Cyberattaque : votre plan de gestion de crise en 5 étapes

La question n’est plus de savoir si votre organisation subira une cyberattaque, mais quand — et surtout comment elle y répondra. En France, le coût moyen d’une violation de données atteint 3,59 millions d’euros en 2025. La différence entre une organisation paralysée et une organisation résiliente ne tient pas à la chance : elle repose sur la préparation et la méthode. C’est pourquoi la gestion de crise cyber s’intègre naturellement dans un plan de continuité et de reprise d’activité, qui en constitue le cadre structurant.

Cet article vous propose un plan d’action structuré en 5 étapes et les bonnes pratiques éprouvées pour anticiper, réagir et limiter les conséquences d’une attaque. Que vous soyez RSSI, directeur général ou responsable IT, vous y trouverez une méthode concrète et immédiatement actionnable.

Pourquoi la gestion de crise cyber ne s’improvise pas

Une cyberattaque ne se résume jamais à un simple incident technique. Lorsqu’un ransomware paralyse un système d’information ou qu’une fuite de données expose des informations sensibles, c’est l’ensemble de l’organisation qui se retrouve mobilisé : direction générale, service juridique, communication, ressources humaines et équipes IT. En 2025, 44 % des entreprises françaises estiment être fortement exposées aux cyberattaques, contre 38 % l’année précédente. Pourtant, 80 % des TPE-PME reconnaissent ne pas être préparées à y faire face.

Les premières 24 heures suivant la détection d’un incident sont décisives. Les décisions prises — ou non — dans cette fenêtre conditionnent l’ampleur des dégâts financiers, opérationnels et réputationnels. Le contexte réglementaire renforce cette urgence : la directive NIS2 impose aux entités concernées une notification initiale à l’ANSSI sous 24 heures, suivie d’un rapport détaillé sous 72 heures. Le RGPD, lui, exige une notification à la CNIL dans les 72 heures en cas de compromission de données personnelles. Sans plan formalisé, respecter ces délais relève de l’impossible.

L’exemple des 19 000 entreprises françaises touchées par les cyberattaques liées à l’effet domino d’Eurofiber en 2025 est parlant : plus de 10 000 organisations ont été impactées par cette seule attaque, parmi lesquelles Orange, SFR, Carrefour et la SNCF. Les organisations dépourvues de procédures formalisées se sont retrouvées dans l’incapacité de réagir dans les délais réglementaires, aggravant considérablement les conséquences de l’incident.

Les deux cellules à constituer en amont

Pour répondre efficacement à une crise, deux structures complémentaires doivent être constituées avant qu’un incident ne survienne. La première est la cellule technique, composée du RSSI, du SOC (Security Operations Center) et des prestataires forensiques. Son rôle : confiner l’attaque, mener l’investigation numérique et piloter la restauration des systèmes.

La seconde est la cellule de crise générale, qui réunit la direction générale, le service communication, le département juridique et le DPO (Délégué à la Protection des Données). Cette cellule prend en charge les notifications réglementaires, la communication externe et la continuité des activités métier. Le RSSI — ou un coordinateur dédié — assure le lien entre ces deux entités, traduisant les enjeux techniques en décisions actionnables pour le COMEX. Cette articulation entre pilotage stratégique et réponse opérationnelle correspond précisément à ce qu’imposent les obligations de la directive NIS2 en matière de gouvernance des incidents.

Le plan d’action en 5 étapes clés

Structurer sa réponse à un incident de cybersécurité selon une séquence méthodique permet de limiter les dégâts et de respecter les obligations légales. Ce plan en 5 étapes s’inspire du cadre NIST (National Institute of Standards and Technology) et l’adapte aux réalités réglementaires françaises. Selon le rapport IBM 2025, les organisations qui déploient largement l’IA et l’automatisation dans leur stratégie de sécurité ramènent le coût moyen d’une violation à 3,62 millions de dollars, contre 5,52 millions pour celles qui ne le font pas, soit une économie de 35 %.

