Plan de gestion de crise cyber : cellule, fiches réflexes et exercices qui
servent vraiment

Nuit du 18 au 19 mars 2019, Norvège. Des postes de Norsk Hydro affichent une note de rançon. À quatre heures du matin, à Oslo, le responsable de la sécurité de l'information du groupe, Torstein Gimnes Are, est réveillé par un collègue de l'IT : "on est peut-être attaqués". Le rançongiciel LockerGoga se propage dans un groupe de 35 000 salariés répartis dans 40 pays. Avant l'aube, la décision est déjà prise : l'IT a coupé le réseau et les serveurs pour arrêter la propagation, les usines passent en manuel là où c'est possible, et le communiqué du matin dit que Hydro "ne connaît pas encore l'ampleur de la situation". Dans les heures qui suivent, les dirigeants écrivent des consignes à la main, les photographient et les envoient par SMS aux sites, parce que la messagerie est tombée avec le reste. Le groupe refuse de payer, tient une conférence de presse quotidienne et publie ses points de situation sur Facebook. Hydro estimera le coût total de l'attaque autour de 800 millions de couronnes, dont une première estimation de 400 à 450 millions de couronnes pour le seul premier trimestre.

Ce qui a tenu cette nuit-là ne s'improvise pas : quelqu'un avait le droit de tout couper au milieu de la nuit, quelqu'un savait joindre les sites sans le réseau, et quelqu'un avait décidé à l'avance de ce qu'on dirait à la presse. C'est cela, un plan de gestion de crise cyber : pas un classeur de conformité, mais la liste des décisions prises avant pour ne pas avoir à les inventer pendant.

Incident ou crise : la ligne que le plan de gestion de crise doit tracer

Le guide de référence en français est celui que l'ANSSI a publié avec le Club des directeurs de sécurité et de sûreté des entreprises, Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique (décembre 2021, 18 fiches, avec les témoignages de Bouygues Construction, de l'Hôpital Nord-Ouest de Villefranche-sur-Saône et de CMA CGM). Sa définition tient en une phrase : une crise d'origine cyber est une "déstabilisation immédiate et majeure du fonctionnement courant d'une organisation" causée par une action malveillante sur ses services numériques. Le mot qui compte est courant. Tant que l'équipe IT traite le problème avec ses procédures habituelles, c'est un incident. La crise commence quand le fonctionnement normal ne suffit plus, quand une direction doit arbitrer entre arrêter la production et laisser le chiffrement continuer.

Cette ligne doit être écrite avant, sous forme de critères d'activation, parce qu'au moment où elle est franchie, personne n'a le recul pour en débattre. Le guide prévoit deux sens d'activation. Par le haut, la direction déclare l'état de crise sur des critères préétablis : un service essentiel arrêté, un annuaire compromis, une demande de rançon, une fuite de données annoncée. Par le bas, l'équipe de réponse à incident mobilise le dispositif opérationnel sans attendre, si des actions immédiates s'imposent. CMA CGM le dit dans le guide : dans les premières heures, il peut être difficile de distinguer un incident IT d'un incident cyber, et les équipes de réponse à incident doivent être capables de détecter les signaux faibles pour couper les systèmes si nécessaire. Les critères de désactivation se fixent au même moment, sinon la crise ne se termine jamais officiellement et les équipes s'épuisent.

Le bon réflexe, pour une PME, est de lier ces critères aux scénarios que l'analyse de risques a déjà identifiés, et que l'on retrouve dans la gouvernance, gestion des risques et conformité en cybersécurité de l'organisation. Un scénario rançongiciel avec chiffrement de l'Active Directory est aujourd'hui le scénario de référence de presque toutes les entreprises, et c'est lui qui dimensionne le reste du plan.

La cellule de crise : une table qui décide, une table qui opère

L'erreur classique consiste à mettre tout le monde dans la même salle. Le DSI qui doit reconstruire un contrôleur de domaine n'a rien à faire dans la réunion où l'on décide de prévenir les clients, et le directeur général n'a rien à apporter au choix d'un point de restauration. Le guide ANSSI/CDSE sépare donc deux volets. La cellule stratégique, dite aussi décisionnelle, regroupe les fonctions de direction : un directeur de crise qui fixe la stratégie, un responsable du management de l'information qui tient la main courante, un appui à la conduite qui impose le rythme des points de situation, les communicants, le juridique, les métiers. La cellule opérationnelle cyber et IT comprend ce qui se passe, décide au niveau technique et exécute : investigation, endiguement, durcissement, reconstruction. Les deux se parlent en permanence, mais à travers un canal identifié plutôt qu'en se coupant la parole.

