Plan de gestion de crise cyber PME – modèle et checklist

Un poste qui affiche une demande de rançon, une messagerie qui envoie des courriels frauduleux à vos clients, un serveur de fichiers devenu illisible : face à ce type d'incident, les premières heures sont souvent décisives. Le plan gestion crise cyber PME sert à ne pas improviser.

C'est un document court et opérationnel qui précise qui alerter, quoi couper, comment communiquer et dans quel ordre redémarrer. Ce guide vous propose un modèle adapté aux petites structures, ainsi qu'une méthode simple pour le tester une fois par an.

Pourquoi une PME doit préparer un plan de crise cyber

Une PME n'a généralement ni équipe de sécurité interne ni responsable informatique disponible à toute heure. Quand un rançongiciel chiffre les données un vendredi soir, le dirigeant se retrouve seul face à des décisions techniques, juridiques et commerciales qu'il n'a jamais eu à prendre.

Sans plan, chacun agit à sa manière : un salarié redémarre son poste, un autre supprime le message suspect, un troisième prévient un client par téléphone. Ces réflexes, bien intentionnés, détruisent souvent des preuves et laissent l'attaque se propager.

L'ANSSI indique qu'un plan de réponse à incident formalisé, associé à des scénarios de menace, aide les équipes à coordonner leurs actions, à gagner du temps et à clarifier les responsabilités pendant la crise. Ses recommandations reposent sur plusieurs piliers : préparation, organisation de crise, réponse à incident, continuité et reprise d'activité, communication, puis retour d'expérience.

Un plan de crise cyber pour PME n'a pas besoin d'être volumineux. Quelques pages imprimées, rangées dans un tiroir et dans le coffre du dirigeant, valent mieux qu'un classeur de cent pages stocké sur un serveur chiffré par l'attaquant.

Que doit contenir un plan de gestion de crise cyber PME ?

Un bon modèle de plan de crise cyber PME tient en cinq blocs : l'organisation, l'annuaire, la cartographie des actifs critiques, les scénarios de menace et les procédures. Chaque bloc doit pouvoir être lu en quelques minutes par une personne stressée.

L’organisation et les rôles

Même dans une entreprise de quinze salariés, les fonctions clés doivent être attribuées à l'avance. Le responsable de crise, souvent le dirigeant, décide des priorités, valide les dépenses et les messages. Le référent informatique, interne ou prestataire, analyse l'incident, isole les équipements et coordonne la restauration.

Un référent métier identifie les activités qui ne peuvent pas s'arrêter, par exemple la facturation ou les commandes fournisseurs. Le DPO ou un conseil juridique évalue les obligations liées aux données personnelles et aux contrats. Enfin, une personne prépare la communication de crise interne et externe.

Une même personne peut cumuler plusieurs rôles, à condition que chacun ait un suppléant identifié.

L’annuaire de crise hors ligne

L'annuaire de crise doit être accessible sans le système d'information habituel, donc imprimé et éventuellement enregistré sur un téléphone personnel autorisé. Il regroupe la direction, le prestataire informatique, un prestataire de réponse à incident, l'assureur cyber et son numéro de déclaration de sinistre, l'avocat, le DPO, la banque, l'hébergeur, l'opérateur télécom, ainsi que les principaux clients et fournisseurs.

Prévoyez plusieurs moyens de contact pour chacun, ainsi qu'un canal de communication de secours, par exemple un groupe sur une messagerie mobile hors du domaine de l'entreprise.

La cartographie des actifs critiques

Listez vos serveurs, postes, comptes administrateurs, services cloud, messagerie, logiciels métiers, sauvegardes, équipements réseau et noms de domaine. Pour chaque actif, notez son propriétaire, son niveau de criticité, ses dépendances, son mode de sauvegarde et son délai maximal d'interruption acceptable.

C'est cette information qui permettra de définir l'ordre de restauration des systèmes le jour venu. Pour un cabinet comptable, le logiciel de production passera avant la messagerie en période fiscale. Pour un cabinet d'architecture, l'accès aux maquettes BIM sera prioritaire.

Les scénarios de menace

Inutile de prévoir tous les cas possibles. Concentrez-vous sur les plus probables pour une PME : rançongiciel bloquant les serveurs, compromission de messagerie, hameçonnage visant un dirigeant, fraude au président ou changement frauduleux de coordonnées bancaires, perte d'un ordinateur portable, fuite de données personnelles, indisponibilité d'un logiciel en ligne.

Pour chaque scénario, le plan précise un déclencheur, un responsable, les actions immédiates, les contacts d'escalade et les critères de retour à la normale.

