La réponse à incident cyber, pour une PME, consiste à contenir l’attaque, préserver les preuves, comprendre ce qui a été compromis, remettre le système en état puis tirer les leçons. Les premières heures changent tout : couper trop vite peut détruire des indices, attendre trop longtemps aggrave la fuite. Préparez surtout trois choses avant la crise : contacts, sauvegardes déconnectées et rôles de décision.
Réponse à incident cyber : ce que cela change vraiment pour une PME
L’intention derrière cette recherche est très pratique : savoir quoi faire, qui appeler, combien cela peut coûter et comment éviter que l’incident ne devienne une crise commerciale. Une réponse à incident cyber n’est pas seulement une affaire d’informaticiens. Elle touche la direction, le juridique, la communication, les opérations et parfois les clients.
Depuis 2026, l’ANSSI insiste davantage sur la réaction opérationnelle, y compris avec REACTIV pour les services de l’État, une capacité renforcée dédiée notamment aux comptes compromis et aux violations de données. Une PME n’entre pas dans ce dispositif public, mais le signal est clair : la vitesse de décision et la coordination comptent autant que l’outil technique.
Dans une entreprise de 20 à 250 personnes, le risque principal n’est pas toujours la sophistication de l’attaque. C’est le flou. Qui décide d’arrêter le serveur ? Qui parle aux clients ? Où sont les sauvegardes ? Qui a les accès à l’hébergement OVH, au DNS Cloudflare, à Microsoft 365 ou à Google Workspace ? Sans réponses écrites, chaque heure coûte plus cher.
Les six étapes utiles : détecter, contenir, analyser, éradiquer, restaurer, apprendre
La méthode la plus saine suit une chaîne simple. Détection, confinement, analyse, éradication, restauration, retour d’expérience. Elle évite deux erreurs fréquentes : redémarrer trop vite un système encore compromis, ou passer trois jours à enquêter alors que l’activité doit repartir sur un périmètre minimal.
La détection commence par un signal : fichiers chiffrés, compte mail qui envoie du spam, alerte EDR (outil de détection sur les postes), connexion inhabituelle, facture frauduleuse, extension Chrome suspecte. Si le sujet concerne les postes utilisateurs, comparer EDR et antivirus aide à comprendre pourquoi l’antivirus classique ne suffit plus toujours.
Le confinement vise à empêcher l’attaquant de continuer. L’ANSSI recommande, pour un incident confirmé, de déconnecter les équipements touchés ou le système d’information d’Internet afin de limiter les actions de l’attaquant et l’exfiltration de données. Attention : déconnecter ne veut pas dire éteindre. Couper l’alimentation d’un serveur ou réinstaller un poste peut effacer des traces utiles.
L’analyse sert à répondre à des questions concrètes : quel compte a été utilisé, quelles données sont parties, depuis quand, quel périmètre est fiable ? L’éradication supprime la cause : mot de passe compromis, règle de transfert mail, logiciel malveillant, faille non corrigée, accès VPN oublié. La restauration remet l’activité en route, idéalement depuis des sauvegardes saines, puis le retour d’expérience transforme l’incident en plan d’amélioration.
Les bons réflexes dans les premières 24 heures
Le premier réflexe n’est pas de “nettoyer”. C’est de stabiliser. Ouvrez un journal chronologique avec date, heure, personne, action et observation. L’ANSSI le recommande aux TPE/PME, et c’est très utile pour l’assureur, la CNIL, le prestataire technique ou un éventuel dépôt de plainte.
- Isoler les machines ou comptes suspects sans les éteindre si possible.
- Changer les mots de passe depuis un poste sain, en priorité messagerie, administrateurs, hébergement, sauvegardes et banque.
- Vérifier l’intégrité des sauvegardes avant toute restauration.
- Conserver les preuves : captures, journaux, emails, adresses IP, horodatage, fichiers suspects.
- Prévenir l’assureur cyber si un contrat existe, car certains imposent un circuit de déclaration rapide.
- Évaluer si des données personnelles sont concernées pour déclencher l’analyse RGPD.
Sur les projets que nous menons, nous voyons souvent le même piège : l’entreprise restaure un site ou un serveur depuis une sauvegarde, mais garde le compte administrateur compromis. Résultat : l’attaquant revient. À ce moment-là, le coût double presque mécaniquement, car il faut refaire l’analyse et regagner la confiance des équipes.