Étape 1 : Détecter, qualifier l’incident et décider du passage en crise

Tout commence par la capacité à reconnaître qu’un incident informatique est en cours. Une alerte EDR (Endpoint Detection and Response), un comportement anormal sur le réseau ou un signalement d’un collaborateur constituent autant de signaux à prendre au sérieux. La première action consiste à classifier la sévérité de l’incident : faible, moyenne ou critique. Cette qualification détermine le niveau d’escalade et les ressources à mobiliser.

Une nuance essentielle s’impose ici : tout incident n’est pas une crise. Un incident maîtrisé reste un incident. C’est uniquement lorsqu’il dépasse un seuil de gravité prédéfini (impact métier, propagation, indisponibilité critique, etc.) que l’organisation bascule officiellement en situation de crise. Ce seuil doit être défini en amont, dans le cadre du plan de réponse, afin que la décision de passage en crise soit objective et non laissée à l’appréciation du moment.

Il est impératif de documenter immédiatement chaque élément : captures d’écran, journaux d’événements, logs réseau. Ces preuves numériques sont indispensables pour l’analyse forensique, les obligations légales et, le cas échéant, la déclaration auprès de l’assureur cyber. En France, 86 % des entités touchées par une violation subissent des perturbations opérationnelles affectant les ventes, les services ou la production. Une détection rapide et documentée réduit significativement cette fenêtre de perturbation.

Étape 2 : Contenir la propagation sans détruire les preuves

Une fois l’incident qualifié, la priorité est de stopper la propagation de l’attaque sans compromettre les éléments de preuve. Concrètement, cela signifie isoler physiquement les machines compromises du réseau sans les éteindre, car la mémoire vive contient des données volatiles utiles à l’investigation.

Changez immédiatement les mots de passe des comptes compromis, bloquez les adresses IP malveillantes identifiées et révoquez les accès suspects. Un journal de crise horodaté doit être tenu sur un support déconnecté du système d’information principal — un simple cahier papier peut suffire si le SI est hors service. Cette discipline documentaire sera précieuse lors du retour d’expérience et face aux autorités.

Étape 3 : Notifier les autorités compétentes

La notification n’est pas une option : c’est une obligation réglementaire assortie de délais stricts. Pour les entités soumises à NIS2, une alerte initiale doit être transmise à l’ANSSI ou au CERT-FR dans les 24 heures suivant la détection, puis un rapport détaillé sous 72 heures. En cas de compromission de données personnelles, la CNIL doit être notifiée dans les 72 heures, conformément au RGPD.

L’assureur cyber doit également être prévenu dans le délai contractuel — généralement 24 à 48 heures — pour déclencher la garantie et bénéficier de l’accompagnement prévu au contrat. Lors de l’attaque ayant touché la Fédération Française de Football en novembre 2025 via un prestataire vulnérable, les organisations qui avaient anticipé ces procédures de notification ont pu activer leur couverture assurantielle sans délai, tandis que d’autres ont perdu le bénéfice de leur garantie faute de déclaration dans les temps. Un point essentiel : ne jamais minimiser publiquement l’incident. La communication doit être cadrée dès le départ avec le service juridique et l’équipe communication.

Étape 4 : Éradiquer et restaurer

L’éradication consiste à identifier le vecteur d’attaque initial — la porte d’entrée utilisée par l’attaquant — et à le supprimer définitivement. La vulnérabilité exploitée doit être corrigée (patch), les malwares et les backdoors (portes dérobées permettant un accès futur) doivent être nettoyés sur l’ensemble du périmètre compromis.

La restauration s’appuie sur des sauvegardes vérifiées. Attention : les sauvegardes les plus récentes peuvent elles-mêmes être compromises si l’attaquant était présent dans le système depuis plusieurs semaines. C’est pourquoi la règle de sauvegarde 3-2-1 — trois copies, sur deux supports différents, dont une hors ligne — constitue un prérequis de résilience cyber. La remise en service doit s’effectuer progressivement, sous surveillance renforcée, pour détecter toute résurgence de l’attaque. Selon IBM, seulement 35 % des organisations parviennent à se rétablir complètement après une violation, et la plupart mettent plus de 100 jours pour y parvenir.

