Cyberattaque en entreprise : la gestion de crise cyber des 72 premières heures

Cas construit à partir de nos interventions. Les détails sont modifiés pour préserver la confidentialité de nos clients.

Dans une attaque par rançongiciel, la technique décide de la durée de l'arrêt. La communication décide de ce que vos salariés, vos clients et vos partenaires financiers en retiendront. Ce cas concret montre, heure par heure, où se joue la différence.

Le déclencheur : lundi, 5 h 40

Le responsable de maintenance du site principal appelle le directeur des systèmes d'information. Les écrans de supervision affichent un message en anglais. Les serveurs ne répondent plus. À 6 h 15, le diagnostic tombe : chiffrement généralisé, et un fichier de demande de rançon sur chaque poste.

L'entreprise est une ETI industrielle : quatre sites en France, environ 700 salariés, de grands donneurs d'ordre parmi ses clients. La production s'arrête. La messagerie est coupée. L'équipe du matin arrive devant des machines muettes.

Un rançongiciel est un logiciel malveillant qui chiffre les données d'une organisation pour les rendre inutilisables, puis exige une rançon contre leur déchiffrement. Les attaquants copient de plus en plus souvent les données avant de les chiffrer, et menacent de les publier : on parle alors de double extorsion.

La gestion de crise cyber est l'organisation de la réponse à une cyberattaque : décisions, coordination technique et juridique, continuité d'activité. La communication de crise en est le volet visible, celui qui décide de ce que l'on retiendra de l'attaque.

Ce scénario n'a rien d'exceptionnel. Selon l'ANSSI, 128 compromissions par rançongiciel ont été portées à sa connaissance en 2025 (Panorama de la cybermenace 2025, publié le 11 mars 2026). Les PME, TPE et ETI représentent près de la moitié des victimes recensées.

Ce qui compte à 6 h 15 : savoir qui appelle qui. Si votre liste d'astreinte est stockée sur le serveur chiffré, elle n'existe plus. Imprimez-la et rangez-la hors du système d'information.

Ce que vous vivez pendant les six premières heures

Le directeur général apprend la nouvelle au téléphone, sur la route. Trois questions l'assaillent : combien de temps, faut-il payer, qui est déjà au courant. Personne n'a la réponse.

Autour de lui, les injonctions se contredisent. Le prestataire informatique réclame le silence total pour ne pas alerter l'attaquant. Le directeur juridique ne veut rien dire avant d'avoir joint l'assureur. La DRH a deux cents salariés sur le parking, téléphone à la main. Le directeur commercial a déjà reçu l'appel d'un client qui attend une livraison mercredi.

Et il n'y a plus de messagerie. On ne peut même pas écrire aux salariés.

La tentation arrive vite : parler d'« incident technique », de « maintenance exceptionnelle ». Elle paraît prudente. C'est le premier piège.

Le silence n'existe pas. Deux cents salariés sur un parking sont deux cents émetteurs. La seule question est de savoir qui parle le premier : vous, ou eux.

Le point de bascule : quand l'entreprise perd la main sur le calendrier

Mardi, en début d'après-midi, une photo de l'écran de rançon circule sur un réseau social. Le quotidien régional appelle le standard. Mercredi matin, le groupe d'attaquants revendique l'opération sur son site de fuite, annonce des volumes de données spectaculaires et affiche un compte à rebours. Un donneur d'ordre demande par écrit si ses plans techniques sont concernés.

L'incident devient une crise à cet instant précis. Non parce que la situation technique s'aggrave, mais parce que l'entreprise ne choisit plus le moment, le cadre ni les mots de sa prise de parole.

La revendication n'est pas un bilan. Lors de la présentation du Panorama 2025 de l'ANSSI, il a été relevé que plus de 60 % des revendications de vols de données étaient infondées ou exagérées, selon le compte rendu publié par ChannelNews en mars 2026. Mais une revendication publiée la première devient le récit de référence, vraie ou fausse.

Ne laissez jamais la revendication de l'attaquant tenir lieu de premier communiqué. Si vous parlez après lui, vous commentez son récit au lieu d'imposer le vôtre.