CNIL, preuves, assurance : les obligations à ne pas rater
Si l’incident touche des données personnelles, le RGPD (règlement européen sur les données personnelles, applicable depuis 2018) impose de documenter toutes les violations en interne. Quand il existe un risque pour les personnes, la CNIL doit être notifiée dans les 72 heures si possible. En cas de risque élevé, les personnes concernées doivent aussi être informées rapidement.
Le délai de 72 heures ne démarre pas au premier soupçon vague. Selon la CNIL, il commence lorsque le responsable de traitement a un degré raisonnable de certitude qu’un incident a eu lieu et qu’il concerne des données personnelles. Une notification initiale peut être complétée ensuite si l’enquête continue. C’est rassurant, mais cela suppose de documenter sérieusement dès le début.
L’assurance cyber mérite un point séparé. Certaines polices couvrent l’assistance technique, la perte d’exploitation, les frais juridiques ou la communication de crise, mais les exclusions sont nombreuses : absence de sauvegardes, MFA (authentification multifacteur) non activée, systèmes non maintenus. Avant un sinistre, relire les garanties et pièges d’une cyberassurance PME évite de croire qu’un contrat paiera tout.
Côté communication, mieux vaut parler peu mais juste. L’ANSSI a publié en 2026 une version actualisée de son guide de communication de crise cyber avec fiches et checklist. Pour une PME, le bon niveau est souvent sobre : reconnaître l’incident, dire ce qui est fait, éviter les hypothèses, orienter les clients si une action est requise.
Quel prestataire appeler, et à quel prix s’attendre ?
Pour une PME, trois niveaux d’aide existent. D’abord le prestataire informatique habituel, utile s’il connaît votre parc, vos sauvegardes et vos accès. Ensuite les professionnels référencés via Cybermalveillance.gouv.fr, que l’ANSSI recommande pour le diagnostic et l’orientation de proximité, avec l’appui possible des CMA ou CCI. Enfin les prestataires PRIS, c’est-à-dire les prestataires de réponse aux incidents de sécurité qualifiés par l’ANSSI.
Les PRIS interviennent sur des incidents sensibles ou complexes : recherche d’indicateurs de compromission, investigation numérique, analyse de malware (logiciel malveillant), coordination des investigations, qualification du périmètre compromis et recommandations de remédiation. Le catalogue ANSSI 2025 cite notamment PricewaterhouseCoopers Advisory, Sopra Steria Infrastructures and Security Services, Thales Cyber Solutions et Wavestone ; des acteurs comme Capgemini, Lexfo, Synacktiv ou Synetis figurent aussi parmi les projets de qualification rendus publics en 2026.
| Situation | Intervenant probable | Délai réaliste | Budget indicatif France |
|---|---|---|---|
| Compte mail compromis sans fuite avérée | Prestataire IT ou cybersécurité locale | Quelques heures à 1 jour | Autour de 500 à 2 000 € |
| Site WordPress infecté ou défacé | Agence web sécurisée ou spécialiste incident web | 1 à 3 jours | Autour de 800 à 4 000 € |
| Ransomware sur plusieurs postes | Prestataire cybersécurité, parfois CSIRT territorial | 3 à 10 jours pour redémarrer partiellement | Souvent 5 000 à 30 000 € selon périmètre |
| Fuite de données clients ou attaque étendue | Équipe spécialisée, éventuellement PRIS | 1 à 4 semaines | Plusieurs dizaines de milliers d’euros |
Ces fourchettes ne sont pas des tarifs officiels. Elles reflètent des ordres de grandeur observés sur le marché français selon les prestataires, la taille du système et l’urgence. Honnêtement, à moins d’un incident grave, un PRIS n’est pas toujours le bon premier appel pour une petite structure : mieux vaut parfois une équipe réactive, proche, capable de sécuriser l’essentiel vite et proprement.
Sauvegardes, accès, hébergement : la préparation qui réduit la facture
La sauvegarde est le sujet le moins glamour, et souvent le plus rentable. L’ANSSI rappelle que des sauvegardes intactes permettent un redémarrage rapide après chiffrement par ransomware, et recommande des sauvegardes régulières non connectées. Une sauvegarde synchronisée en permanence dans le cloud peut être chiffrée en même temps que le reste. Mauvaise surprise.