Ce découpage ne tient que si la cellule s'équipe. La main courante, ouverte dès la première minute, note chaque décision avec son heure et son auteur : c'est elle qui servira à l'assureur, à la plainte, au rapport final exigé par les autorités, et au retour d'expérience. Le rythme de bataille, c'est-à-dire un point de situation à heure fixe, par exemple toutes les deux heures au début, protège les équipes techniques de la question "alors, où on en est ?" posée quinze fois par heure. Et le registre des dérogations trace tout ce qu'on a autorisé en urgence et qu'il faudra défaire : le compte admin créé à la va-vite, le pare-feu ouvert pour le prestataire, le serveur remonté sans patch.

Dans une PME, les deux cellules peuvent tenir en cinq personnes, et le même individu peut porter deux rôles. Ce qui ne se négocie pas, c'est que les rôles soient nommés à l'avance, avec un suppléant, et que le directeur de crise ait un mandat écrit pour arrêter la production. Chez Hydro, quand le responsable de la sécurité a décroché à quatre heures du matin, l'IT avait déjà coupé le réseau et les serveurs, sans réunir un comité. Si ce pouvoir n'est pas délégué explicitement, la décision d'isolement attend le réveil du dirigeant, et le chiffrement, lui, n'attend pas.

Les fiches réflexes : ce qu'on écrit avant parce qu'on ne lira rien pendant

Un plan de crise de quatre-vingts pages ne sera pas ouvert à trois heures du matin. Ce qui sera ouvert, c'est une fiche réflexe : une page par scénario, qui dit qui appeler, quoi faire dans la première heure, et ce qu'il est interdit de faire. Le guide ANSSI/CDSE les range dans sa boîte à outils, à côté des fiches-rôle, de l'annuaire de crise et de l'ordinateur hors réseau. Pour un rançongiciel, la fiche réflexe tient en quelques décisions. Isoler du réseau sans éteindre, pour garder la mémoire vive et les journaux. Couper les liaisons avec les sites distants et les partenaires interconnectés avant que la propagation ne s'y invite. Révoquer les sessions et changer les mots de passe des comptes à privilèges depuis un poste sain. Ne pas restaurer avant de savoir depuis quand l'attaquant est là, une règle que le plan de reprise d'activité à l'épreuve du rançongiciel développe en détail. Ne pas contacter l'attaquant sans décision de la cellule stratégique. Ne rien effacer.

Le point qui fait débat dans toutes les cellules est la décision d'isolement. Le guide est clair : les mesures d'endiguement qui ont des conséquences sur la continuité d'activité, isolement, déconnexion d'un applicatif, blocage des accès internet, sont validées par la cellule stratégique. Mais cette validation doit pouvoir être donnée en cinq minutes, par téléphone, par une personne d'astreinte dont le nom figure sur la fiche. Bouygues Construction raconte dans le guide avoir coupé son SI à l'échelle mondiale dès la perte de la supervision centrale. Ce genre de décision se prend vite ou ne sert à rien, et elle se prend d'autant plus vite qu'on l'a déjà prise pour de faux, en exercice.

Le mail est mort : canaux hors bande et annuaire papier

Quand l'Active Directory est chiffré, tout ce qui s'authentifie dessus tombe avec lui : la messagerie, l'outil de visioconférence, l'intranet où est rangé le plan de crise, l'annuaire des salariés, le VPN, souvent la téléphonie sur IP. La cellule de crise se retrouve avec des téléphones personnels et rien d'autre. C'est la raison pour laquelle les dirigeants de Hydro ont photographié des consignes manuscrites pour les envoyer par SMS, et pour laquelle des salariés retraités sont revenus faire tourner les procédures papier qu'ils étaient les derniers à connaître. La directive NIS2 ne dit pas autre chose à son article 21, paragraphe 2, point j, qui demande, "selon les besoins", des "systèmes sécurisés de communication d'urgence au sein de l'entité".

