Un plan de réponse à incident pour PME tient sur une page : qui décide, qui appeler, quoi couper, quoi préserver et qui prévenir, dans quel délai. Ce document ne remplace pas une expertise technique, mais il évite les deux erreurs qui coûtent le plus cher le jour J : perdre la première heure à chercher qui doit trancher, et détruire les traces en voulant « tout nettoyer » trop vite.
Ce guide vous donne la structure de ce modèle en une page, bloc par bloc, avec ce que chaque case doit contenir pour être réellement utilisable par une équipe sans spécialiste sécurité.
Pourquoi une seule page suffit (et vaut mieux qu’un classeur)
Les référentiels sérieux, comme le NIST SP 800-61 Rev. 3, décrivent la réponse à incident comme un cycle complet : préparation, détection, confinement, éradication, reprise, retour d’expérience. Pour une grande entreprise, chaque étape devient une procédure détaillée. Pour une PME de 50 ou 500 personnes, ce niveau de détail a un effet pervers : personne ne lit le classeur, et il est souvent stocké sur le serveur qui vient d’être chiffré.
Une page imprimée, rangée à trois endroits connus (bureau du dirigeant, bureau du responsable informatique, domicile d’un des deux), répond à une contrainte simple : elle doit être lisible en état de stress, sans accès au réseau, par quelqu’un qui ne l’a pas rédigée. Les procédures techniques détaillées peuvent exister à côté, chez votre prestataire. La page, elle, sert à prendre les bonnes décisions dans la première heure.
Bloc 1 : la cellule de décision et les numéros hors réseau
Le premier bloc nomme trois rôles, avec un titulaire et un suppléant pour chacun :
- Le décideur : en général le dirigeant ou son adjoint. C’est lui qui autorise de couper la production, de déconnecter un site ou de payer un prestataire d’urgence.
- Le coordinateur technique : votre responsable informatique interne ou votre infogérant. Il exécute les mesures de confinement et tient le journal des actions.
- Le référent communication : il centralise ce qui est dit aux salariés, aux clients et, le cas échéant, à la presse.
À côté de chaque nom : un numéro de téléphone portable personnel, pas une adresse e-mail professionnelle. Si votre messagerie est compromise, l’attaquant lit vos échanges de crise. Ajoutez sur la même ligne le numéro de votre prestataire de sécurité ou de votre SOC, celui de votre assureur cyber et le numéro de contrat associé, ainsi que celui de votre infogérant s’il est distinct.
Bloc 2 : reconnaître un incident et le qualifier en trois niveaux
Le deuxième bloc évite le débat « est-ce grave ? » qui fait perdre du temps. Trois niveaux suffisent :
- Niveau 1, suspicion : un e-mail de phishing cliqué, une alerte antivirus ou EDR isolée, un compte qui se connecte depuis un pays inhabituel. Le coordinateur technique traite et informe le décideur dans la journée.
- Niveau 2, compromission confirmée : un compte réellement utilisé par un tiers, un poste infecté, des règles de transfert de messagerie créées à votre insu. Le décideur est prévenu immédiatement, le prestataire de sécurité est appelé.
- Niveau 3, crise : fichiers chiffrés, message de rançon, arrêt de production, fuite de données revendiquée. La cellule complète se réunit, par téléphone si besoin.
Pour chaque niveau, écrivez deux ou trois exemples tirés de votre propre activité. Un cabinet comptable et une usine de mécanique ne verront pas les mêmes premiers signaux.
Bloc 3 : les gestes de confinement, et ceux à ne jamais faire
C’est le bloc le plus important et celui où les PME se trompent le plus souvent. La bonne réaction consiste à isoler sans détruire.
À faire : débrancher le câble réseau ou couper le Wi-Fi du poste suspect, désactiver le compte compromis, révoquer ses sessions actives (dans Microsoft 365, la révocation des sessions est distincte du changement de mot de passe), bloquer les accès distants (VPN, bureau à distance) si la compromission semble étendue.
