Les décisions prises dans les premières heures déterminent le coût final d'un incident. Elles se préparent à froid : une procédure d'une page, des contacts vérifiés, des rôles attribués.

La séquence

  1. Détecter et qualifier : noter l'heure de prise de connaissance. Elle fait courir les délais de notification.
  2. Isoler : déconnecter du réseau les machines touchées sans les éteindre, pour préserver les traces en mémoire.
  3. Mobiliser la cellule de crise : un décideur, un responsable technique, un responsable communication, un secrétaire qui tient la main courante.
  4. Évaluer : périmètre touché, données concernées, continuité d'activité.
  5. Notifier : autorités, assureur, clients si nécessaire, dans les délais applicables.
  6. Communiquer : un message interne factuel, puis externe si l'incident est visible.

Les délais réglementaires

  • Violation de données personnelles : notification à la CNIL dans les 72 heures, sauf risque improbable pour les personnes (RGPD, art. 33).
  • Entité soumise à NIS2 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (art. 23), selon les modalités de la transposition française.
  • Assureur : délai fixé par votre contrat. Vérifiez-le avant l’incident.

Les contacts à préparer

  • 17Cyber, le dispositif d’assistance de Cybermalveillance.gouv.fr.
  • Le CSIRT de votre région.
  • L’ANSSI (CERT-FR) si vous êtes une entité régulée.
  • La CNIL pour les violations de données personnelles.
  • Votre assureur et votre prestataire de réponse à incident.
  • Le commissariat ou la gendarmerie pour le dépôt de plainte.

Les erreurs fréquentes

  • Éteindre les machines et perdre les preuves volatiles.
  • Restaurer avant d’avoir compris le point d’entrée, et se faire réinfecter.
  • Communiquer sur le périmètre avant de le connaître.
  • Négocier seul avec un attaquant. Les autorités recommandent de ne pas payer de rançon.

Questions fréquentes

Faut-il porter plainte ?

Oui, c'est recommandé. La plainte est souvent exigée par l'assureur et permet aux autorités de rapprocher des affaires.

Quand déclenche-t-on le délai de 72 heures RGPD ?

À partir du moment où le responsable du traitement a connaissance de la violation. D'où l'importance de noter l'heure dès la détection.

Peut-on notifier sans connaître tout le périmètre ?

Oui. Le RGPD comme NIS2 prévoient une notification initiale complétée ensuite. Mieux vaut notifier dans les délais avec des informations partielles.

Sources

Cet article informe et ne constitue pas un avis juridique.