Concrètement, le plan de gestion de crise prévoit quatre choses. Un groupe de messagerie chiffrée sur téléphones personnels, créé à froid avec les membres des deux cellules et leurs suppléants, testé une fois par trimestre par un simple message. Un pont téléphonique ou une visioconférence chez un fournisseur qui ne dépend pas de votre annuaire, avec le code d'accès imprimé. Un annuaire papier, interne et externe, mis à jour à chaque mouvement de personnel, rangé chez le directeur de crise et chez son suppléant, avec les numéros de téléphone personnels, ceux de l'infogérant, de l'hébergeur, de l'assureur, du prestataire de réponse à incident, du CERT-FR et du délégué à la protection des données. Et au moins un ordinateur jamais joint au domaine, avec une connexion 4G propre, pour lire les sauvegardes du plan, rédiger les communiqués et déposer les notifications réglementaires.

Le référentiel de l'ANSSI pour la transposition de NIS2, le ReCyF, objectif par objectif, consacre son objectif 14 à la réaction aux crises d'origine cyber. Ses mesures 14.2 et 14.3 exigent une liste imprimée des personnes mobilisables avec leurs coordonnées, accessible au format papier si le système d'information n'est plus disponible, et au format numérique si le papier ne l'est pas. La mesure 14.4 demande un annuaire des parties prenantes externes. La mesure 14.10, attendue des entités essentielles, exige des moyens de communication de secours pour le cas où les moyens habituels sont indisponibles. La version de travail du référentiel décrit donc la nuit de Hydro, mesure par mesure.

Les relations externes : qui, quand, sur quel canal

Une crise cyber déclenche une série d'obligations et de contacts dont chacun a son délai, son interlocuteur et son support, et qui se chevauchent tous dans les 72 premières heures. Le tableau ci-dessous résume ce que la cellule stratégique doit avoir sous les yeux, en une page, dès l'activation. Les contacts détaillés, adresses et numéros, sont dans l'article sur ce qu'il faut faire en cas de piratage dans les 48 premières heures. Une ligne se remplit à froid plutôt qu'à chaud, celle du prestataire de réponse à incident : own2pwn n'est pas qualifié PRIS et n'intervient pas à ce titre, l'ANSSI publiant la liste de ceux qui le sont.

La plainte mérite qu'on s'y arrête un instant. Depuis la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, l'indemnisation par une assurance des pertes causées par une atteinte à un système de traitement automatisé de données est subordonnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. La disposition, l'article L. 12-10-1 du code des assurances, est entrée en vigueur le 24 avril 2023 et elle est décortiquée dans l'article sur la loi LOPMI et sa règle des 72 heures. Une cellule qui découvre cette règle le troisième jour a perdu son assurance. Côté CNIL, la notification d'une violation de données peut se faire en deux temps, une notification initiale sous 72 heures puis un complément. C'est la voie à prendre quand l'investigation n'a pas encore dit ce qui a été exfiltré, une notification incomplète valant toujours mieux qu'une notification hors délai.

Pour les entités essentielles et importantes, la directive ajoute son propre calendrier à l'article 23 : une alerte précoce sous 24 heures indiquant si l'on soupçonne un acte malveillant et un impact transfrontière, une notification sous 72 heures avec une première évaluation de gravité et les indicateurs de compromission, un rapport final au plus tard un mois après la notification. Le texte européen est lisible sur EUR-Lex. La loi française de transposition n'était toujours pas promulguée en septembre 2026, et les modalités précises de déclaration à l'ANSSI dépendront de ses décrets. La fiche réflexe doit néanmoins déjà prévoir qui rédige ces trois documents, et depuis quel poste. Les fournisseurs et les partenaires interconnectés, eux, ne figurent pas dans l'article 23 : les prévenir relève de la bonne pratique et, le plus souvent, d'une clause du contrat ; la directive, elle, ne l'impose pas.

Communication de crise : un porte-parole, un rythme, aucun mensonge

Hydro a fait un choix que peu d'organisations osent : la transparence totale, avec des journalistes invités dans les salles de contrôle et un point presse quotidien. Il n'est pas obligatoire d'aller aussi loin, mais la mécanique derrière ce choix, elle, s'impose à tout le monde. Un seul porte-parole, formé aux enjeux cyber, pour que les experts ne passent pas leur journée au téléphone avec la presse. Un point de contact unique pour les sollicitations, interne comme externe. Des éléments de langage rédigés à froid pour les scénarios de référence et validés par le juridique, ce que le ReCyF nomme, à sa mesure 14.9, une stratégie de communication de crise avec des éléments de langage sur des sujets sensibles. Et un rythme annoncé : dire à quelle heure on redonnera des nouvelles vaut mieux que de laisser les rumeurs remplir le silence.

