120 CPE en trois ans : comment fonctionne le renouvellement du CISSP

Il faut 120 CPE par cycle de trois ans — et c’est tout : le minimum annuel de 40 n’existe plus depuis 2022 pour les membres certifiés. La question revient pourtant sans cesse, sous des formes à peine différentes : 40 par an ou 120 en trois ans ? Le compteur démarre quand ? Un podcast, ça compte ? Les réponses de la communauté sont largement convergentes, mais elles cohabitent avec des souvenirs de règles anciennes qui n’ont plus cours. Cet article restitue ce que les certifiés en comprennent ; le CPE Handbook publié par ISC2 sur isc2.org reste le document de référence en cas de litige ou d’audit.

Combien de CPE faut-il, et sur quelle période ?

La réponse constante des témoignages : 120 CPE par cycle de trois ans. Le cycle se comporte comme un bloc, et non comme trois tranches annuelles à valider séparément.

L’unité de compte est simple et rappelée à chaque fois qu’un membre s’égare : une heure d’activité vaut un crédit. Un fil de 2025 est explicite sur ce point, après qu’un membre eut annoncé 30 à 40 CPE pour une formation de onze heures :

« 1 hour = 1 CPE so not entirely sure where the 30-40 comes from »

Traduction : « 1 heure = 1 CPE, donc je ne vois pas trop d’où sortent les 30 à 40. »

L’auteur du message d’origine a reconnu que son estimation venait d’un assistant conversationnel et a corrigé sa déclaration. C’est un rappel utile : les ordres de grandeur qui circulent doivent être ramenés au temps réellement passé.

Le volume paraît intimidant, mais les témoignages ne le décrivent pas comme un obstacle : plusieurs membres affichent des compteurs à 250, 400, 467 voire 490 crédits sans effort particulier, et l’un d’eux résume la mécanique gagnante en une phrase :

« I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor. »

Traduction : « J’ai tendance à regarder un webinaire d’une heure sur mon second écran la plupart des vendredis, pendant que je termine ma semaine sur l’écran principal. »

Une précision qui a son importance pour un lecteur francophone : toutes les sources de CPE recensées dans les témoignages sont anglophones. Webinaires, podcasts, conférences, plateformes de formation — aucune source en français n’est citée sur trois ans d’archives. La maintenance de la certification suppose donc, en pratique, un confort de lecture et d’écoute en anglais.

Le minimum de 40 CPE par an existe-t-il encore ?

Non, pour les membres certifiés — et c’est probablement la confusion la plus répandue des témoignages. Un commentaire tranche le débat en citant le handbook :

« ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status. »

Traduction : « ISC2 propose un minimum annuel suggéré pour aider à répartir l’effort de maintien de la certification, mais il n’existe aucune obligation annuelle, sauf si vous détenez le statut Associate. »

L’historique de cette règle est raconté par un membre qui se présente comme rédacteur d’examen pour ISC2 et CISSP depuis treize ans :

Période	Règle telle que rapportée
Avant 2020	40 CPE par an obligatoires, 120 par cycle de trois ans
2020	Minimum annuel abaissé à 20 CPE
Depuis 2022	Minimum annuel supprimé — seuls les 120 par cycle subsistent

« Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together. »

Traduction : « Avant 2020, il fallait faire 40 par an, avec 120 par cycle de trois ans. En 2020 ils sont descendus à 20 par an, puis en 2022 ils l’ont supprimé complètement. »

La même personne y voit un risque plutôt qu’un cadeau, et prédit que la disparition du garde-fou annuel rendra les certifiés négligents jusqu’à ce qu’« une première fournée » perde sa certification. La confusion, elle, persiste sur le terrain : en mai 2026 encore, un nouveau certifié écrivait chercher comment maintenir sa certification « avec 40 CPE par an OU 120 sur trois ans ».

Quelle est la différence entre le groupe A et le groupe B ?

La répartition est simple : le groupe A couvre les activités directement liées aux domaines de la sécurité de l’information, le groupe B le développement professionnel plus général. La stratégie type partagée dans un fil consacré à la rapidité d’accumulation :

« Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings »

Traduction : « Catégorie A : un mélange de podcasts, de formations en ligne et de lectures de livres blancs ou d’articles. […] Catégorie B : surtout des choses liées au travail, comme des réunions d’encadrement. »

Le classement n’est pas définitif pour autant. Un cas de janvier 2026 rapporte une requalification de 20 heures du groupe A vers le groupe B décidée par ISC2 sans avertissement — parmi lesquelles deux heures de webinaires qu’ISC2 avait elle-même envoyés au membre par courriel. Un autre membre raconte avoir obtenu l’annulation d’un refus en réécrivant la description de son activité pour la rattacher explicitement à la sécurité. Le conseil qui ressort de ces fils : contester, mais avec un dossier.

