Le format CAT de l’examen CISSP, expliqué question par question

L’examen CISSP se passe sous forme de test adaptatif informatisé — CAT, pour Computerized Adaptive Testing. Concrètement : vous ne recevez pas une liste de questions fixée d’avance, mais une suite de questions choisies au fur et à mesure en fonction de vos réponses précédentes. Depuis le 15 avril 2024, cette suite compte 100 à 150 questions, à traiter en 3 heures maximum. Avant cette date, le format était de 125 à 175 questions en 4 heures : une part importante des témoignages disponibles en ligne décrit donc un examen qui n’existe plus.

Ces repères viennent de témoignages de candidats, d’août 2023 à juillet 2026 (notre méthode) ; la règle officielle est sur isc2.org.

Qu’est-ce que le format CAT de l’examen CISSP ?

Un CAT n’a pas pour but de vous faire répondre à un maximum de questions : il cherche à estimer votre niveau avec assez de certitude pour trancher. Chaque réponse affine cette estimation, et la question suivante est choisie pour réduire l’incertitude restante.

Le principe de base

Un candidat résume la mécanique en octobre 2024, dans le récit le plus repris sur le sujet :

« At the beginning of the test, the CAT presents a question of medium difficulty. [...] If they answer correctly, the next question will be more challenging; if they answer incorrectly, the next question will be easier. » (« Au début du test, le CAT présente une question de difficulté moyenne. [...] Si le candidat répond correctement, la question suivante sera plus difficile ; s’il répond mal, elle sera plus facile. »)

Conséquence directe : un candidat qui réussit voit son examen devenir de plus en plus dur. La difficulté ressentie n’est donc pas un mauvais signe, mais le fonctionnement normal du dispositif.

Ce que le CAT n’est pas

Ce n’est pas un questionnaire linéaire que l’on parcourt à son rythme. Aucun candidat ne mentionne la possibilité de revenir sur une question validée, et le conseil qui revient le plus est de tourner la page : « forgot about every question everytime I pressed next » (« j’oubliais chaque question dès que j’appuyais sur suivant »). Cette impossibilité de revenir en arrière change la façon de traiter chaque énoncé, détaillée dans la méthode pour répondre à une question CISSP.

Combien de questions et combien de temps depuis avril 2024 ?

Période	Nombre de questions	Durée
Jusqu’au 14 avril 2024	125 à 175	4 heures
Depuis le 15 avril 2024	100 à 150	3 heures

La fourchette 100-150 questions en 3 heures du format actuel est confirmée par de nombreux récits — un compte rendu d’échec évoque « the entire 150 questions for 3hours ».

Attention à une confusion documentée le jour même du changement : un commentateur avançait alors « Think it shifted from 125-175 to 100-125 ». La borne haute est inexacte — plusieurs comptes rendus ultérieurs décrivent des examens terminés à 150 questions pile.

Comment l’algorithme choisit-il la question suivante ?

Au-delà du « bonne réponse, question plus dure », un commentateur donne le critère de sélection des items :

« So the CAT uses something called discriminative efficiency. [...] the point biserial correlation coefficient, which correlates the score on a specific item with the overall test score. » (« Le CAT utilise ce qu’on appelle l’efficience discriminante : le coefficient de corrélation bisériale ponctuelle, qui corrèle le résultat à une question donnée avec le résultat global au test. »)

Autrement dit, l’algorithme privilégie les questions qui séparent le mieux les candidats à votre niveau estimé.

« Facile » et « difficile » sont subjectifs

La difficulté d’une question est une propriété statistique de l’item, pas votre ressenti. Le même commentateur le formule : « Maybe you are an expert in incident response, so those questions are easier. Where maybe you hate databases (we all do it’s ok). » (« Peut-être êtes-vous expert en réponse à incident, donc ces questions vous paraissent faciles. Et peut-être détestez-vous les bases de données. ») Une question calibrée comme difficile peut vous sembler triviale.

L’algorithme cherche vos limites

Plusieurs candidats décrivent un examen qui insiste sur un même thème : « The adaptive test will zero in on your every weakness like a crazy ex !! » (« Le test adaptatif va viser chacune de vos faiblesses comme un ex obsessionnel. ») Mais l’interprétation est piégeuse : un candidat très solide en cryptographie s’est fait bombarder de questions de crypto et a réussi. Sa conclusion : « Don’t stress the CAT too much, it’s going to do what it wants and you’re just along for the ride. » (« Ne vous crispez pas trop sur le CAT : il fera ce qu’il veut, vous êtes juste passager. »)

Qu’est-ce qu’une question bêta et compte-t-elle dans le score ?

Une partie des questions posées ne sont pas notées : ce sont des questions en cours de calibrage, insérées pour évaluer du contenu futur.

