Plan de réponse à incident
Procédure écrite qui indique qui fait quoi, dans quel ordre et avec quels contacts dès qu'une cyberattaque est détectée.
Définition complète
Le plan de réponse à incident décrit à l'avance l'organisation à mettre en place face à un incident de cybersécurité : comment le détecter et le signaler, qui décide, comment contenir l'attaque, qui prévenir (prestataire, assureur, CNIL, forces de l'ordre, clients) et comment revenir à la normale.
Le NIST a révisé en avril 2025 son guide SP 800-61 : la réponse à incident n'y est plus un cycle isolé, mais une activité intégrée à toute la gestion des risques, de la préparation à la reprise. L'ANSSI rappelle dans ses guides de gestion de crise que la préparation, l'outillage et l'entraînement sont indispensables : on n'improvise pas une réponse en pleine crise.
Pour une PME, l'ANSSI recommande d'identifier à l'avance des prestataires de réponse aux incidents, de tenir pendant l'incident une main courante horodatée, de porter plainte, de ne pas payer de rançon et de déclarer à la CNIL les fuites de données personnelles.
Sources : NIST, SP 800-61 Rev. 3 (avril 2025) ; ANSSI, Crise cyber : les clés d'une gestion opérationnelle et stratégique ; ANSSI, La cybersécurité pour les TPE/PME en treize questions
Exemple concret
Une imprimerie de 45 salariés a préparé une fiche réflexe d'une page, affichée et imprimée : isoler du réseau sans éteindre, appeler le gérant puis le prestataire sous contrat, prévenir l'assureur, porter plainte sous 72 heures, évaluer avec le DPO la notification CNIL. Le jour où un poste lance un chiffrement de fichiers, le technicien débranche le câble réseau en quelques minutes : seul un serveur de fichiers est touché et restauré le lendemain.
Comment se protéger
- Rédiger une fiche réflexe d'une page compréhensible par tous les salariés
- Désigner un responsable de crise et un suppléant
- Lister les contacts clés (prestataire, assureur, CSIRT régional, banque, avocat) sur un support papier
- Prévoir les décisions à prendre : isoler, couper Internet, communiquer, porter plainte, notifier la CNIL
- Tenir une main courante horodatée de toutes les actions pendant l'incident
- Tester le plan par un exercice au moins une fois par an et le corriger après chaque incident
Questions fréquentes
En règle générale, il faut les isoler du réseau sans les éteindre, pour préserver les traces utiles à l'investigation. Cybermalveillance.gouv.fr admet de les éteindre si un chiffrement est encore en cours.
Le plan de réponse traite l'incident lui-même (contenir, éradiquer, déclarer). Le PCA maintient les activités de l'entreprise pendant ce temps. Les deux doivent être articulés.
Termes liés
CERT et CSIRT
Équipes spécialisées dans la prévention, la détection et le traitement des incidents de cybersécurité ; en France, le CERT-FR et les CSIRT régionaux.
Cyberassurance
Contrat qui couvre tout ou partie des pertes d'une cyberattaque ; l'indemnisation exige une plainte dans les 72 heures.
Exercice de crise cyber
Simulation d'une cyberattaque qui entraîne la direction et les équipes à prendre les bonnes décisions avant qu'une vraie crise survienne.
Investigation numérique (forensic)
Analyse des traces laissées sur les systèmes pour comprendre comment une attaque s'est produite, ce qu'elle a touché et comment l'éradiquer.
Vous avez besoin d'un expert en Plan de réponse à incident ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.