Un plan de gestion de crise cybersécurité, c’est le document que vous regrettez de ne pas avoir préparé le jour où une attaque paralyse vos systèmes. Contrairement à une simple liste de contacts d’urgence, ce plan définit qui fait quoi, dans quel ordre, et avec quels outils – avant même que l’incident ne survienne. Voici comment le construire de façon concrète et opérationnelle.
Ce qui distingue un plan de gestion de crise cyber d’une simple politique de sécurité
Une politique de sécurité dit ce qui est interdit ou recommandé au quotidien. Un plan de gestion de crise, lui, décrit les actions à mener quand quelque chose tourne mal malgré tout.
Imaginez qu’un employé clique sur un lien dans un email frauduleux et que des données clients se retrouvent chiffrées. Votre politique de sécurité ne vous dira pas à qui téléphoner dans les dix minutes suivantes. Votre plan de crise, si.
La différence concrète : le plan de crise est opérationnel et activé sous pression, là où la politique est consultée dans le calme. Les deux sont nécessaires, mais l’un ne remplace pas l’autre.
Les trois phases d’un plan de gestion de crise cybersécurité
Tout incident cyber suit une même logique : quelque chose se produit, il faut comprendre ce qui se passe, puis reprendre le contrôle, puis remettre les systèmes en route. Ces trois temps structurent naturellement votre plan.
Phase 1 – Détecter et qualifier l’incident
La première question à répondre n’est pas « comment réparer ? » mais « qu’est-ce qui se passe exactement ? ». Un ralentissement réseau peut être banal ou annoncer une exfiltration de données en cours.
Qualifier l’incident avant d’agir évite deux erreurs fréquentes : réagir trop vite en effaçant des traces utiles pour l’investigation, ou au contraire attendre trop longtemps en pensant à une panne technique.
Votre plan doit préciser qui est responsable de cette qualification, sur quels critères, et dans quel délai. Ce délai n’est pas anecdotique : pour les entités financières soumises à DORA, applicable depuis le 17 janvier 2025, la notification initiale d’un incident majeur doit intervenir dans les quatre heures suivant sa classification, et au plus tard vingt-quatre heures après sa détection.
Phase 2 – Contenir l’attaque sans tout bloquer
Vous avez détecté une intrusion sur un serveur. Faut-il couper tout le réseau immédiatement ? Pas forcément.
Une coupure totale stoppe l’attaque mais interrompt aussi l’activité. L’isolation ciblée des systèmes compromis permet de limiter la propagation tout en maintenant les fonctions critiques. Votre plan doit lister ces fonctions à préserver en priorité et les procédures d’isolation associées.
C’est ici que la dépendance aux fournisseurs devient un vrai problème opérationnel. Si votre solution de messagerie ou votre ERP est hébergé chez un tiers et que ce tiers est touché, votre plan doit prévoir une solution de repli. Identifier ces dépendances en amont, et les scénarios d’indisponibilité correspondants, fait partie des exercices les plus utiles à mener avant toute crise.
Phase 3 – Remédier et reprendre l’activité
Une fois l’attaque contenue, la tentation est de tout redémarrer au plus vite. C’est risqué si la menace n’est pas complètement éliminée.
Votre plan doit définir les conditions de reprise : quels systèmes redémarrer en premier, comment vérifier qu’ils sont sains, et comment restaurer les données depuis des sauvegardes non compromises. Une sauvegarde non testée ne vaut rien le jour J – les exercices de restauration font partie intégrante du plan, pas d’une option facultative.
Ce que votre plan doit contenir concrètement
Un plan de gestion de crise cybersécurité n’est pas un document de cent pages qu’on lit une fois puis qu’on range. C’est un outil activé en urgence, souvent par des personnes sous pression. Il doit être lisible rapidement.
- Un annuaire de crise : les contacts internes (responsable IT, direction, juridique, communication) et externes (prestataire cyber, autorité de notification compétente comme l’ANSSI en France), avec leurs numéros directs et les horaires de disponibilité.
- Des fiches réflexe par scénario : ransomware, fuite de données, compromission d’un compte administrateur. Chaque fiche décrit en cinq à dix étapes les actions prioritaires, sans jargon, pour que n’importe quel membre de l’équipe puisse les suivre.
- Les seuils de notification réglementaire : selon votre secteur et votre taille, vous avez des obligations déclaratives. Le cadre NIS 2, en cours de transposition en France avec l’appui de l’ANSSI, étend ces obligations à un nombre plus large d’organisations. Votre plan doit préciser à qui vous devez signaler, dans quel délai, et sur quelle base.
- Les critères de déclenchement du plan : tout incident ne justifie pas d’activer la cellule de crise complète. Définissez des niveaux de gravité avec des seuils clairs pour chacun.
Tester le plan : l’étape que la majorité des PME oublient
Avez-vous déjà remarqué que les plans les mieux rédigés échouent parfois à l’usage, simplement parce que personne ne les a jamais pratiqués ?
Un exercice de crise ne demande pas de simuler une vraie attaque. Il suffit de réunir les personnes concernées et de poser la question : « Il est mardi à 8h30, notre serveur de fichiers est chiffré, que fait-on ? » Suivre le plan ensemble révèle les étapes floues, les contacts manquants, les décisions qui n’ont pas été anticipées.
Un exercice annuel minimum est recommandé, avec un compte-rendu qui liste les ajustements à apporter. Pour les entités financières visées par DORA, les tests doivent couvrir la restauration et les scénarios de crise selon un programme proportionné à la taille et aux risques de l’organisation.
La fréquence et la profondeur des tests dépendent de votre contexte, mais le principe reste le même pour toutes les structures : un plan non testé est un plan non fiable.
Intégrer la continuité d’activité au plan de gestion de crise cyber
La gestion de crise et la continuité d’activité (souvent désignée par l’acronyme PCA) sont deux démarches distinctes mais complémentaires. La gestion de crise répond à l’urgence immédiate. Le PCA organise le fonctionnement dégradé pendant que la crise dure.
En pratique, votre plan de crise cyber doit s’articuler avec votre PCA sur quelques points précis : quelles activités peuvent fonctionner sans les systèmes habituels, avec quels moyens alternatifs, et pendant combien de temps. Un cabinet d’expertise comptable peut, par exemple, travailler temporairement avec des documents papier le temps de restaurer son accès aux logiciels métier.
Cette articulation évite l’erreur de traiter la cybersécurité comme un sujet purement technique, séparé des préoccupations opérationnelles de la direction.
Un plan de gestion de crise cybersécurité n’est jamais parfait au premier jet. Il s’améliore à chaque exercice, à chaque incident réel, et à chaque évolution de votre organisation. Le mettre en place imparfaitement vaut mieux que d’attendre de disposer du plan idéal.
