Gestion des incidents : préparer à froid les premières heures

Pourquoi les premières heures décident du coût

Aucune mesure de prévention n'offre de garantie. La question n'est donc pas seulement d'éviter l'incident, mais de savoir le détecter tôt et réagir sans aggraver les dégâts. Éteindre les machines, payer la rançon, réinstaller avant d'avoir porté plainte, oublier de prévenir l'assureur : ces réflexes naturels coûtent souvent plus cher que l'attaque elle-même.

• Les entreprises sollicitent de plus en plus l'assistance publique. En 2025, 27 934 entreprises ou associations ont été accompagnées par le dispositif 17Cyber de Cybermalveillance.gouv.fr, et les demandes des entreprises et associations ont progressé de 73 %.
• Les incidents les plus fréquents ne sont pas les plus spectaculaires. Pour ces entreprises et associations, les principales demandes portent sur le piratage de compte (21 %, en hausse de 52 %), l'hameçonnage (16 %), la fraude au virement (13,5 %, en hausse de 93 %), le rançongiciel (8,1 %) et la violation de données (6,6 %, en hausse de 40 %). Les piratages informatiques progressent de 112 %.
• L'ANSSI observe un déplacement de la menace. En 2025, 1 366 incidents ont été portés à sa connaissance, dont 128 compromissions par rançongiciel. Si ces dernières sont légèrement en baisse, les incidents d'exfiltration de données ont significativement augmenté : l'attaquant vole les données sans forcément les chiffrer, ce qui rend l'intrusion moins visible.
• Payer n'est plus la norme. Selon le Verizon DBIR 2025, 64 % des organisations victimes de rançongiciel n'ont pas payé, contre 50 % deux ans plus tôt.

Le guide ANSSI « TPE/PME en treize questions » le résume : en l'absence de préparation, lorsque l'incident survient, il est déjà trop tard pour bien réagir.

Se situer en six questions

Répondez par oui ou par non, sans consulter personne : c'est la situation dans laquelle vous serez un samedi à trois heures du matin.

1. Existe-t-il une fiche réflexe écrite, conservée hors du système d'information ?

Oui : les premières décisions ne dépendent pas de la mémoire d'une personne. Non : la réaction sera improvisée, et un document stocké uniquement sur le serveur chiffré ne sert à rien.

2. Une personne est-elle nommément chargée de piloter un incident, avec un suppléant ?

Oui : quelqu'un a l'autorité pour décider de couper Internet ou d'arrêter la production. Non : les heures se perdent à chercher qui peut trancher.

3. Savez-vous qui appeler : prestataire de réponse à incident, assureur, 17Cyber ?

Oui : l'aide arrive vite, aux conditions négociées à froid. Non : vous chercherez un prestataire en urgence, sans pouvoir comparer.

4. Vos journaux (pare-feu, messagerie, annuaire, services cloud) sont-ils centralisés et conservés plusieurs mois ?

Oui : vous pourrez établir depuis quand l'attaquant est là et ce qu'il a touché. Non : l'enquête sera aveugle, et vous ne saurez pas dire à la CNIL si des données ont été consultées.

5. Avez-vous une procédure spécifique au rançongiciel ?

Oui : isolement, préservation des preuves, protection des sauvegardes sont décidés à l'avance. Non : le rançongiciel reste l'incident le plus destructeur, et chaque minute d'hésitation étend le chiffrement.

6. Avez-vous simulé un incident au cours des deux dernières années ?

Oui : vous avez découvert les failles du plan avant l'attaquant. Non : un plan jamais exercé contient toujours un numéro faux, un accès manquant ou une personne absente.

Les mesures prioritaires, dans l'ordre

Les recommandations s'appuient sur la mesure 40 du guide d'hygiène informatique (définir une procédure de gestion des incidents), la question 12 du guide « TPE/PME en treize questions », les guides de l'ANSSI sur la gestion de crise cyber et la fiche réflexe rançongiciel de Cybermalveillance.gouv.fr.

Avant l'incident

1. Lister vos services numériques critiques

C'est l'une des cinq mesures préventives prioritaires de l'ANSSI : établir une liste priorisée des services numériques critiques de l'entreprise. Elle dit quoi protéger d'abord pendant la crise et quoi redémarrer en premier ensuite.

2. Rédiger la fiche réflexe et nommer les rôles

Une page : qui décide, qui appeler et dans quel ordre, comment isoler le réseau, ce qu'il ne faut pas faire. Imprimez-la et conservez les numéros hors du système d'information. L'ANSSI recommande de s'assurer de l'existence d'un dispositif de gestion de crise adapté à une cyberattaque.

3. Identifier à l'avance vos appuis extérieurs

Le guide « treize questions » conseille aux TPE et PME d'identifier préalablement des prestataires spécialisés dans la réponse aux incidents. Notez aussi 17Cyber, le guichet d'assistance en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, qui oriente vers des policiers ou gendarmes et des prestataires référencés. Relisez votre contrat d'assurance : délais de déclaration, prestataires imposés, exclusions.

