnexion.
   Bonne réponse: A

   Le SP 800-207 modélise l’accès zéro confiance par un point de décision de politique et le point d’application correspondant : le PDP évalue chaque demande au regard de la politique et le PEP établit, surveille et clôt la connexion. Les principes ajoutent que toutes les sources de données et tous les services de calcul sont des ressources et que l’accès est accordé par session : ni l’emplacement réseau ni une connexion quotidienne ne confèrent la confiance à eux seuls. Source : NIST SP 800-207, sections 2 et 3.

   • A — Correct : le PDP décide, le PEP applique, session par session.
   • B — Un périmètre qui fait confiance à ce qui est à l’intérieur est exactement ce que le zéro confiance supprime.
   • C — Les outils de surveillance alimentent la décision mais ne sont pas les composants de contrôle d’accès du modèle.
   • D — Le zéro confiance évalue chaque session ; une authentification quotidienne contredit ses principes.

6. 6. Une institution de l’UE veut que ses administrateurs à privilèges s’authentifient au niveau d’assurance d’authentification 3 (AAL3) défini dans le NIST SP 800-63B-4. Quelle configuration d’authentificateur satisfait l’AAL3 ?

   • A Un mot de passe plus un code à usage unique envoyé par SMS au mobile enregistré de l’administrateur.
   • B Une passkey synchronisable stockée dans un trousseau en nuage : résistante à l’hameçonnage et utilisable sur tous les appareils de l’administrateur.
   • C Un authentificateur résistant à l’hameçonnage, lié au matériel, avec une clé non exportable et deux facteurs distincts.
   • D Un secret mémorisé d’au moins 15 caractères, vérifié contre une liste de blocage et changé tous les 90 jours.
   Bonne réponse: C

   Le SP 800-63B-4 exige qu’une authentification AAL3 repose sur la preuve de possession d’une clé via un protocole à clé publique, avec un authentificateur résistant à l’hameçonnage dont la clé n’est pas exportable et reste dans un environnement isolé protégé par matériel, et la preuve de deux facteurs distincts. Les authentificateurs synchronisables exigeant une clé privée exportable, ils NE DOIVENT PAS être utilisés à l’AAL3. Source : NIST SP 800-63B-4 (juillet 2025), section 2.

   • A — Un code SMS n’est ni résistant à l’hameçonnage ni lié au matériel ; il n’atteint pas l’AAL3.
   • B — Les authentificateurs synchronisables sont explicitement exclus à l’AAL3, car la clé doit être exportable pour se synchroniser.
   • C — Correct : résistant à l’hameçonnage, non exportable, protégé par matériel, deux facteurs.
   • D — Un secret mémorisé est un seul facteur, et le SP 800-63B-4 interdit d’exiger des changements périodiques de mot de passe.

7. 7. Un architecte sécurité doit choisir des algorithmes post-quantiques pour deux besoins : établir une clé partagée pour des sessions chiffrées, et signer des mises à jour logicielles. Quels standards du NIST correspondent à chaque besoin ?

   • A N’importe lequel des trois, indifféremment, puisque tous sont des schémas de signature à base de réseaux.
   • B FIPS 204 (ML-DSA) pour l’établissement de clés ; FIPS 203 (ML-KEM) pour les signatures numériques.
   • C FIPS 205 (SLH-DSA) pour l’établissement de clés ; FIPS 203 (ML-KEM) pour les signatures, car les schémas à base de hachage encapsulent des clés.
   • D FIPS 203 (ML-KEM) pour l’établissement de clés ; FIPS 204 (ML-DSA) ou FIPS 205 (SLH-DSA) pour les signatures numériques.
   Bonne réponse: D

   FIPS 203 est le standard de mécanisme d’encapsulation de clé à base de réseaux modulaires (ML-KEM), qui sert à établir des clés secrètes partagées. FIPS 204 est le standard de signature numérique à base de réseaux modulaires (ML-DSA) et FIPS 205 le standard de signature numérique à base de hachage sans état (SLH-DSA), tous deux pour la signature. La recommandation (UE) 2024/1101 demande aux États membres de planifier une transition coordonnée vers ces algorithmes. Source : NIST FIPS 203, 204 et 205 (août 2024).

   • A — SLH-DSA repose sur le hachage, pas sur les réseaux, et ML-KEM n’est pas un schéma de signature.
   • B — Inversé : ML-DSA signe, ML-KEM établit des clés.
   • C — SLH-DSA est un schéma de signature à base de hachage, pas un KEM.
   • D — Correct : ML-KEM encapsule des clés ; ML-DSA et SLH-DSA signent.

