Cyberattaque: le plan de réponse à incident pour les PME

Il est 8h du matin. Vos collaborateurs arrivent au bureau et aucun poste ne démarre normalement. Les fichiers sont inaccessibles, un message de rançon s’affiche sur les écrans. Ou bien votre prestataire informatique vous appelle : vos serveurs transmettent des données vers une adresse IP inconnue depuis plusieurs heures. Dans les deux cas, chaque minute qui passe aggrave les dommages. Disposer d’un plan de réponse à incident (PRI) préétabli peut faire la différence entre une reprise d’activité en 48 heures et une paralysie de plusieurs semaines.

Pourquoi chaque minute compte après une cyberattaque

Les statistiques sont sans appel : selon le rapport IBM Cost of a Data Breach 2025, les organisations qui détectent et contiennent une violation en moins de 200 jours économisent en moyenne 1,2 million d’euros par rapport à celles qui mettent plus de temps à réagir. Dans les PME, ce délai de réaction est souvent allongé par l’absence de procédures formalisées et par la panique qui s’empare des équipes lors de la découverte de l’incident.

Le plan de réponse à incident et la politique de sécurité informatique (PSI) ne sont pas réservés qu’aux grandes entreprises. Ce sont des documents opérationnels, mis à jour régulièrement, qui indiquent à chacun ce qu’il doit faire, dans quel ordre, et vers qui se tourner. Dans le contexte actuel de multiplication des attaques ransomware ciblant les PME françaises, ce sont devenus des outils indispensables.

Les premières 24 heures : les actions immédiates

La première heure après la découverte d’un incident est décisive. Trois réflexes s’imposent simultanément :

1. Isoler les systèmes compromis sans les éteindre

La première impulsion est souvent d’éteindre tous les équipements. C’est une erreur. Couper le réseau (câble Ethernet débranché, Wi-Fi désactivé) tout en laissant les machines allumées permet de contenir la propagation tout en préservant les preuves en mémoire volatile (processus en cours, connexions réseau actives). Ces données disparaissent à l’extinction et sont précieuses pour l’investigation forensique. Notez l’heure exacte de découverte et les premières observations.

2. Préserver les preuves

Avant toute intervention technique, documentez l’état des systèmes : captures d’écran des messages d’erreur, journaux d’événements Windows (Event Viewer), logs des équipements réseau (firewall, routeur). Si vous disposez d’un SIEM, exportez les logs des 72 dernières heures. Ces éléments sont indispensables pour l’investigation, les déclarations d’assurance et les obligations légales de notification.

3. Activer la cellule de crise

Réunissez immédiatement les personnes clés : le dirigeant ou son représentant, le responsable informatique (ou le prestataire IT), le responsable juridique si vous en disposez d’un, et le responsable de la communication. N’utilisez pas les systèmes potentiellement compromis pour communiquer, privilégiez les téléphones mobiles personnels et les adresses email non hébergées sur votre infrastructure.

Construire votre plan de réponse à incident en 5 phases

Le cadre NIST (National Institute of Standards and Technology) définit 5 phases pour la réponse à incident, que nous avons adaptées aux réalités des PME françaises.

Phase 1 : Préparation (avant l’incident)

C’est la phase la plus importante, et paradoxalement la plus négligée. Elle comprend : la rédaction et la validation du PRI, la désignation des rôles et responsabilités, la liste des contacts d’urgence (ANSSI, assureur cyber, prestataire forensique, avocat spécialisé), et la réalisation d’exercices de simulation au moins une fois par an. Votre stratégie de sauvegarde 3-2-1 doit être validée et testée dans cette phase.

Phase 2 : Détection et analyse

Identifier la nature de l’attaque, son périmètre et son vecteur d’entrée. Quels systèmes sont touchés ? Depuis quand ? S’agit-il d’un ransomware, d’une exfiltration de données, d’un accès non autorisé persistant ? Cette phase nécessite souvent l’intervention d’un prestataire spécialisé en forensique numérique si vous ne disposez pas de cette compétence en interne. L’ANSSI propose un guide d’organisation des exercices de crise cyber accessible aux PME.

Phase 3 : Confinement, éradication et récupération

Le confinement consiste à empêcher la propagation tout en maintenant l’activité sur les systèmes non touchés. L’éradication vise à supprimer tout vestige de l’attaquant : malwares, backdoors, comptes compromis. La récupération est le processus de restauration des systèmes à partir des sauvegardes saines, avec vérification minutieuse de l’intégrité des données avant remise en production.