L'interdit absolu est d'affirmer ce qu'on ne sait pas encore. La phrase "aucune donnée n'a été exfiltrée" prononcée le premier jour est presque toujours fausse, parce que l'investigation n'a pas commencé, et elle se retourne contre l'organisation le jour où le groupe criminel publie un échantillon. Les cyberattaques d'hôpitaux documentées le montrent : au centre hospitalier de Cannes-Simone Veil, attaqué le 16 avril 2024, le refus de payer a été suivi le 1er mai de la publication de 61 Go de données, soit deux semaines après le chiffrement, quand l'établissement pouvait croire sa communication de crise derrière lui. La formulation qui tient est celle de Hydro le premier matin : on ne connaît pas encore l'ampleur, voici ce qu'on fait, voici quand on reparlera.

Retour à la normale et RETEX : la crise finit quand on l'a décidé

Une crise cyber a une double temporalité, dit le guide ANSSI/CDSE : des impacts immédiats et une remédiation qui s'étale sur des semaines ou des mois. Chez Hydro, les sites sont passés en manuel dès les premières heures, et le groupe chiffrait encore l'impact de l'attaque à la clôture du trimestre. La sortie de crise ne coïncide donc pas avec la fin de la reconstruction. Elle se déclare quand les activités essentielles reprennent de façon habituelle, sur des critères de sortie définis au début de la crise. Bouygues Construction en cite trois dans le guide : applications prioritaires fonctionnelles, sauvegardes en état de marche, reconnexion effective des sites internationaux. Le jour où ces critères sont atteints, la cellule stratégique le dit à tout le monde, réduit progressivement la mobilisation, maintient une surveillance renforcée sur le chemin d'attaque, et règle les questions humaines : repos, récupération, remerciements.

Vient ensuite le retour d'expérience, en deux temps. À chaud, par entretiens ou ateliers, pour collecter ce que chacun a vu pendant que la mémoire est fraîche. À froid, pour produire la synthèse, les recommandations et le plan d'action. Le guide fixe un délai maximal de 30 jours entre la fin de la crise et la fin du RETEX, et rappelle qu'il ne s'agit pas d'un audit mais d'une capitalisation : gouvernance, communication, prise de décision, capacités techniques, interactions entre équipes et avec l'extérieur. Le ReCyF en fait une exigence, à sa mesure 14.5, après un entraînement, un exercice ou une crise réelle. Un plan qui n'a jamais été corrigé par un RETEX est un plan qui n'a jamais servi.

Un exercice sur table, scénario rançongiciel, en deux heures et demie

L'ANSSI a publié en octobre 2020, avec le Club de la continuité d'activité, un guide dédié, Organiser un exercice de gestion de crise cyber, construit autour d'un exercice fil rouge nommé RANSOM20 : rançongiciel au siège, propagation sur un second site, exfiltration et menace de publication. Il distingue deux formats. L'exercice sur table réunit les joueurs autour d'un animateur qui déroule la situation ; il dure deux à trois heures, se prépare en six semaines environ, et l'ANSSI le recommande pour un premier exercice, en prévenant qu'il ne teste pas le dispositif, seulement les réflexes de ceux qui l'incarnent. La simulation ajoute une cellule d'animation qui joue l'extérieur, la presse, les clients, le prestataire, et dure d'une demi-journée à deux jours. Ce n'est pas non plus un exercice red team, où l'on attaque pour de vrai : tout se joue autour d'une table, au niveau des décisions.

Ce que cet exercice révèle est toujours le même, et c'est bien pour ça qu'on le joue : le plan était sur le partage réseau, l'annuaire était dans l'outil RH, le seul qui connaissait le numéro de l'infogérant était en congé, et personne ne savait que la plainte conditionnait l'assurance. L'ANSSI précise dans son guide que les exercices impromptus sont à réserver aux organisations déjà rodées : pour un premier passage, on prévient, on planifie, et on évite surtout de reporter la date, parce qu'un report démobilise. Le RETEX de l'exercice alimente ensuite le plan, et le plan alimente l'exercice suivant. Deux exercices par an, un sur table et un plus ambitieux, suffisent à une PME pour que le jour venu, les gestes existent déjà.

