Plan de réponse à incident cyber : le modèle simple pour PME

Un plan de réponse à incident cyber est un document court qui dit, à l'avance, qui fait quoi quand une cyberattaque frappe l'entreprise : qui alerter, quels premiers gestes faire, qui appeler ensuite. Sans lui, chacun improvise au pire moment. Il se rédige à froid, même sans service informatique : des noms, des numéros et des gestes décidés à l'avance.

Pourquoi préparer ce plan avant l'incident ?

Une cyberattaque n'est pas une simple panne informatique. Ses conséquences sont aussi financières, de réputation, voire juridiques. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, recommande de la gérer avec méthode et au plus haut niveau de l'organisation.

Le jour où elle arrive, ce sont parfois les salariés qui la découvrent les premiers : des fichiers devenus illisibles, un logiciel qui refuse de s'ouvrir. Si personne ne sait quoi faire, on risque les mauvais réflexes : éteindre l'ordinateur, tout réinstaller avant d'avoir porté plainte, payer la rançon.

Rédiger ce plan ne demande pas de compétences techniques.

Ce que contient un plan de réponse à incident cyber

Un plan simple tient en sept rubriques. Chacune répond à une question que vous vous poserez le jour même.

1. Qui alerter en premier : le support informatique, si vous en avez un, c'est-à-dire un service interne, un prestataire ou une personne en charge. Sinon, Cybermalveillance.gouv.fr recense des professionnels en cybersécurité susceptibles de vous apporter leur assistance technique.
2. La cellule de crise : les personnes qui pilotent la réponse, pour la technique, les ressources humaines, les finances, la communication et le juridique. Dans une petite entreprise, une même personne peut tenir plusieurs de ces rôles ; prévoyez pour chacun un remplaçant.
3. Les premiers réflexes, dans l'ordre (détaillés plus bas).
4. Les consignes pour les salariés, qui peuvent être affichées dans les locaux et près de chaque poste de travail.
5. Le registre de crise : un cahier papier, ou un fichier sur un appareil extérieur au réseau de l'entreprise, où l'on note les événements et les actions, pour garder une trace utile aux enquêteurs et tirer les leçons ensuite.
6. Les contacts utiles : assureur, banque, prestataire spécialisé, police ou gendarmerie au 17, et la CNIL (Commission nationale de l'informatique et des libertés) si des données personnelles ont pu être consultées, modifiées ou détruites.
7. Le plan de secours : comment continuer d'assurer les services indispensables, avec des solutions de secours.

Le modèle de plan de réponse à incident cyber du site propose une trame prête à remplir : cellule de crise, annuaire d'urgence, étapes de la réponse, communication.

Le jour de l'attaque : les gestes à faire

Les premiers réflexes, dans l'ordre

1. Isoler les machines touchées en coupant toutes les connexions à Internet et au réseau local, pour que l'attaque ne se propage pas.
2. Ne pas éteindre les appareils : des preuves gardées en mémoire seraient effacées.
3. Alerter immédiatement le support informatique, puis réunir la cellule de crise.
4. Garder les preuves : messages reçus, machines touchées, historiques de connexion. Notez chaque action dans le registre, avec l'heure.
5. Ne pas payer de rançon : payer encourage les criminels à revenir et finance leur activité, sans aucune garantie qu'ils tiennent parole.

Pour les salariés, Cybermalveillance.gouv.fr publie cinq consignes d'urgence :

• débrancher le câble réseau et couper le Wi-Fi ou les données mobiles ;
• ne pas éteindre l'appareil ;
• alerter au plus vite le support informatique ;
• ne plus utiliser l'appareil qui pourrait être touché ;
• prévenir ses collègues, car une mauvaise manipulation d'un autre salarié pourrait aggraver la situation.

Présentez-les en cinq minutes lors d'une réunion d'équipe : le jour même, personne n'aura le temps de lire un long document. Pour comprendre comment se déroule une attaque par rançongiciel (un programme qui rend les fichiers illisibles et réclame une rançon pour les débloquer), voyez l'anatomie d'une attaque et son plan de survie.

Ensuite, piloter la crise

Une fois les premiers réflexes appliqués, la cellule de crise mène les démarches suivantes.