À ne pas faire : éteindre brutalement les serveurs (la mémoire vive contient souvent des traces utiles à l’enquête), réinstaller un poste avant qu’un spécialiste l’ait examiné, supprimer les e-mails suspects, contacter l’attaquant, ou restaurer les sauvegardes sur un réseau dont on n’a pas encore chassé l’intrus. Une restauration trop rapide se fait chiffrer une seconde fois.
Écrivez ces deux listes noir sur blanc, en termes concrets pour votre environnement : « débrancher le câble bleu à l’arrière du poste » est plus utile que « isoler l’actif ».
Bloc 4 : préserver les preuves et tenir un journal
Le coordinateur technique ouvre un journal dès le niveau 2 : heure, action, auteur. Une feuille papier suffit. Ce journal sert trois fois : pour votre prestataire qui reconstitue l’attaque, pour votre assureur qui instruit le dossier, et pour un éventuel dépôt de plainte.
Notez aussi ce qui ne doit pas être effacé : journaux de connexion de votre messagerie cloud, journaux du pare-feu, poste du premier utilisateur touché. Si vous disposez d’un EDR ou d’un SIEM, la conservation des journaux est en principe automatique, mais vérifiez la durée de rétention à l’avance : certaines offres d’entrée de gamme ne gardent que quelques jours d’historique.
Bloc 5 : qui prévenir, et dans quel délai
Ce bloc est celui que l’on oublie dans l’urgence, alors que les délais courent dès la découverte :
- Votre assureur cyber : la plupart des contrats exigent une déclaration rapide et imposent parfois leur propre prestataire de réponse. Recopiez ici la clause de votre contrat.
- La CNIL : en cas de violation de données personnelles présentant un risque, la notification doit intervenir dans les 72 heures, comme le rappelle la CNIL.
- L’ANSSI, si votre entreprise entre dans le périmètre NIS2 : une alerte précoce sous 24 heures, puis une notification sous 72 heures. Le détail figure dans notre article sur les délais de notification d’incident NIS2.
- Les forces de l’ordre : le dépôt de plainte est souvent demandé par l’assureur. Cybermalveillance.gouv.fr oriente vers les bons interlocuteurs et propose des prestataires de proximité.
- Vos clients et partenaires concernés, avec un message validé par le référent communication.
Bloc 6 : la reprise et le retour d’expérience
La dernière case liste l’ordre de redémarrage de vos systèmes, par priorité métier : par exemple messagerie et téléphonie d’abord, puis facturation, puis production. Cet ordre se décide à froid, pas pendant la crise. Il suppose que vos sauvegardes soient hors de portée d’un attaquant : c’est tout l’intérêt d’une sauvegarde immuable.
Ajoutez une ligne : « retour d’expérience sous quinze jours ». Une réunion d’une heure pour lister ce qui a fonctionné, ce qui a manqué, et mettre à jour la page.
Que faire maintenant
- Imprimez une page vierge découpée en six blocs et remplissez la cellule de décision avec des numéros personnels.
- Recopiez la clause de déclaration de sinistre de votre contrat d’assurance cyber et le numéro d’urgence associé.
- Rédigez les deux listes de confinement, « à faire » et « à ne pas faire », avec votre informaticien ou votre infogérant.
- Testez la page en une heure avec un scénario simple, par exemple un compte Microsoft 365 piraté un vendredi soir. L’ANSSI publie un guide pour organiser un exercice de crise cyber.
- Rangez trois exemplaires papier à des endroits connus et planifiez une relecture annuelle.
Une page bien remplie ne sert que si l’incident est repéré à temps : une intrusion se détecte et se contient bien plus tôt avec une surveillance continue. C’est le rôle de notre SOC managé 24/7 pour PME et ETI, qui déclenche votre plan dès les premiers signaux.
Ce qu’il faut retenir
- Un plan de réponse à incident utile tient sur une page imprimée, lisible sans réseau.
- Trois rôles nommés, avec suppléants et numéros personnels, évitent la paralysie de la première heure.
- Isoler sans détruire : débrancher et désactiver, mais ne pas éteindre, réinstaller ni restaurer trop vite.
- Les délais de notification (assureur, CNIL, ANSSI) courent dès la découverte : notez-les à l’avance.
- Un exercice d’une heure par an suffit à révéler les trous du plan.