Premiers réflexes face à une cyberattaque en entreprise

Consignes immédiates en cas de cyberattaque

Le guide ANSSI de cybersécurité pour les TPE et PME recommande, en premier réflexe, de déconnecter l'équipement ou le système concerné d'Internet selon la nature de l'incident, et d'ouvrir une main courante pour tracer les événements, les décisions et les actions. Pour réagir à une attaque informatique sans aggraver la situation, votre plan peut reprendre les consignes suivantes :

• débrancher le câble réseau et couper le Wifi de la machine touchée, sans l'éteindre
• ne supprimer aucun fichier, message ou journal suspect
• prévenir immédiatement le responsable de crise et le référent informatique
• désactiver les comptes suspects et bloquer les accès distants concernés
• vérifier que les sauvegardes sont intactes et les protéger d'une nouvelle compromission
• noter chaque action avec son heure dans la main courante
• ne jamais négocier avec l'attaquant sans conseil spécialisé

Important

La déconnexion doit rester raisonnée. Éteindre brutalement un serveur peut effacer des traces en mémoire utiles à l'enquête, d'où l'intérêt de faire valider ce geste par votre prestataire de réponse à incident dès que possible.

Les phases de gestion d’un incident de cybersécurité en PME

Les grandes étapes de la gestion d’incident

Une fois l'alerte donnée, la gestion d'incident cybersécurité en PME suit une logique en plusieurs temps. La détection et la qualification de l'incident consistent à recueillir les symptômes, identifier les équipements et comptes touchés, estimer l'heure de début et rechercher une éventuelle exfiltration de données. C'est à ce moment que le responsable de crise décide s'il s'agit d'un incident isolé ou d'une crise justifiant l'activation de la cellule de crise.

Vient ensuite le confinement : isolement des équipements compromis, révocation des sessions actives, réinitialisation des mots de passe, segmentation temporaire du réseau. L'éradication vise à supprimer la cause de l'attaque, identifier le vecteur d'entrée, corriger la vulnérabilité exploitée et réinstaller si besoin les machines touchées. Tout au long de ces étapes, la préservation des preuves reste prioritaire, car elle conditionne le dépôt de plainte et la prise en charge par l'assurance cyber.

La reprise suit un ordre précis. L'infrastructure réseau et les accès sécurisés sont rétablis en premier, puis les systèmes d'authentification, les applications critiques, les données nécessaires aux activités prioritaires, la messagerie et enfin les services secondaires. Chaque restauration doit être précédée d'une vérification : sauvegarde fiable, système nettoyé, correctifs appliqués et accès surveillés.

PCA et PRA, quelle différence pour une PME ?

L'ANSSI recommande explicitement de disposer d'un PCA (plan de continuité d'activité) robuste aux cyberattaques et d'un PRA (plan de reprise d'activité) préparé en amont. Les deux documents sont complémentaires et s'intègrent dans le plan de crise.

Comparaison entre le PCA et le PRA pour une PME

Critère	PCA, plan de continuité informatique PME	PRA, plan de reprise informatique PME
Question posée	Comment continuer à travailler pendant l'incident ?	Comment restaurer les systèmes et revenir à la normale ?
Contenu principal	Activités prioritaires, procédures manuelles temporaires, solutions de travail alternatives	Systèmes à restaurer en priorité, sauvegardes utilisables, procédures de réinstallation
Responsables	Référents métiers et direction	Référent informatique et prestataire
Indicateur clé	Niveau minimal de fonctionnement acceptable	Délais cibles et critères de validation de la restauration

Concrètement, le PCA prévoit par exemple de prendre les commandes sur papier ou de facturer depuis un poste isolé pendant quelques jours. Le PRA, lui, repose sur une sauvegarde hors ligne et testée.

Une sauvegarde jamais restaurée ne doit pas être considérée comme une capacité de reprise garantie. Le plan doit donc indiquer la date du dernier test réussi et les personnes autorisées à lancer une restauration complète.

Qui contacter après une cyberattaque ?

Les interlocuteurs prioritaires en cas de crise

Votre annuaire de crise doit répondre clairement à cette question. Le premier appel va généralement au prestataire informatique ou au prestataire de réponse à incident. L'ANSSI recommande aux TPE et PME d'identifier ces spécialistes en amont, car en chercher un en pleine crise fait perdre un temps précieux. Le deuxième appel va à l'assureur cyber, qui confirme les garanties et peut mandater ses propres experts.