• Mettre en place les solutions de secours prévues pour continuer d'assurer les services indispensables.
• Déclarer le sinistre à l'assureur, qui peut vous dédommager, voire vous assister, selon votre niveau de couverture.
• Prévenir la banque si des informations permettant de faire des virements ont pu être volées.
• Porter plainte avant toute réparation ou réinstallation, en apportant toutes les preuves : c'est ainsi que les preuves techniques restent disponibles pour les enquêteurs. La plainte se dépose au commissariat, à la brigade de gendarmerie ou par écrit au procureur de la République.
• Notifier l'incident à la CNIL dans les 72 heures si des données personnelles ont pu être consultées, modifiées ou détruites, comme le recommande Cybermalveillance.gouv.fr.
• Informer avec le juste niveau de transparence les clients, les salariés, les partenaires et les fournisseurs.

Après la crise : repartir et apprendre

Votre prestataire réinstalle les systèmes à partir de sauvegardes antérieures à l'incident et réputées saines, puis les remet en route pas à pas, une fois les failles corrigées, en surveillant leur fonctionnement pour repérer toute nouvelle attaque. D'où l'intérêt de sauvegardes régulières et déconnectées, c'est-à-dire copiées sur un support que l'on débranche ensuite du réseau, pour pouvoir tout réinstaller au besoin. Tous les mots de passe d'accès aux équipements suspectés d'être touchés se changent au plus vite.

Prenez ensuite le temps de tirer les leçons de l'attaque et de décider des actions et des investissements à faire. Pensez aussi aux équipes : une attaque peut provoquer une surcharge de travail et un sentiment de sidération, d'humiliation ou de culpabilité. Personne ne doit être désigné comme coupable.

Pour les sauvegardes, la règle 3-2-1 sert de base : trois copies des données, sur deux supports différents, dont une hors des locaux.

Comment savoir si votre plan est prêt ?

Cinq questions suffisent :

• Les noms et numéros de la cellule de crise sont-ils à jour, avec un remplaçant pour chacun ?
• Le plan existe-t-il sur papier, en dehors des ordinateurs de l'entreprise ?
• Les salariés connaissent-ils les cinq consignes ?
• Les numéros de l'assureur, de la banque et du prestataire sont-ils notés ?
• Le plan a-t-il déjà été testé ? La cellule de crise l'a-t-elle déroulé, autour d'une table, sur un scénario simple comme celui d'un matin où plus aucun fichier ne s'ouvre ?

Pour réduire le risque d'incident, la checklist cybersécurité PME en 15 actions donne les priorités.

Questions fréquentes

Quelle différence avec un plan de continuité d'activité ?

Le plan de réponse dit comment réagir à l'attaque elle-même. Le plan de continuité dit comment continuer d'assurer les services indispensables pendant la panne, avec des solutions de secours. Les deux se complètent : le premier renvoie au second.

Peut-on tout réinstaller tout de suite pour reprendre le travail ?

Non, pas avant d'avoir porté plainte : la plainte doit précéder la réinstallation des appareils, pour conserver les preuves techniques. La réinstallation se fait ensuite à partir de sauvegardes antérieures à l'incident et réputées saines, et la remise en route attend que les failles soient corrigées.

Faut-il informer ses clients et ses partenaires ?

Oui, avec le juste niveau de transparence, recommande Cybermalveillance.gouv.fr, qui cite les clients, les collaborateurs, les partenaires, les fournisseurs et les médias. Prévoyez dans le plan qui prend la parole et ce qui peut être dit.

Sources

• Que faire en cas de cyberattaque ? (Guide pour les dirigeants) — Cybermalveillance.gouv.fr
• Que faire en cas de cyberattaque ? (consignes pour les collaborateurs) — Cybermalveillance.gouv.fr
• Piratage d’un système informatique professionnel, que faire ? — Cybermalveillance.gouv.fr, 26/06/2023

Comment Sedona peut aider

Fixer des priorités suppose de savoir d'abord ce qui est exposé. Sedona Radar fait l'audit de sécurité externe automatisé de votre domaine et en tire un rapport en français et un plan d'action ; l'application présente chaque constat en langage clair pour la direction ou en détails techniques pour le DSI.

Parmi ce qu'il examine :

• Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.
• Vos noms de domaine : les sous-domaines publics, la configuration DNS de votre messagerie, les sous-domaines qu'un tiers pourrait reprendre.

Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.

Article publié le 23/10/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.