EPSO AD8 en cybersécurité : EPSO/AD/430/26

Le concours EPSO/AD/430/26, publié le 8 septembre 2026 (Journal officiel C/2026/4668), sert à constituer des listes de réserve d’administrateurs AD8 dans deux domaines. Le domaine 2 est la cybersécurité, avec 254 places, le plus important des deux ; le domaine 1 est l’intelligence artificielle, avec 240 places et son propre guide. Vous ne pouvez vous présenter que dans un seul domaine.

Il s’adresse à des professionnels expérimentés : AD8 est au-dessus des grades d’entrée habituels, et toutes les voies d’admissibilité exigent au moins cinq ans d’expérience pertinente. L’avis décrit un profil large et technique : cinq catégories de fonctions, de la gestion des risques et de l’architecture jusqu’au centre des opérations de sécurité, à la gouvernance et au conseil, et chacune d’elles « exige une expertise technique ».

Outre la citoyenneté de l’UE et deux langues de l’UE (l’une au niveau C1, l’autre au niveau B2), il vous faut l’une des quatre combinaisons d’études et d’expérience. L’expérience se compte à partir de la date de votre diplôme et doit correspondre aux fonctions de cybersécurité décrites à l’annexe II de l’avis.

Un master ou un doctorat dans une discipline admise suffit pour les options à quatre et à cinq ans, quel que soit votre premier diplôme. Les disciplines admises se répartissent en trois groupes :

• Admises telles quelles : cybersécurité, sécurité de l’information ou assurance de l’information ; ingénierie de la sécurité ; investigation numérique et réponse aux incidents ; cryptographie et gestion des clés.
• Admises avec une orientation vers la sécurité des TIC : architecture des systèmes, génie logiciel, informatique ou électrique, systèmes d’information, automatisation et contrôle, systèmes embarqués, interaction homme-machine, réseaux, télécommunications, technologies opérationnelles, internet des objets et systèmes cyber-physiques, gouvernance et gestion des TIC, audit informatique, gestion des risques, informatique de gestion et gestion de projet.
• Admises avec une orientation vers la sécurité, la cryptographie, l’analyse des risques ou l’analytique de sécurité : science ou ingénierie des données, applications de l’IA ou de l’apprentissage automatique, mathématiques appliquées ou statistique.

L’orientation se prouve par une spécialisation reconnue sur le diplôme ou le relevé de notes, par au moins 30 ECTS (un semestre à temps plein), par un mémoire ou une thèse, par un article ou une communication de conférence sur la cybersécurité évalués par des pairs, ou par une contribution principale à un projet de recherche national ou européen. Ces deux dernières preuves doivent avoir été réalisées pendant vos études.

Toutes les épreuves se passent à distance et sous surveillance, aux dates indiquées dans votre convocation, et pas forcément dans cet ordre.

Les épreuves de raisonnement ont le même format et les mêmes seuils que dans les autres concours de l’EPSO de 2026. Pour la plateforme et les règles des épreuves à distance, voir le guide de TAO.

Dans un ordre strict, fixé par l’avis :

1. Les épreuves de raisonnement sont corrigées en premier. Si vous y échouez, rien d’autre n’est corrigé.
2. L’épreuve de spécialité en cybersécurité est corrigée pour ceux qui ont réussi le raisonnement. Tous ceux qui obtiennent au moins 15/30 sont classés selon cette note.
3. En partant du haut de ce classement, un nombre limité de candidats, en principe pas plus de 1,5 fois le nombre de places, voient leur épreuve écrite corrigée et leur admissibilité vérifiée. En cybersécurité, cela représente environ 381 candidats, plus les éventuels ex aequo au dernier rang retenu.
4. Ceux qui réussissent l’épreuve écrite et sont admissibles sont inscrits sur la liste de réserve, dans l’ordre du classement, jusqu’à ce que les 254 places soient pourvues.

L’épreuve de spécialité est donc la seule note qui compte. Il n’y a ni entretien ni centre d’évaluation avant la liste, et les résultats ne sont envoyés qu’à la fin du concours, quelle que soit l’étape que vous avez atteinte.

L’avis ne publie aucun programme : l’épreuve est « spécifique au domaine ». Ce qui s’en rapproche le plus, c’est l’annexe II, qui décrit cinq catégories de fonctions. C’est aussi la référence qui sert à mesurer votre expérience.