Les dispositifs publics complètent ce dispositif. 17Cyber, accessible depuis Cybermalveillance.gouv.fr, est un service public d'assistance en ligne pour les entreprises victimes de rançongiciel, d'hameçonnage ou de piratage de messagerie. Il propose un diagnostic, des recommandations, une mise en relation avec une assistance technique et, si nécessaire, un accompagnement par un policier ou un gendarme, avec une disponibilité annoncée 24 heures sur 24 et 7 jours sur 7.

Mon ExpertCyber permet par ailleurs de trouver des prestataires labellisés pour sécuriser votre système d'information. France Num relaie également les ressources et guides utiles aux petites entreprises.

Notifications, plainte et obligations à anticiper

Les principales obligations légales après une cyberattaque

Si l'incident entraîne une violation de données personnelles, le RGPD (article 33) impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées. Le DPO, interne ou externalisé, prépare cette notification.

Pensez aussi au dépôt de plainte, à la déclaration auprès de l'assureur dans les délais prévus par votre contrat et à l'information des clients liés par des clauses contractuelles de sécurité. Les entreprises soumises à NIS 2, ou travaillant pour des donneurs d'ordre qui le sont, peuvent avoir des obligations de signalement supplémentaires.

Bon à savoir

Les délais de notification varient selon le type d'incident, le secteur et les contrats. Faites valider cette partie du plan par votre DPO ou votre avocat plutôt que de reprendre un délai générique.

Communication de crise interne et externe

Le message aux salariés doit indiquer ce qui est confirmé, ce qui reste inconnu, les outils à ne plus utiliser, les moyens de communication de secours et l'interdiction de s'exprimer publiquement sans validation.

Pour l'extérieur, préparez à froid des modèles destinés aux clients, fournisseurs, partenaires et à la banque. L'ANSSI recommande une organisation spécifique pour la communication de crise, avec des rôles répartis et des messages préparés selon les scénarios. Un bon message reste factuel, évite les spéculations, présente les mesures prises et annonce le prochain point d'information.

En cas de compromission de messagerie, prévenez rapidement vos contacts que des courriels frauduleux peuvent circuler en votre nom, notamment des demandes de changement de RIB.

Checklist crise cyber à glisser dans le plan

Pour vérifier que votre document est opérationnel, voici les points de contrôle à valider avant tout incident :

• un responsable de crise et son suppléant sont nommés
• l'annuaire de crise hors ligne est imprimé et à jour
• la cartographie des actifs critiques indique les délais d'interruption acceptables
• le PCA et le PRA sont rédigés et l'ordre de restauration est défini
• au moins une sauvegarde est isolée du réseau et a été restaurée avec succès récemment
• un prestataire de réponse à incident et l'assureur cyber sont identifiés
• les modèles de communication interne et externe sont prêts
• un exercice de crise cyber est planifié dans l'année

Comment tester et mettre à jour son plan une fois par an

Un plan jamais testé révèle ses failles au pire moment. L'ANSSI recommande de faire évoluer les outils de crise à partir des retours d'expérience réels ou d'exercices. Pour une PME, un exercice de crise cyber annuel d'une demi-journée suffit souvent. Choisissez un scénario réaliste, par exemple un rançongiciel découvert un lundi matin, réunissez le dirigeant, le référent informatique, un référent métier et votre prestataire, puis déroulez le plan pas à pas autour d'une table.

Pendant l'exercice, posez des questions concrètes. Les numéros de l'annuaire répondent-ils encore ? Qui sait où se trouve la version papier ? Combien de temps prend réellement la restauration du serveur de fichiers ? Le message aux clients est-il prêt ? Profitez de ce rendez-vous pour réaliser un vrai test de restauration à partir de la sauvegarde hors ligne.

Terminez par un retour d'expérience écrit listant les écarts constatés, les responsables des corrections et les échéances. Mettez aussi à jour le plan à chaque changement important : nouveau logiciel métier, départ d'un salarié clé, changement de prestataire ou d'assureur.

Chez SYS PROJECT, nous accompagnons les PME de l'Essonne et des départements voisins dans la rédaction de ce document, la vérification des sauvegardes et l'organisation de l'exercice annuel, dans le cadre d'un audit informatique ou de notre infogérance au forfait.

Aller plus loin avec un plan de gestion de crise cyber PME

Le plan de gestion de crise cyber pour PME n'est pas un exercice de conformité de plus. C'est l'outil qui transforme une attaque subie en incident maîtrisé : des contacts disponibles hors ligne, des gestes d'isolement clairs, des messages prêts, des notifications anticipées et un PRA qui fonctionne.

Commencez par une version simple, testez-la une fois par an et enrichissez-la à chaque retour d'expérience. Le jour où vous en aurez besoin, chaque minute gagnée comptera.