Notre dispositif, dans l'ordre

Heures 1 à 3 : installer une cellule de crise hors du système d'information

Une cellule de crise est l'équipe restreinte qui décide pendant la crise : direction générale, juridique, informatique, ressources humaines et communication, avec un responsable désigné et un rythme de réunion fixé. Nous l'installons hors du système compromis : salle physique, téléphones personnels, main courante tenue sur papier. Nous séparons la cellule technique, qui répare, de la cellule de décision, qui arbitre et parle.

Le chronomètre des 72 heures : deux délais légaux distincts

Le premier délai concerne les données personnelles. L'article 33 du RGPD impose de notifier la violation à la CNIL dans les 72 heures suivant sa prise de connaissance. L'article 34 impose d'informer les personnes concernées lorsque le risque pour leurs droits et libertés est élevé.

Le second délai concerne l'assurance. Depuis le 24 avril 2023, l'article L.12-10-1 du code des assurances subordonne l'indemnisation d'une cyberattaque au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. La Direction générale du Trésor précise que ces deux démarches sont indépendantes, même si leur délai est identique.

Nous tenons ce chronomètre avec la direction juridique. Chaque démarche accomplie devient aussi une phrase de crédibilité : « plainte déposée », « CNIL notifiée », « experts mobilisés ».

Lundi, 9 h : parler d'abord aux salariés

Sans messagerie, on revient à l'oral et au papier. Les managers reçoivent un script court, une feuille imprimée est affichée, un numéro unique est communiqué. Le message tient en quatre points : ce qui est sûr, ce qui ne l'est pas encore, ce que l'on attend de chacun (ne rien publier, ne pas répondre aux journalistes, ne rebrancher aucun poste), et l'heure du prochain point.

Avant la presse : les clients et les partenaires

Le directeur général appelle lui-même les principaux clients dès le lundi. Un message écrit suit. Il ne contient aucune affirmation que l'enquête n'a pas encore établie, en particulier sur les données des clients.

Le communiqué de révélation, avant la revendication

Nous le publions au plus tard le mardi matin. Sa construction est fixe. L'entreprise est le sujet de la première phrase, présentée comme victime d'une cyberattaque. Le préjudice vient avant toute réassurance. Les actes sont énoncés au passé composé. Ce qui reste inconnu est dit comme tel, avec la date du prochain point. Le texte se termine par une consigne contre l'hameçonnage.

« À ce stade, nos investigations ne permettent pas d'exclure que des données aient été copiées. Nous le dirons dès que nous le saurons, et au plus tard jeudi. »

Cette formulation vieillit bien. « Aucune donnée n'a été dérobée » se retourne dès le premier élément contraire.

Préparer la réponse à la revendication

Une déclaration d'attente est rédigée dès le lundi : l'entreprise a connaissance d'une revendication, en vérifie le contenu avec les enquêteurs, et ne commente pas les volumes avancés par les attaquants. Elle sort dans l'heure qui suit la publication.

Une voix, et un traducteur technique

Le directeur général porte la gravité et les engagements. Le directeur des systèmes d'information explique la technique sans jargon, quand c'est nécessaire. Le prestataire informatique ne parle jamais aux médias. Les deux porte-parole sont entraînés en séance express, sur les questions que poseront réellement les journalistes.

Un rendez-vous fixe, même sans nouvelle

Un point d'information quotidien, à heure fixe, pour les salariés, les clients et la presse. Un rendez-vous tenu sans nouvelle rassure davantage qu'une annonce importante faite à l'improviste.

Une notification individuelle sans aucun lien

Si des données personnelles ont été copiées, salariés compris, chaque personne concernée reçoit un message qui ne contient aucun lien cliquable. L'entreprise annonce publiquement cette règle avant l'envoi. Les faux messages qui imiteront le vrai se reconnaîtront ainsi d'un coup d'œil.

L'ordre compte autant que les messages : la cellule, puis le chronomètre, les salariés, les clients, le public. Inverser cet ordre, c'est apprendre la crise par la presse à ceux qui auraient dû la connaître en premier.