4. Activer et conserver les journaux

Mesure 36 du guide d'hygiène. Sans journaux, pas d'investigation possible, pas de preuve pour la plainte, et aucune certitude sur l'étendue d'une fuite. L'ANSSI range l'accroissement de la supervision de sécurité parmi ses mesures prioritaires.

5. Préparer la communication

Pour une PME, l'ANSSI recommande de concevoir un dispositif de communication (interne, partenaires, clients, réseaux sociaux, presse), proposé avec les experts techniques et porté par les dirigeants. Prévoyez des moyens de contact qui ne dépendent pas de votre messagerie, qui peut être compromise ou indisponible.

6. S'exercer

Un exercice sur table de deux heures, sur un scénario de rançongiciel ou de fraude au virement, suffit à révéler les trous du plan. L'ANSSI publie un guide dédié à l'organisation d'exercices de gestion de crise cyber.

Pendant l'incident

7. Contenir sans détruire les preuves

• Couper les connexions à Internet du réseau attaqué et déconnecter les machines touchées du réseau (câble, Wi-Fi).
• Déconnecter les sauvegardes pour les mettre à l'abri.
• Ne pas éteindre ni modifier les ordinateurs et serveurs touchés : ils sont utiles aux enquêteurs.
• Ne pas payer la rançon. Des solutions de déchiffrement existent parfois, et le paiement ne garantit rien.

8. Tenir une main courante

Chaque entrée indique a minima la date et l'heure, la personne à l'origine de l'action ou de l'information, et la description de l'action ou de l'événement. Ce registre accélère l'intervention du prestataire, nourrit la plainte et la déclaration à l'assureur.

9. Alerter dans les délais

• Votre prestataire informatique ou de réponse à incident, et 17Cyber si vous n'en avez pas.
• Porter plainte (commissariat, gendarmerie ou procureur de la République), avant de réinstaller les équipements, en conservant les preuves : journaux, copies des disques, message de rançon.
• Votre assureur : l'indemnisation d'une cyberattaque est subordonnée au dépôt de plainte dans les 72 heures (voir la section sur les obligations).
• La CNIL dans les 72 heures si des données personnelles sont concernées.

Après l'incident

10. Reconstruire proprement, puis tirer les leçons

Identifier l'origine de l'attaque et son étendue avant de redémarrer, changer tous les mots de passe, réinstaller à partir de supports de confiance : les sauvegardes elles-mêmes peuvent contenir des implants de l'attaquant. Enfin, organiser un retour d'expérience : ce qui a fonctionné, ce qui a manqué, et les mesures qui en découlent.

Les erreurs fréquentes

• Éteindre les machines. On perd la mémoire vive et des traces précieuses. On isole du réseau, on n'éteint pas.
• Réinstaller immédiatement pour « repartir vite ». Les preuves disparaissent, la plainte perd sa substance, et si la porte d'entrée n'est pas identifiée, l'attaquant revient.
• Payer la rançon. Aucune garantie de récupérer les données ni d'effacement des copies volées, et l'entreprise se signale comme payeuse.
• Coordonner la crise par la messagerie de l'entreprise. Si elle est compromise, l'attaquant lit votre plan de réaction.
• Laisser passer les 72 heures. Celles de l'assurance et celles de la CNIL courent à partir de la connaissance de l'incident, pas de la fin de l'enquête.
• Traiter un piratage de compte comme un simple mot de passe à changer. Vérifiez les règles de transfert automatique, les connexions actives et les messages envoyés : c'est ainsi que naissent les fraudes au virement.
• Garder le plan sur le serveur. Le document le plus utile de la crise est souvent le premier à devenir inaccessible.

Ce que ça coûte

Fourchettes issues du catalogue de prestations Lyyp, à confirmer par devis selon la taille du système d'information et la gravité de l'incident.

Se préparer

• Contrat de réponse à incident (prestataire mobilisable avec des délais d'intervention convenus) : de 2 000 à 8 000 €, prestation continue.
• Supervision des vulnérabilités : de 1 000 à 4 000 €, prestation continue.
• Veille menaces personnalisée : de 1 000 à 4 000 €, prestation continue.
• Surveillance du dark web (fuites d'identifiants ou de données) : de 800 à 2 500 €, prestation continue.

Détecter

• MDR (détection et réponse managées) : de 2 000 à 8 000 €, prestation continue.
• SOC externalisé : de 3 000 à 15 000 €, prestation continue.
• Flux d'indicateurs de compromission : de 500 à 2 000 €, prestation continue, surtout utile si vous disposez déjà d'outils de détection capables de les exploiter.