« If you can show why they should count they will likely accept them. »

Traduction : « Si vous pouvez démontrer pourquoi ils devraient compter, ils les accepteront probablement. »

Conséquence pratique : rédigez vos descriptions d’activité en pensant à quelqu’un qui devra juger, plus tard et sans contexte, si l’heure déclarée relève bien de la sécurité.

À partir de quand peut-on commencer à cumuler des crédits ?

Seulement à compter de la date de certification, c’est-à-dire une fois l’endorsement approuvé et la cotisation annuelle réglée.

« You can’t collect CPE until after your certification date which is when it is fully endorsed »

Traduction : « Vous ne pouvez pas accumuler de CPE avant votre date de certification, qui correspond au moment où l’endorsement est complètement validé. »

Le piège est réel. Un candidat raconte avoir « perdu » une conférence RSA et trois certifications passées pendant l’attente de son endorsement : rien de tout cela n’a pu être déclaré. Les délais d’endorsement rapportés se situant entre trois et six semaines et demie après soumission du dossier — et davantage en cas de revue approfondie de l’expérience —, cela représente une fenêtre pendant laquelle l’effort de formation ne compte pas. Le versement de la cotisation faisant partie du déclenchement, le fonctionnement de l’AMF conditionne directement le démarrage du compteur.

Pour ceux qui détiennent plusieurs certifications ISC2, les témoignages décrivent des compteurs séparés, mais un même CPE peut être déclaré sur les deux dès lors que le sujet couvre les deux référentiels ; les événements organisés par ISC2 s’appliqueraient automatiquement aux deux.

Peut-on reporter ses CPE excédentaires sur le cycle suivant ?

Partiellement. Le report décrit par la communauté ne concerne que les crédits gagnés pendant les six derniers mois du cycle, avec un plafond de 40 évoqué — un chiffre à confirmer dans le CPE Handbook avant de bâtir un plan dessus.

L’implication pratique, elle, fait consensus : ne cessez pas de déclarer vos activités une fois les 120 atteints, si la fin du cycle approche. Ce qui est gagné dans cette fenêtre finale n’est pas perdu.

Comment se passe un audit et quelles preuves sont acceptées ?

Les audits CPE sont décrits comme aléatoires et peu exigeants sur la forme. Un membre raconte avoir été audité pour la première fois en plusieurs années à cause d’un demi-crédit sur un cours en ligne, et en conclut que la sélection n’a rien de ciblé.

Preuve rapportée dans les témoignages	Issue décrite
Capture d’écran d’une application d’écoute de podcasts	Acceptée
Captures de publications prises pendant une conférence	Acceptées, 35 crédits validés
Certificats de complétion, reçus	Acceptés
Simple déclaration de ce qui a été fait	Parfois suffisante

« 'proof' doesn’t have to be formal… sometimes (gasp) they’ll take whatever you tell them you did »

Traduction : « la "preuve" n’a pas besoin d’être formelle… parfois, aussi surprenant que cela paraisse, ils acceptent simplement ce que vous déclarez avoir fait. »

La bonne pratique décrite est constante : tenir un tableur avec date, titre, nombre d’heures et lien ; télécharger les certificats quand la plateforme les propose ; écrire deux ou trois lignes de résumé pour les podcasts et les lectures. « Inutile d’être plus détaillé que cela, sauf si votre déclaration est auditée. » Cet audit-là ne doit pas être confondu avec l’audit d’endorsement, qui porte sur l’expérience professionnelle au moment de la candidature.

Que risque-t-on à laisser filer un cycle ?

La suspension, puis la perte de la certification. Et les témoignages sont sans ambiguïté sur la suite : parmi les membres qui ont perdu leur CISSP et en ont eu à nouveau besoin, tous ont dû repasser l’examen complet. Quatre témoignages en font état, dont un certifié de 2002 qui a laissé filer en 2020 et un certifié de 2014 qui n’a pas tenu le rythme après la période Covid. Repasser l’examen, c’est repayer une tentative : les montants déclarés figurent sur la page consacrée au prix de l’examen CISSP, et les raisons pour lesquelles des professionnels chevronnés y échouent dans pourquoi on échoue au CISSP.

Les deux situations de rattrapage les plus fréquentes des témoignages — « je suis en année 3 avec 0 CPE et dix mois devant moi » et « j’ai 1 crédit sur 120 » — se terminent bien : les réponses détaillent des solutions de rattrapage rapide, essentiellement des webinaires en rafale et des conférences. Les sources gratuites recensées par la communauté suffisent d’ailleurs, à elles seules, à couvrir un cycle entier. Le conseil le plus répété reste toutefois le plus simple : commencer tôt, quitte à boucler les 120 crédits en huit mois et à vivre le reste du cycle tranquillement.