Les erreurs que nous faisons éviter

• Parler d'« incident technique ». Le jour où le mot « rançongiciel » sort, la formule initiale est relue comme un mensonge.
• Annoncer une date de reprise. Les équipes techniques sont optimistes sous pression. Une date manquée coûte plus cher qu'une date non donnée.
• Verrouiller un périmètre. « Les données de nos clients ne sont pas concernées » devient « à ce stade, nous n'avons pas constaté d'atteinte aux données de nos clients ».
• Commenter la rançon. La décision de payer ou non relève de la direction, avec ses conseils, son assureur et les autorités, qui recommandent de ne pas payer. Publiquement, l'entreprise indique suivre les recommandations des autorités.
• Oublier les salariés dans la notification. Les fichiers des ressources humaines figurent souvent parmi les données copiées.
• S'excuser et relativiser dans la même phrase. La minoration annule l'excuse.

Chacune de ces erreurs part d'une bonne intention : rassurer. Toutes produisent l'effet inverse dès que le récit public s'écarte des faits.

Ce que vous obtenez

• Une chronologie des 72 premières heures tenue, documentée et défendable devant la CNIL, l'assureur et les enquêteurs.
• Les messages internes, le communiqué de révélation et ses variantes selon que la copie de données est exclue, probable ou établie.
• Une base de questions-réponses, les scripts d'appel aux clients et la déclaration d'attente face à la revendication.
• Deux porte-parole préparés et un calendrier de points d'information tenu.
• Un modèle de notification individuelle sans lien et un retour d'expérience à froid.

L'effet recherché tient en une phrase : l'entreprise parle avant l'attaquant, et chacune de ses phrases tient encore trois semaines plus tard.

Si vous n'êtes pas encore en crise

Les six premières heures se gagnent à froid. Quatre éléments suffisent, et aucun ne demande d'investissement technique :

• une liste d'astreinte imprimée, hors du système d'information ;
• un seuil de déclenchement écrit : à partir de quand on parle, et qui le décide ;
• un communiqué de révélation dont la première phrase est déjà rédigée ;
• un porte-parole entraîné à parler sous incertitude.

Le meilleur test reste un exercice de gestion de crise sur un scénario cyber, avec pression médiatique simulée. Pour l'entraînement des porte-parole face caméra, notre entité spécialisée propose un média training de crise. L'ANSSI publie par ailleurs un guide de référence, « Anticiper et gérer sa communication de crise cyber ».

Une demi-journée de préparation à froid vous fait gagner les six premières heures à chaud. Ce sont celles qui décident de tout le reste.

Vous êtes une collectivité ou une association ?

Collectivité. Selon le Panorama 2025 de l'ANSSI, les ministères et collectivités territoriales représentent 24 % des incidents traités en 2025. Pour vous, la crise touche la continuité du service public : état civil, paie des agents, services aux familles. Vos élus seront interrogés en premier, l'opposition s'en saisira, et vos administrés attendent une information pratique avant une explication.

Association ou fondation. Les données de vos donateurs, adhérents et bénéficiaires sont souvent sensibles. Votre conseil d'administration doit être informé avant le public, et vos bénévoles, nombreux et dispersés, deviennent des porte-parole de fait : ils ont besoin du même script que vos salariés.

Dans les deux cas, la règle est la même : décider qui parle, en premier, et à qui.

À retenir

• Après un rançongiciel, deux délais légaux de 72 heures courent séparément : la notification à la CNIL (article 33 du RGPD) et la plainte conditionnant l'indemnisation d'assurance (article L.12-10-1 du code des assurances).
• Selon l'ANSSI, 128 compromissions par rançongiciel ont été portées à sa connaissance en 2025.
• L'ordre de prise de parole est fixe : cellule de crise, salariés, clients et partenaires, puis public.
• Le communiqué de révélation doit précéder la revendication des attaquants.
• Toute réassurance porte une réserve de temps et de périmètre : « à ce stade, nous n'avons pas constaté ».
• La notification individuelle ne contient aucun lien, et l'entreprise l'annonce avant l'envoi.

Questions fréquentes

Que faire en cas de cyberattaque en entreprise ?

Dans les premières heures : isoler les systèmes touchés sans les éteindre ni les effacer, installer une cellule de crise hors du système d'information, prévenir l'assureur et lancer les deux démarches soumises à un délai de 72 heures, la plainte et, si des données personnelles sont touchées, la notification à la CNIL. En parallèle, informer les salariés avant toute communication externe et préparer la prise de parole publique avant que les attaquants ne revendiquent l'opération.