« Beta questions on the CISSP exam serve as unscored questions that help test developers evaluate new content. These questions are mixed into the exam without affecting the test-taker’s score. » (« Les questions bêta sont des questions non notées qui aident les concepteurs à évaluer de nouveaux contenus. Elles sont mêlées à l’examen sans affecter le score du candidat. »)

La banque est vaste : « The pool of questions is tens of thousands questions » (« la banque compte des dizaines de milliers de questions »).

Un candidat de juillet 2024 estime leur part ressentie à « 10% that were probably questions they were testing out » — une impression, pas un chiffre officiel. Rien ne permet de les repérer pendant l’épreuve, ce qui suffit à disqualifier la lecture « cette question est facile, donc j’échoue ».

Quand et pourquoi l’examen s’arrête-t-il ?

L’épreuve s’arrête dès que l’algorithme a suffisamment d’information — ou quand l’une des bornes (150 questions, 3 heures) est atteinte. Sur les 48 comptes rendus d’examen disponibles, l’arrêt à 100 questions est de loin le cas dominant, devant un second groupe terminé à 150. Le décompte complet de ces issues et ce qu’on peut en conclure figurent dans examen arrêté à 100 questions : réussi ou raté ?.

Ces proportions ne sont pas un taux de réussite : les récits « Passed! » sont massivement surreprésentés en ligne. Un arrêt à 100 questions signifie seulement que l’algorithme a tranché — dans un sens comme dans l’autre, un commentaire rapportant « Failed at 100, proficient on 3 domains and below on the other 5 » (« Échoué à 100, au niveau sur 3 domaines et en dessous sur les 5 autres »).

Quelles informations reçoit-on à la fin de l’épreuve ?

L’écran se coupe sans préavis — « out of nowhere the screen goes black » (« sans prévenir, l’écran devient noir ») — et un questionnaire de satisfaction suit, lui aussi chronométré. Le résultat est ensuite remis sur papier par le surveillant, souvent sans un mot ; le déroulé complet de cette sortie de salle est décrit dans le jour de l’examen CISSP au centre Pearson VUE. En cas de réussite, il indique un statut provisoire :

« Congratulations! We are pleased to inform you that you have provisionally passed... » (« Félicitations ! Nous avons le plaisir de vous informer que vous avez provisoirement réussi… »)

Aucun score chiffré n’est communiqué en cas de réussite. En cas d’échec, le rapport donne un positionnement par domaine, du type « 150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes ». Le détail du scoring et du seuil de 700/1000 est traité dans score CISSP 700/1000 : pourquoi ce n’est pas 70 %.

Que change le format pour un candidat non anglophone ?

Tous les récits disponibles décrivent un examen passé en anglais, et la charge linguistique revient régulièrement :

« I have to say, as a non-native English speaker, some questions were really more of a language test than cybersecurity » (« Je dois dire que, en tant que non-anglophone, certaines questions relevaient plus du test de langue que de la cybersécurité. »)

Un rédacteur de questions ISC2 intervenu dans ces discussions affirme que c’est un travers combattu : « we have been trying very hard to make the questions as 'linguistically agnostic' as possible » (« nous nous efforçons de rendre les questions aussi neutres que possible sur le plan linguistique »).

La barrière de la langue figure d’ailleurs parmi les causes d’échec auto-diagnostiquées recensées dans pourquoi on échoue au CISSP. Langues proposées et majorations de temps sont des règles officielles, à vérifier auprès d’ISC2. Un cas de temps étendu à 6 heures obtenu via une exemption médicale transmise à ISC2 est documenté.

L’entraînement en conditions proches du format compte donc double quand l’anglais n’est pas votre langue : l’application Cybridia propose pour cela un mode adaptatif calqué sur le CAT et 8 examens blancs chronométrés.

En quoi les anciens témoignages sont-ils périmés ?

Un compte rendu d’août 2023 raconte « I answered 175 questions in total » (« j’ai répondu à 175 questions au total »). Ce format n’existe plus. Le basculement est documenté en direct le 15 avril 2024, quand un candidat s’étonne d’avoir terminé à 100 questions :

« Congratulations and as to why you managed to pass at 100. It is because the exam format changed today requiring fewer overall questions. » (« Félicitations — et si vous avez pu réussir à 100 questions, c’est parce que le format de l’examen a changé aujourd’hui et exige moins de questions. »)

Ce même candidat a failli se faire piéger : mal informé, il calculait son rythme sur l’ancien format et « sped run through the questions » (« a foncé à travers les questions »). C’est le risque concret des sources périmées — il est traité dans gestion du temps à l’examen CISSP.

Règle de lecture pour tout témoignage trouvé en ligne : vérifiez sa date. Avant avril 2024, le nombre de questions, la durée et les repères de rythme ne s’appliquent plus — les autres articles du blog s’appuient sur le format actuel.