Phase 4 : Activité post-incident

Une fois la crise résolue, un rapport d’incident complet doit être rédigé : chronologie des événements, impact métier, coûts directs et indirects, mesures correctives mises en place. Ce document sert de base pour améliorer le PRI, justifier un investissement en sécurité auprès de la direction, et nourrir les échanges avec votre assureur.

Qui contacter en cas de cyberattaque

La liste des contacts à mobiliser doit être préparée avant l’incident et accessible sur support papier ou sur un appareil non connecté à votre réseau :

• Votre prestataire informatique / MSP : premier contact technique, disponible 24h/24 si vous avez un contrat d’astreinte
• L’ANSSI : pour les incidents graves, via le formulaire de signalement sur ssi.gouv.fr ou le CERT-FR
• Cybermalveillance.gouv.fr : plateforme nationale d’assistance aux victimes de cyberattaques, avec mise en relation avec des prestataires locaux
• Votre assureur cyber : à contacter dans les 48 premières heures pour déclencher la garantie et accéder aux services inclus (cellule de crise, avocats, experts forensiques)
• La CNIL : obligatoire sous 72 heures si des données personnelles ont été compromises (violation de données au sens du RGPD)
• La police ou la gendarmerie : dépôt de plainte indispensable pour les procédures d’assurance et les suites judiciaires éventuelles

Si votre PME est soumise à la directive NIS2 (entité essentielle ou importante dans des secteurs comme l’énergie, la santé, le numérique ou les transports), une obligation supplémentaire s’ajoute à cette liste : vous devez adresser une alerte précoce à l’ANSSI dans les 24 heures suivant la découverte de l’incident, avant même d’avoir terminé votre analyse. Un rapport plus détaillé doit ensuite suivre sous 72 heures.

Communication de crise : que dire à vos clients et partenaires

La communication est souvent le point le plus délicat à gérer pour un dirigeant de PME. La tentation est de minimiser l’incident ou d’attendre d’avoir toutes les informations avant de communiquer. C’est une erreur stratégique : si vos clients apprennent l’incident par une autre source, la perte de confiance sera bien plus sévère.

Les principes d’une communication de crise efficace :

• Communiquer rapidement, même si toutes les informations ne sont pas disponibles : « Nous avons détecté un incident de sécurité et nous mettons tout en œuvre pour y répondre »
• Être factuel et transparent sur les données potentiellement touchées, sans spéculation
• Indiquer les mesures prises pour protéger les personnes concernées (changement de mots de passe, activation du MFA, surveillance renforcée)
• Donner un point de contact dédié pour les questions des clients et partenaires
• Tenir informés régulièrement jusqu’à la résolution complète de l’incident

Si des données personnelles ont été exposées, la notification aux personnes concernées n’est pas seulement une bonne pratique : c’est une obligation légale dans certains cas, encadrée par le RGPD.

PCA et PRA : assurer la continuité d’activité

Le Plan de Continuité d’Activité (PCA) définit comment maintenir les fonctions critiques de votre entreprise durant une crise. Le Plan de Reprise d’Activité (PRA) définit comment restaurer les systèmes informatiques et reprendre une activité normale après l’incident.

Pour les PME, ces deux plans peuvent être simplifiés mais doivent répondre à des questions concrètes : Quelles sont les fonctions critiques qui doivent continuer à fonctionner coûte que coûte (facturation, relation client, production) ? Quels systèmes de substitution peut-on activer ? Quel est le RTO (Recovery Time Objective) et le RPO (Recovery Point Objective) pour chaque système critique ? Vos sauvegardes sont-elles suffisamment récentes et testées régulièrement ?

Les erreurs à éviter absolument

• Payer la rançon : cela ne garantit pas la récupération des données, finance les criminels, et expose souvent à une seconde demande
• Réinstaller sans éradiquer : reconstruire les systèmes sans s’assurer que la backdoor de l’attaquant a été supprimée mène à une récidive rapide
• Communiquer en interne sur des systèmes compromis : l’attaquant peut surveiller vos communications et adapter sa stratégie
• Ne pas impliquer le COMEX dès le départ : un incident cyber engage la responsabilité de la direction et nécessite des décisions stratégiques immédiates
• Négliger le retour d’expérience : chaque incident non analysé est une opportunité manquée d’améliorer votre sécurité

La meilleure défense reste la prévention. Consultez notre checklist cybersécurité PME pour mettre en place les protections de base avant qu’un incident ne survienne, et notre guide sur la règle 3-2-1 pour les sauvegardes pour vous assurer de pouvoir récupérer vos données après une attaque.

Pour une vision complète des technologies IA au service de la cybersécurité de votre entreprise, consultez notre panorama des technologies IA pour la cybersécurité des PME en 2026.