Étape 5 : Tirer les leçons — le RETEX

Dans les deux semaines suivant la résolution de l’incident, la cellule de crise doit se réunir pour un retour d’expérience (RETEX) structuré. L’objectif : analyser ce qui a fonctionné, identifier les failles dans le dispositif de réponse et définir des mesures correctives concrètes.

Un rapport d’incident complet doit être rédigé, incluant la chronologie détaillée, l’impact métier quantifié, les coûts directs et indirects, ainsi que les mesures correctives planifiées. Ce document alimente la mise à jour du plan de réponse aux incidents (PRI) et peut servir de base pour les exercices de crise futurs. Les organisations qui intègrent systématiquement les enseignements de chaque incident dans leur PRI renforcent leur maturité en cybersécurité et réduisent leur temps de réponse lors des incidents suivants.

Bonnes pratiques pour anticiper avant la crise

Réagir vite, c’est bien. Anticiper, c’est mieux. Les organisations les plus résilientes ne se contentent pas d’un plan théorique : elles le testent, l’améliorent et l’ancrent dans leur fonctionnement quotidien. En 2025, les exercices de crise cyber ont fortement progressé en France, les directions générales ayant pris acte que les cyberattaques sont une question de « quand » et non de « si ».

Cartographier les actifs critiques constitue le point de départ. Il s’agit d’identifier les systèmes, les données et les processus dont dépend la survie de l’organisation. Cette cartographie, réalisable en moins de 30 jours, permet de prioriser les efforts de protection des données et de définir les scénarios de crise les plus probables. Une entreprise industrielle qui identifie son ERP comme actif critique pourra, par exemple, concentrer ses sauvegardes et ses procédures de restauration sur ce système en priorité.

Tester le plan avant d’en avoir besoin est une nécessité. Un PRI non testé est un PRI inutile. L’exercice de crise tabletop — une simulation sur table réunissant direction, IT, communication et juridique autour d’un scénario réaliste — doit être organisé au moins une fois par an. Ces exercices révèlent les angles morts, les défauts de coordination et les réflexes à corriger. Tout changement organisationnel majeur, qu’il s’agisse d’une fusion, d’une migration SI ou d’un changement de DSI, justifie un test supplémentaire.

Valider la stratégie de sauvegarde 3-2-1 reste un fondamental. Trois copies des données, sur deux supports différents, dont une hors ligne. Au-delà de la théorie, il faut tester une restauration réelle régulièrement. 93 % des victimes de rançongiciels déclarent être incapables de restaurer toutes leurs données et de rétablir leurs processus opérationnels dans les 3 jours. Ce chiffre dit tout de l’écart entre la confiance affichée et la réalité opérationnelle.

Préparer une check-list de réaction en 10 points — isolation, escalade, contacts d’urgence, procédures de notification — accessible même si le SI est hors service, est une mesure simple mais redoutablement efficace. Une version papier, stockée dans un lieu connu de la cellule de crise, garantit sa disponibilité en toutes circonstances.

Établir des conventions préalables avec un prestataire d’incident response, un assureur cyber et le CERT-FR (si éligible) permet de gagner un temps précieux le jour J. Ces contacts ne se trouvent pas en pleine crise. Une démarche de certification ISO 27001 fournit d’ailleurs le cadre de gouvernance idéal pour structurer l’ensemble de ces bonnes pratiques au sein d’un système de management de la sécurité informatique cohérent.

Trois erreurs à ne jamais commettre en cas de crise cyber :

1. Payer la rançon sans avoir épuisé les alternatives — cela ne garantit pas la récupération des données, finance les groupes criminels et expose souvent à une seconde demande.

