À 3h12 du matin, l’alerte tombe : les serveurs métiers ne répondent plus, les accès sont verrouillés, les échanges avec l’éditeur SaaS affichent des erreurs incompréhensibles. Les équipes pensent d’abord à une maintenance. Dix minutes plus tard, la supervision montre une déferlante de connexions anormales. Puis les écrans virent au noir.
Ce n’est plus un incident. C’est une crise.
À cet instant, la question n’est plus « que se passe-t-il ? », mais : qui dirige ? qui décide ? et sur quoi s’appuie-t-on pour survivre aux cinq premières heures ?
Dans beaucoup d’organisations, grandes comme petites, la vérité est brutale : la direction découvre en direct qu’elle n’a ni plan testé, ni mallette opérationnelle, ni gouvernance claire.
La bascule est immédiate : il ne s’agit plus de corriger, mais de tenir, décider, documenter et préserver les preuves.
Un impératif réglementaire : la gestion de crise n’est plus optionnelle
Les obligations européennes sont claires et convergentes.
NIS2 impose la notification d’un incident significatif « sans retard indu et au plus tard dans les 24 heures » (art. 23).
DORA, beaucoup plus prescriptif, consacre un chapitre entier, le Chapitre II sur la gestion des risques TIC, à la gestion de crise, à la réponse à incident, aux communications d’urgence et aux notifications obligatoires.
Le RGPD, enfin, impose de notifier toute violation de données personnelles dans les 72 heures (art. 33).
Une organisation incapable d’activer une gestion de crise cyber ne se trouve donc pas simplement en difficulté opérationnelle :
elle devient non conforme à trois cadres majeurs (NIS2, DORA, RGPD).
Communications critiques : sécuriser immédiatement les échanges
Les crises récentes montrent que l’effondrement de la communication aggrave la crise autant que l’attaque.
ENISA recommande l’usage d’une messagerie sécurisée répondant à huit critères structurants : chiffrement de bout en bout, authentification forte, auditabilité, partage sécurisé, code source ouvert, archivage, compatibilité multi-OS, modèle économique pérenne.
Ce n'est pas facultatif.
DORA impose que les communications de crise soient sécurisées et résilientes.
NIS2 impose l’usage de moyens de communication sécurisés voix / texte / vidéo.
Dans les cinq premières minutes, un réflexe vital est donc la bascule vers un canal d’urgence sécurisé, indépendant du système compromis.
Déclenchement : qualifier vite, sans improvisation
La qualification d’une crise ne doit jamais dépendre d’un ressenti ou du volume d’appels.
L’ENISA recommande de s’appuyer sur des critères de sévérité harmonisés :
- nature de l'incident
- cause plausible
- impact
- dépendances critiques affectées,
- propagation potentielle
- étendue géographique
Ces critères déclenchent l’escalade, les ressources, les obligations de notification.
DORA exige également que la qualification soit intégrée dans la procédure de gestion de l’incident.
La mallette de crise : décider sous pression
Le kit de crise n'est pas symbolique : il est vital.
Elle doit contenir les documents essentiels hors ligne : plans d’astreinte, rôles et responsabilités, matrices d’escalade, modèles de messages, contacts autorités, modèles RTS/ITS DORA, cartographie des services critiques et dépendances SaaS, documentation de confinement, procédures de déconnexion d’urgence, modèles de notifications.
DORA exige que toutes ces informations soient disponibles, pré-définies, et testées.
Sans test, une mallette est inutile.
Avec test, elle devient déterminante.
Pour une organisation, quelle que soit sa taille, prévoir l’activation d’un prestataire qualifié n’est plus un confort : c’est une exigence de résilience et, dans le secteur financier, une attente claire du superviseur DORA.
Intégrer la réalité des exercices : le “timetable” et les injects
Les organisations qui résistent le mieux ne se contentent pas d’un plan.
Elles s’entraînent.
Les bonnes pratiques ANSSI et ENISA convergent : un exercice efficace doit simuler la pression, la confusion, la charge d’appels, les rumeurs sur les réseaux sociaux, la pression médiatique, les contraintes techniques (messagerie HS, SI injoignable), et l’incertitude.
L’outil central est le timetable : une séquence d’injects (informations simulées) chronologiques définissant :
- ce qui tombe
- qui le reçoit
- ce qui doit être fait
Les injects sont les événements simulés envoyés pendant un exercice (ex. appels des médias, messages des autorités, propagation du ransomware). Ils reproduisent la pression et l’incertitude d’une crise réelle.
DORA rend ces exercices obligatoires pour la continuité opérationnelle.
NIS2 impose un programme national d’exercices.
Sans exercice, la crise révélera les failles.
Avec exercice, elle validera la maturité.
Exercices pluriannuels : une exigence NIS2 et une attente DORA
NIS2 impose des exercices planifiés.
DORA exige également que les mécanismes de réponse et de communication soient testés régulièrement.
Sortie de crise : reconstruction, pas seulement restauration
Le retour à la normale n’est jamais une restauration technique.
C’est une reconstruction.
Prévoyez :
- un hotwash (réunion de débriefing immédiate)
- une analyse consolidée sous 30 jours
- une mise à jour des procédures
- un plan de renforcement
DORA exige la même logique : mesures correctrices, documentation complète, ajustement des contrôles internes.
Une organisation qui ne tire pas les leçons prépare la prochaine crise.
Checklist de conformité et de déploiement opérationnel de la gestion de crise (NIS2, DORA, RGPD)
Avoir une politique de gestion de crise
Conforme à la DORA (articles 11 et 15), définissant la gouvernance, les responsabilités, les seuils de crise, l'activation, la documentation et l'examen post-incident.
Disposer d'une procédure de gestion de crise comprenant
Organisation et gouvernance
- Définition des cellules décisionnelles et opérationnelles
- Lieux de rassemblement physiques et virtuels
- Canaux de communication de secours (par exemple, Olvid) si les équipes ou la messagerie interne ne sont pas disponibles (DORA)
- Rôles, responsabilités et suppléants identifiés
Logistique opérationnelle
- Fiche logistique de la cellule de crise : Wi-Fi invité, pieuvre téléphonique, whiteboard, laptops supplémentaires, badges d’accès, alimentation, café, solutions de secours
- Accès hors-ligne à toute la documentation critique
Mécanismes d'escalade et de qualification
- Matrice d'escalade (NIS2 Art. 23 ; DORA Art. 19)
- Fiche d'analyse de crise
- Matrice de qualification de la gravité
- Flashcards : délais de notification (NIS2 24h/72h, GDPR 72h, DORA RTS/ITS), RTO & RPO pour les services critiques
Références et contacts essentiels
- Annuaire de crise (internes et externes) incluant : autorités, prestataires qualifiés / forensics, assurance cyber, direction juridique, communication, prestataires critiques, maintenance, sécurité, experts, média — avec suppléants
- Contrats d’assurance (incluant clauses cyber)
- Contrats de fournisseurs critiques
Documentation structurelle
- Modèle de rapport de situation
- Journal de crise (obligatoire pour la traçabilité de l'article 11.4 du DORA)
- Fiches réflexes par type de crise (cyber, incendie, panne télécom, panne SaaS, compromission d'identité, violation de données)
- Fiches de communication de crise par groupe de parties prenantes (internes, clients, médias, autorités)
- Modèles d’emails type : ouverture / clôture cellule de crise
- Modèle d’email de compte rendu de réunion
- Formulaires de notification pour les autorités :
- NIS2 (alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final)
- RGPD (violation de données à la CNIL)
- DORA (incident majeur RTS/ITS : rapport initial, rapport intermédiaire, rapport final)
Partager :