Ce que NIS2, le ReCyF et DORA attendent du plan de gestion de crise

La directive (UE) 2022/2555 énumère à son article 21, paragraphe 2, les mesures minimales attendues des entités essentielles et importantes. Trois points concernent directement ce qui précède. Le point b impose la gestion des incidents. Le point c cite "la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises". Le point j exige des communications sécurisées et des systèmes de communication d'urgence sécurisés. Et le point f, celui qu'on oublie, demande des politiques et procédures pour évaluer l'efficacité de ces mesures : un plan de crise jamais exercé ne prouve rien, et c'est bien l'exercice qui produit la preuve.

Le ReCyF, version 2.5 du 17 mars 2026, document de travail de l'ANSSI pour la transposition française, traduit cela dans son objectif 14 en dix mesures numérotées, dont les quatre premières et la cinquième valent pour les entités importantes comme essentielles : procédure de gestion de crise (14.1), liste imprimée des personnes mobilisables (14.2 et 14.3), annuaire des parties externes (14.4), retour d'expérience (14.5). Les entités essentielles ajoutent les critères d'activation et de désactivation (14.6), les mesures pour isoler, protéger et reconstruire (14.8), la stratégie de communication (14.9) et les moyens de communication de secours (14.10). L'objectif 15 impose ensuite des exercices, tests et entraînements à intervalles réguliers, et sa mesure 15.1 attend de toute entité, importante comme essentielle, au moins un exercice sur table à une fréquence qu'elle définit. Le référentiel indique aussi qu'une prestation d'accompagnement qualifiée PACS peut servir de preuve lors d'un contrôle. Tout cela reste conditionné à la promulgation de la loi et de ses décrets, suivis dans l'article dédié au ReCyF.

Pour le secteur financier, le règlement DORA est déjà applicable et plus précis. Son article 11 impose de tester les plans de continuité et de réponse au moins une fois par an et, pour les entités autres que les microentreprises, d'y inclure des scénarios de cyberattaque et de disposer d'une fonction de gestion de crise qui fixe les procédures de communication interne et externe. Son article 17 détaille le processus de gestion des incidents, rôles et responsabilités par type de scénario, plans de communication vers le personnel, les parties externes et les médias, remontée des incidents majeurs à l'organe de direction. Une banque ou un assureur qui lit cet article a donc déjà, dans DORA, la liste de ce que son plan doit contenir.

À retenir

• Un plan de gestion de crise cyber commence par une ligne écrite : les critères qui font passer d'un incident, traité par l'IT, à une crise, arbitrée par la direction. Activation par le haut sur critères, par le bas si l'endiguement n'attend pas.
• Deux cellules qui ne se mélangent pas : la décisionnelle oriente et parle à l'extérieur, l'opérationnelle cyber et IT comprend et exécute. Main courante, rythme de bataille, registre des dérogations, et un mandat écrit pour couper.
• Le mail meurt avec l'Active Directory : messagerie chiffrée sur téléphones personnels, pont hors annuaire, annuaire papier, ordinateur hors domaine. NIS2 21.2 j et ReCyF 14.2 à 14.10 l'écrivent explicitement.
• Les 72 heures sont partout : notification CNIL (article 33 du RGPD), plainte pour l'assurance (article L. 12-10-1 du code des assurances), notification NIS2 après l'alerte précoce de 24 heures. Le rapport final NIS2 suit sous un mois.
• Un exercice sur table de deux à trois heures, préparé en six semaines sur un scénario rançongiciel, révèle ce que le document cache. Il se conclut par un RETEX à chaud puis à froid, et le RETEX corrige le plan.
• Ne jamais affirmer ce que l'investigation n'a pas encore établi. Un porte-parole, un rythme annoncé, des éléments de langage écrits à froid.

Reste la matière du scénario. Une injection numéro 1 crédible ne sort pas d'un modèle de document : elle part de la porte par laquelle un attaquant entrerait chez vous, un VPN oublié, une application exposée sans authentification forte, un sous-domaine abandonné. Le volet technique d'un audit NIS2 d'own2pwn produit cette liste-là, avec l'inventaire de ce que vous exposez, la preuve d'efficacité des mesures de l'article 21 et un plan de remédiation. L'exercice suivant s'écrit alors sans effort d'imagination, et les portes citées dedans auront été refermées entre-temps.

Questions fréquentes sur le plan de gestion de crise cyber