2. Reconstruire les systèmes sans avoir éradiqué la backdoor — l’attaquant pourra revenir par la même porte.

3. Ne pas impliquer le COMEX dès les premières heures — une crise cyber est une crise d’entreprise, pas un problème IT.

RSSI externalisé : une réponse aux organisations sans ressources dédiées

La réalité du terrain est sans appel : 63 % des TPE-PME françaises citent un manque de connaissances et d’expertise comme principal obstacle à un niveau satisfaisant de sécurité informatique. Beaucoup d’entreprises ne disposent ni de RSSI ni de plan de réponse formalisé au moment où la crise survient. La France manque actuellement de 15 000 professionnels en cybersécurité, et les salaires des experts oscillent entre 70 000 € et 120 000 € brut annuel, auxquels s’ajoutent charges patronales, formation continue et outils.

Le RSSI externalisé apporte une réponse pragmatique à ce dilemme. Il intervient en amont — construction du PRI, organisation d’exercices de crise, cartographie des risques numériques — et peut apporter un soutien opérationnel lors d’un incident réel. Son avantage principal : une expertise immédiatement disponible, sans les délais et les coûts d’un recrutement.

Fidens, entité cybersécurité du groupe TVH Consulting, propose cette approche depuis plus de 20 ans avec plus de 3 000 missions réalisées. Le modèle repose sur un interlocuteur dédié, adossé à une équipe pluridisciplinaire de consultants certifiés (Lead Auditor, Lead Implementor, OSCP). Cette organisation garantit une couverture complète : gouvernance, conformité NIS2 et RGPD, audits techniques, sensibilisation des équipes et pilotage de la réponse aux incidents. Pour les PME et ETI qui souhaitent structurer leur posture de sécurité sans recruter à temps plein, faire appel à un RSSI externalisé est un levier de résilience cyber à la fois flexible et économiquement maîtrisé.

À retenir

• Une gestion de crise cyber efficace repose sur la préparation, pas sur l’improvisation : cellule de crise constituée en amont, plan de réponse aux incidents testé, conventions préalables avec les prestataires clés.
• Les 5 étapes clés — détecter, contenir, notifier, éradiquer, tirer les leçons — forment un cadre séquentiel qui permet de réagir avec méthode et de respecter les délais réglementaires (NIS2 : 24h, RGPD : 72h).
• La sauvegarde 3-2-1 et les exercices de crise tabletop annuels sont les deux piliers d’une anticipation réaliste et opérationnelle.
• Le RSSI externalisé est une solution immédiatement opérationnelle pour les PME et ETI qui ne disposent pas de ressources internes dédiées à la cybersécurité.

FAQ

Non, dans la grande majorité des cas. Payer ne garantit pas la récupération des données, finance les groupes criminels et expose souvent à une seconde demande. La priorité est de contacter un prestataire spécialisé en réponse aux incidents et de vérifier l’intégrité des sauvegardes hors ligne avant toute décision.

Conclusion

La gestion de crise cyber n’est pas un luxe réservé aux grandes entreprises : c’est une nécessité stratégique pour toute organisation qui dépend de son système d’information. Les chiffres parlent d’eux-mêmes — 3,59 millions d’euros de coût moyen par violation en France, 213 jours pour détecter une faille, 80 % des TPE-PME non préparées. Ces statistiques portent aussi un message concret : les organisations qui investissent dans la préparation, qui testent leurs plans et qui structurent leur réponse aux incidents réduisent significativement l’impact financier et opérationnel des attaques.

La différence entre une organisation déstabilisée et une organisation résiliente se joue sur la préparation, pas sur la chance. Construire un PRI solide, organiser des exercices de crise réguliers, valider sa stratégie de sauvegarde et s’entourer des bons partenaires sont des actions à la portée de toute entreprise, quelle que soit sa taille. Fidens, entité cybersécurité du groupe TVH Consulting, accompagne les organisations dans cette démarche depuis plus de 20 ans — de l’audit de maturité à la mise en place d’un plan de continuité et de reprise d’activité, en passant par la délégation de RSSI externalisé. Pour évaluer votre niveau de préparation et structurer votre dispositif de gestion de crise, contactez nos experts cybersécurité.