Pour un site e-commerce, une application métier ou un extranet, le plan doit préciser les dépendances : hébergeur, base de données, DNS, CDN (réseau de diffusion comme Cloudflare), emails transactionnels, prestataire de paiement, dépôt de code GitHub ou GitLab. Une attaque sur un seul compte administrateur peut bloquer toute la chaîne. Les accès numériques à distance méritent donc une attention particulière, surtout pour les équipes hybrides ; le sujet est détaillé dans ce guide sur la sécurisation des accès distants.
Les attaques les plus coûteuses partent encore souvent d’un email. Former les équipes reste utile, à condition de ne pas transformer la cybersécurité en culpabilisation permanente. Une démarche de sensibilisation au phishing adaptée aux équipes réduit le nombre d’incidents sans bloquer le travail quotidien.
Un autre arbitrage revient souvent : investir dans la prévention ou garder du budget pour la crise ? Les deux, mais pas au même niveau. Pour une PME, quelques milliers d’euros par an sur MFA, sauvegardes testées, supervision de base et mises à jour valent mieux qu’un audit très ambitieux jamais suivi d’actions.
Rôles et contacts : le plan court que la direction doit posséder
Un plan de réponse à incident cyber efficace tient parfois sur cinq pages. Il nomme les décideurs, les remplaçants, les prestataires, l’assureur, l’avocat si nécessaire, l’hébergeur, la banque, le DPO (responsable protection des données) ou son équivalent. Pas besoin d’un classeur que personne ne lira.
L’ANSSI met aussi en avant les CSIRT territoriaux, centres de réponse de premier niveau présents dans les régions françaises, avec un réseau de 12 CSIRT territoriaux et 3 centres ultramarins destinés à le devenir. Pour une PME sans équipe cyber interne, c’est une porte d’entrée utile, notamment pour l’orientation et les premiers réflexes.
Côté agence, le réflexe est de séparer très vite l’urgence technique et la reprise business. Peut-on remettre en ligne une version statique du site ? Peut-on basculer temporairement les emails ? Faut-il suspendre une fonctionnalité de paiement plutôt que tout arrêter ? La meilleure réponse n’est pas toujours la restauration complète immédiate.
Cadrer ce type de projet en amont évite la plupart des mauvaises surprises : accès, sauvegardes, responsabilités, scénarios de reprise, messages prêts à adapter. C’est souvent là qu’un regard extérieur fait gagner du temps, surtout quand le site web, l’application métier et l’hébergement sont liés.
FAQ sur la réponse à incident cyber
Que faire en premier après une cyberattaque en PME ?
Isolez les équipements ou comptes suspects sans effacer les preuves, ouvrez un journal chronologique et appelez votre prestataire ou un service d’orientation comme Cybermalveillance.gouv.fr. Ne réinstallez pas avant d’avoir compris le périmètre touché.
Faut-il éteindre un ordinateur infecté par ransomware ?
Pas automatiquement. L’ANSSI recommande de préserver les preuves et de ne pas modifier les équipements attaqués ; déconnecter du réseau est souvent préférable à l’extinction brutale, sauf risque matériel ou consigne d’un expert.
Quand faut-il déclarer une violation de données à la CNIL ?
Si des données personnelles sont concernées et qu’il existe un risque pour les personnes, la notification doit être faite à la CNIL dans les 72 heures si possible. Toutes les violations doivent au minimum être documentées en interne.
Combien coûte une réponse à incident cyber pour une PME ?
Un incident limité peut coûter autour de 500 à 4 000 €. Un ransomware ou une fuite de données peut monter à plusieurs dizaines de milliers d’euros, surtout si l’arrêt d’activité, le juridique et la communication s’ajoutent à l’intervention technique.
Un prestataire PRIS est-il obligatoire ?
Non. Les prestataires PRIS qualifiés par l’ANSSI sont adaptés aux incidents sensibles ou complexes, mais une PME peut d’abord passer par son prestataire, Cybermalveillance.gouv.fr ou un CSIRT territorial selon la gravité.