Crise cyber : un plan écrit n'est pas une capacité de décision

Un plan de crise rassure toujours sur le papier. Pourtant, il ne prouve pas que l'on sache décider sous pression.

Dans son panorama publié le 11 mars 2026, l'ANSSI (l’Agence nationale de la sécurité des systèmes d’information (ANSSI)) indique avoir eu connaissance de 1 366 incidents en 2025. Derrière ce chiffre, des organisations ont dû, un matin, arbitrer entre arrêter un service ou le laisser tourner, informer ou attendre, reconstruire ou négocier. Les mieux préparées avaient pourtant un plan de crise, rédigé avec soin et validé en comité. La conviction est répandue qu'un dispositif écrit suffit à garantir une réponse maîtrisée, et qu'il suffit de l'ouvrir au bon moment pour savoir quoi faire.

Disposer d'un plan de crise marque un vrai progrès de maturité

Cette conviction repose sur un progrès réel. Il y a peu d'années encore, nombre d'organisations n'avaient aucune procédure pour une crise d'origine cyber, et la décision se prenait dans l'urgence, sans repères. Rédiger un plan impose de nommer des responsables, de recenser les services vitaux, d'écrire qui prévient qui. Cet effort force la direction à regarder son activité sous l'angle de la continuité. Il serait injuste de le réduire à un simple exercice administratif : il constitue le point de départ de toute réponse sérieuse.

Un plan décrit des rôles, il ne prouve pas que chacun les tiendra

Pourtant, un plan décrit des rôles, il ne prouve pas que chacun les tiendra. Le jour venu, la personne désignée peut être absente, injoignable ou débordée, et l'annuaire de crise peut se trouver sur le serveur justement chiffré. Les procédures supposent des outils disponibles, des accès valides, des contacts à jour, autant de conditions que l'attaque détruit en premier. Un document rédigé en période calme reflète les hypothèses d'une organisation qui fonctionne. Il décrit mal ce qu'elle devient lorsque sa messagerie, ses applications et ses habitudes cessent brusquement de répondre.

L'incident arrive rarement dans les conditions que le plan avait prévues

L'incident arrive rarement dans les conditions que le plan avait prévues. Il survient un soir de fin de semaine, touche d'abord un fournisseur, ou se révèle progressivement, avec des informations contradictoires. Les équipes doivent décider sans connaître l'étendue des dégâts, en arbitrant entre vitesse et prudence. La disponibilité fait partie de la sécurité : chaque heure d'arrêt se paie en activité perdue, et chaque décision hâtive peut aggraver la situation. Aucun scénario ne couvre toutes ces combinaisons. Ce qui compte, c'est la capacité du collectif à s'adapter en gardant sa cohérence.

L'exercice transforme un document en réflexe collectif

C'est le rôle de l'exercice. L'ANSSI le rappelle dans sa collection consacrée à la gestion de crise cyber, dont le premier guide date du 6 décembre 2021 : on n'improvise pas une réponse en pleine crise, il faut se préparer et s'entraîner. Un exercice permet de tester les procédures, de les corriger et de développer par la répétition des réflexes de travail collectif. Il ne vise pas à piéger les participants, mais à révéler les angles morts avant qu'un attaquant ne s'en charge, dans un cadre où l'erreur coûte une leçon.

La décision reste une responsabilité de direction qui ne se délègue pas

Reste la décision proprement dite, que ni le plan ni l'exercice ne tranchent à la place des dirigeants. Payer ou non une rançon, couper une activité, informer des clients : ces arbitrages engagent la responsabilité de la direction, et aucun prestataire ne peut les assumer pour elle. Les entreprises ne peuvent pas tout internaliser, et l'appui externe reste précieux en situation de crise. Mais il éclaire la décision sans la prendre. Celui qui n'a jamais été confronté à ces choix les découvre au pire moment, sous pression, avec des informations partielles.

Le plan de crise n'est donc ni inutile ni suffisant. Il fixe le cadre, nomme les acteurs et rend la décision possible. Il ne la garantit pas. La différence se joue dans la répétition, dans la capacité à rejouer un scénario, à corriger, à recommencer. L'enjeu n'est pas de choisir entre rédiger et s'entraîner, mais de ne pas confondre l'un avec l'autre : le premier prépare le terrain, le second vérifie qu'on saurait y avancer.