Réagir et reconstruire

• Réponse à incident (intervention) : de 5 000 à 30 000 €, environ 7 jours.
• Analyse de compromission : de 4 000 à 15 000 €, environ 7 jours.
• Investigation numérique : de 5 000 à 20 000 €, environ 10 jours.
• Remédiation post-incident : de 4 000 à 20 000 €, environ 15 jours.
• Retour d'expérience (RETEX) : de 2 000 à 5 000 €, environ 5 jours.
• Expertise judiciaire cyber, en cas de contentieux : de 8 000 à 30 000 €, environ 30 jours.

L'écart entre les deux premiers blocs et le troisième est l'argument le plus simple en faveur de la préparation : un contrat de réponse à incident négocié à froid coûte moins cher qu'une intervention commandée dans l'urgence, et il garantit que quelqu'un décroche.

Ce que la loi vous impose

RGPD : notifier la CNIL sous 72 heures

En cas de violation de données personnelles (perte de confidentialité, d'intégrité ou de disponibilité), l'article 33 du RGPD impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Au-delà de 72 heures, la notification doit être motivée. Elle peut se faire en deux temps : une première notification, puis un complément. Toute violation, même non notifiée, doit être documentée en interne : nature, nombre approximatif de personnes concernées, conséquences probables, mesures prises. Si le risque est élevé, l'article 34 impose aussi d'informer les personnes concernées. La notification se fait sur le téléservice de la CNIL. Voir la fiche RGPD du lexique.

Assurance : plainte sous 72 heures

Depuis la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, l'article L12-10-1 du Code des assurances subordonne l'indemnisation des pertes et dommages causés par une cyberattaque au dépôt d'une plainte au plus tard 72 heures après que la victime a eu connaissance de l'attaque. Cette règle s'applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle.

Dépôt de plainte

La plainte se dépose au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République. Déposez-la avant de réinstaller les équipements, avec les preuves conservées. 17Cyber permet d'échanger avec un policier ou un gendarme lorsque le diagnostic en ligne confirme la gravité de l'atteinte.

NIS2 : pas encore applicable en droit français

La directive NIS2 doit être transposée en France par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Au 13 septembre 2026, ce texte n'est pas promulgué : adopté par le Sénat le 12 mars 2025, il a été examiné par la commission spéciale de l'Assemblée nationale, dont le texte a été déposé le 10 septembre 2025, et les décrets d'application restent à publier. Aucune obligation nationale issue de NIS2 n'est donc encore opposable à une entreprise. Une fois la loi en vigueur, les entités concernées devront notifier leurs incidents importants selon les délais fixés par l'article 23 de la directive : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois qui suit. Préparez-vous néanmoins si votre secteur et votre taille vous placent dans le périmètre : voir NIS2 : votre PME est-elle concernée ? et la fiche NIS2 du lexique.

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

D'abord, mesurez. Le diagnostic Lyyp propose un parcours ciblé sur ce seul domaine : évaluer ma gestion des incidents, en 5 questions (plan de réponse, rôles identifiés, journalisation exploitable, procédure rançongiciel, exercices). Vous obtenez un score et les manques à combler en priorité. Pour situer ce domaine parmi les autres, lisez par où commencer et Ransomware : êtes-vous prêt à faire face à une attaque ?

Ensuite, préparez votre recours. Consultez les prestataires vérifiés en réponse à incident et investigation numérique, et négociez un contrat avant d'en avoir besoin : délai d'intervention, horaires couverts, périmètre, et coût d'une intervention réelle.

Et si l'incident est en cours : isolez du réseau sans éteindre, ne payez pas, et rendez-vous sur 17cyber.gouv.fr.

Sources

• ANSSI, Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures.
• ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions (version de décembre 2024).
• ANSSI, Les mesures cyber préventives prioritaires (mai 2023).
• ANSSI, Anticiper et gérer une crise cyber : guides « Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique », « Organiser un exercice de gestion de crise cyber » et « Anticiper et gérer sa communication de crise cyber ».
• Cybermalveillance.gouv.fr, Rançongiciel : que faire si votre organisation est victime d'une attaque ?
• Police nationale, Gendarmerie nationale et Cybermalveillance.gouv.fr, 17Cyber.
• Cybermalveillance.gouv.fr, Rapport d'activité et état de la menace 2025 (mars 2026) et principales cybermalveillances visant les professionnels en 2025.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025.
• Verizon, 2025 Data Breach Investigations Report, résumé exécutif (avril 2025).
• Règlement (UE) 2016/679 (RGPD), articles 32, 33 et 34, EUR-Lex.
• CNIL, Notifier une violation de données personnelles.
• Code des assurances, article L12-10-1, Légifrance.
• Directive (UE) 2022/2555 (NIS2), texte officiel, EUR-Lex.
• Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• ANSSI, Avancement de la transposition de la directive NIS 2, MonEspaceNIS2.
• NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management (avril 2025).
• Fourchettes tarifaires : catalogue de prestations Lyyp, prestations rattachées au domaine dans le diagnostic.