1. Gestion des risques et assurance de la sécurité. Cadres de gestion des risques, de l’identification au suivi ; modèles de capacité et de maturité ; évaluations de sécurité, gestion des vulnérabilités, tests d’intrusion et revues des accès ; indicateurs et rapports sur les contrôles.
2. Architecture, conception et technologie. Architecture de sécurité tout au long de la vie des systèmes informatiques, cloud et environnements hybrides compris ; produits et contrôles de sécurité, comme les équipements de sécurité réseau, SIEM, XDR, la détection et la réponse dans le cloud, IAM et PAM, adaptés au risque ; développement sécurisé, revue de code, cryptographie et gestion des clés, DevSecOps ; et utilisation de l’IA, de l’apprentissage automatique et de l’informatique quantique dans la sécurité.
3. Opérations de sécurité et réponse aux incidents. Surveillance, détection et chasse aux menaces ; investigation numérique et réponse aux incidents, de l’investigation des réseaux et des systèmes à l’analyse des journaux ; amélioration d’un centre des opérations de sécurité (ingénierie, automatisation du renseignement sur les menaces, red teaming, ingénierie de la détection) ; et services de capacité de réponse aux incidents (CSIRC).
4. Gouvernance, politique et coordination. Gestion de projets, de programmes et de portefeuilles ; direction d’équipes ; stratégie de sécurité pluriannuelle glissante ; politiques, normes et procédures ; conformité, audits et attestations ; représentation de l’institution dans les groupes interinstitutionnels et d’experts ; amélioration continue.
5. Sensibilisation, compétences et conseil. Campagnes de sensibilisation et formation ; conseil d’expert sur la gestion des identités et des accès, les signatures électroniques et les services de confiance.

C’est cette étendue qui compte : quelqu’un qui vient d’un SOC doit couvrir la gouvernance et la stratégie, et quelqu’un qui vient de la gouvernance doit couvrir la détection et l’investigation numérique. L’avis ne cite aucune législation, mais les fonctions s’exercent dans le cadre de règles de l’UE qu’il vaut la peine d’avoir sous la main : le règlement (UE, Euratom) 2023/2841 sur la cybersécurité dans les institutions, organes et organismes de l’Union ; la directive SRI 2, directive (UE) 2022/2555 ; le règlement sur la cybersécurité, règlement (UE) 2019/881 ; le règlement sur la cyberrésilience, règlement (UE) 2024/2847 ; et le règlement eIDAS, règlement (UE) n° 910/2014, pour les signatures électroniques et les services de confiance.

1. Vérifiez votre admissibilité dès maintenant. Comptez vos années d’expérience à partir de la date de votre diplôme. Si votre discipline appartient au deuxième ou au troisième groupe, rassemblez les preuves de votre orientation vers la sécurité : relevé de notes, ECTS, mémoire, thèse ou publication. Les pièces sont à remettre au plus tard le 14 janvier 2027, mais une lacune découverte à ce moment-là ne pourra plus être comblée.
2. Ne sous-estimez pas le raisonnement. Il suffit d’atteindre le seuil, mais il vient en premier, et un professionnel expérimenté qui n’a pas passé de test psychométrique depuis des années peut y échouer avec un CV qui lui aurait valu la tête du classement. Entraînez-vous au vrai format : 40 questions en 65 minutes, réparties en trois épreuves chronométrées.
3. Consacrez l’essentiel de votre temps à l’épreuve de spécialité. C’est la seule note qui vous classe : 30 questions en 40 minutes, environ 80 secondes par question, dans votre deuxième langue. Parcourez les cinq catégories de l’annexe II et commencez par celle qui est la plus éloignée de votre métier.
4. Apprenez le vocabulaire dans votre deuxième langue. Le traitement des risques, la chasse aux menaces ou la gestion des clés apparaîtront dans cette langue, pas dans celle où vous travaillez.
5. Lisez la documentation de l’épreuve écrite dès que l’EPSO la publie. L’épreuve EUFTE s’appuie sur une documentation de l’UE que l’EPSO met en ligne sur son site avant l’épreuve, et elle est notée sur la communication écrite, pas sur les connaissances factuelles ni sur la langue.
6. Posez votre candidature avant le dernier jour. La date limite est le 13 octobre 2026 à 12 h, heure de Bruxelles, et la copie de votre pièce d’identité doit aussi être déposée d’ici là.