8. 8. Comment le NIST SP 800-61 révision 3 (2025) structure-t-il la réponse aux incidents par rapport à l’ancien cycle de vie en quatre phases ?

   • A Il conserve le cycle de vie en quatre phases de la révision 2 comme seul modèle valable et ajoute une cinquième phase pour les incidents liés à l’IA.
   • B Il projette la réponse sur les six fonctions du CSF 2.0 et rend continues la préparation et les enseignements tirés.
   • C Il remplace le cycle de vie par le processus ISO/IEC 27035 et confie toutes les activités de réponse à un CSIRT externe.
   • D Il supprime entièrement la phase post-incident, les enseignements tirés étant désormais couverts par les contrôles du SP 800-53.
   Bonne réponse: B

   La révision 3 présente un modèle de cycle de vie de réponse aux incidents fondé sur les fonctions du CSF 2.0 et y projette les phases de l’ancien modèle ; la préparation et les enseignements tirés deviennent des activités continues de toute l’organisation plutôt que les étapes d’un incident donné. Source : NIST SP 800-61r3, sections 1 et 2 (tableau 1, figures 1 et 2).

   • A — Le modèle en quatre phases de la révision 2 est présenté comme l’ancien modèle ; aucune phase IA n’est ajoutée.
   • B — Correct : un modèle fondé sur le CSF 2.0, avec préparation et enseignements tirés en continu.
   • C — Le SP 800-61r3 est une publication du NIST, pas un renvoi à l’ISO 27035 ni à une équipe externe.
   • D — L’apprentissage post-incident est conservé et élargi, pas supprimé.

9. 9. Selon le règlement (UE) 2019/881 (règlement sur la cybersécurité), pour quel niveau d’assurance un fabricant peut-il recourir à une auto-évaluation de la conformité au lieu d’une certification par un tiers ?

   • A Tout niveau, à condition d’en informer l’ENISA.
   • B Les niveaux d’assurance « élémentaire » et « substantiel ».
   • C Le niveau d’assurance « élémentaire » uniquement.
   • D Aucun : la certification européenne de cybersécurité est toujours délivrée par un organisme d’évaluation de la conformité.
   Bonne réponse: C

   Le règlement sur la cybersécurité définit trois niveaux d’assurance, « élémentaire », « substantiel » et « élevé », et n’autorise l’auto-évaluation de la conformité que lorsque le produit, service ou processus TIC correspond au niveau « élémentaire » ; les niveaux supérieurs exigent une évaluation par un organisme d’évaluation de la conformité. Le premier schéma adopté dans ce cadre est l’EUCC (règlement d’exécution (UE) 2024/482). Source : règlement (UE) 2019/881, considérants 79 et 80 et article 53.

   • A — L’ENISA prépare les schémas ; elle ne certifie pas et ne reçoit pas de notifications d’auto-évaluation en ce sens.
   • B — Le niveau « substantiel » exige une évaluation par un tiers.
   • C — Correct : l’auto-évaluation n’est permise que pour « élémentaire ».
   • D — L’auto-évaluation existe, mais seulement pour le niveau le plus bas.

10. 10. Selon le règlement (UE) 2022/2554 (DORA), à quelle fréquence les entités financières désignées par leur autorité compétente doivent-elles réaliser des tests de pénétration fondés sur la menace (TLPT) ?

    • A Au moins tous les 3 ans, ou plus souvent si l’autorité compétente le demande.
    • B Chaque année, dans le cadre de la revue annuelle du cadre de gestion du risque lié aux TIC.
    • C Uniquement après la notification à l’autorité compétente d’un incident majeur lié aux TIC.
    • D Tous les 5 ans, en ligne avec le cycle d’audit des entités essentielles au titre de NIS 2.
    Bonne réponse: A

    L’article 26 de DORA impose aux entités financières désignées conformément à son paragraphe 8 (hors microentreprises) de réaliser des tests avancés sous forme de TLPT au moins tous les 3 ans ; l’autorité compétente peut exiger une fréquence plus élevée selon le profil de risque et les circonstances opérationnelles de l’entité. Source : règlement (UE) 2022/2554, article 26.

    • A — Correct : au moins tous les 3 ans, plus souvent sur demande.
    • B — Les tests annuels relèvent du programme général de tests de l’article 24 ; les TLPT ont leur propre rythme triennal.
    • C — Les TLPT sont une exigence planifiée, pas déclenchée par un incident.
    • D — Ni les cinq ans ni le cycle NIS 2 ne figurent dans DORA.

Chaque explication cite le texte officiel dont elle est tirée : l’avis de concours C/2026/4668 et les règlements et publications du NIST et de l’ENISA listés dans le guide du domaine.