Qui contacter en cas de cyberattaque ?

Quatre interlocuteurs, dès les premières heures : les services de police ou de gendarmerie pour la plainte, l'assureur de l'entreprise, la CNIL si des données personnelles sont concernées, et un prestataire de réponse à incident pour la partie technique. Le dispositif public Cybermalveillance.gouv.fr oriente les entreprises, collectivités et associations vers des prestataires référencés. Un conseil en communication de crise prépare en parallèle la parole vers les salariés, les clients et les médias.

Faut-il communiquer publiquement après une attaque par rançongiciel ?

Oui, dès que l'attaque est confirmée et que la copie de données n'est pas exclue. Les salariés, les clients et les attaquants eux-mêmes rendront l'attaque publique de toute façon. Une entreprise qui parle la première fixe le cadre ; celle qui parle après la revendication des attaquants ne peut plus que commenter leur récit.

Quels sont les délais légaux après une cyberattaque en entreprise ?

Deux délais de 72 heures s'appliquent, de façon indépendante. L'article 33 du RGPD impose de notifier à la CNIL toute violation de données personnelles dans les 72 heures suivant sa prise de connaissance. L'article L.12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, subordonne l'indemnisation d'une cyberattaque au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte.

Que dire aux salariés après une cyberattaque ?

Quatre éléments, avant toute communication externe : ce qui est établi, ce qui ne l'est pas encore, les consignes à respecter (ne rien publier, ne pas répondre aux journalistes, ne rebrancher aucun équipement) et l'heure du prochain point. Si la messagerie est coupée, le message passe par les managers, à l'oral, et par voie d'affichage.

Comment réagir à la revendication publique d'un groupe d'attaquants ?

Par une déclaration préparée à l'avance et publiée dans l'heure : l'entreprise a connaissance de la revendication, en vérifie le contenu avec les enquêteurs et ne commente pas les volumes avancés. Une revendication n'est pas un bilan ; lors de la présentation du Panorama 2025 de l'ANSSI, il a été relevé que plus de 60 % des revendications de vols de données étaient infondées ou exagérées.

L'entreprise doit-elle dire si elle paie la rançon ?

Non. La décision relève de la direction, avec ses conseils juridiques, son assureur et les autorités, qui recommandent de ne pas payer. Publiquement, l'entreprise indique suivre les recommandations des autorités et se concentre sur ce qu'elle fait pour ses salariés et ses clients.

Qui doit être le porte-parole pendant une cyberattaque ?

Le dirigeant porte la gravité et les engagements ; le directeur des systèmes d'information explique la technique sans jargon lorsque c'est nécessaire. Le prestataire informatique ne s'exprime pas dans les médias. Les porte-parole se préparent sur les questions que poseront réellement les journalistes, avant d'en avoir besoin.

Sources

• ANSSI, « Panorama de la cybermenace 2025 », publié le 11 mars 2026.
• Armées.com, « France : l'Anssi publie un bilan préoccupant de la menace cyber », mars 2026 (répartition des victimes de rançongiciels).
• ChannelNews, « Bilan annuel : l'Anssi publie son Panorama de la cybermenace 2025 », mars 2026 (revendications infondées ou exagérées).
• ANSSI, « Anticiper et gérer sa communication de crise cyber ».
• Direction générale du Trésor, FAQ sur l'obligation de dépôt de plainte en cas de cyberattaque (article L.12-10-1 du code des assurances).
• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 33 et 34.

Pour aller plus loin sur la parole publique après une fuite de données dans le secteur public : « Cyberattaques : la communication de crise, chapitre absent du plan de sécurité de l'État ». Pour notre approche d'ensemble : communication de crise.

Vous vous reconnaissez dans cette situation, ou vous voulez ne jamais vous y reconnaître ? Parlons de votre dispositif. En cas d'urgence, notre astreinte crise répond 24 h/24 au 0800 10 12 20.

Cas rédigé par Laurent Vibert, fondateur de Nitidis. Données réglementaires et statistiques à jour au 18 octobre 2026.

‍