Crise cyber : les deux réflexes qui sauvent une organisation

Face à une attaque informatique majeure (ce qu'on appelle une crise cyber), les guides de gestion de crise alignent vite des dizaines de bonnes pratiques, impossibles à retenir au moment d'agir. En réalité, la survie d'une organisation tient à deux réflexes, pas dix : la transparence radicale et la diligence. Le reste (cellule de crise, plan de communication, coordination technique) s'organise bien plus facilement quand ces deux principes sont posés avant l'incident.

La transparence radicale : dire la vérité, tout de suite

Cela consiste à communiquer ce que l'on sait dès qu'on le sait, sans attendre que tout soit confirmé et sans polir le message pour minimiser l'impact. Parler d'un « incident technique » plutôt que de nommer ce qui s'est passé ne protège jamais longtemps. Cela retarde seulement le moment où la confiance se brise. Et quand elle se brise à cause d'un écart entre ce qui a été dit et la réalité, elle se brise plus fort que si l'organisation avait annoncé elle-même la mauvaise nouvelle.

Une bonne communication de crise n'est pas une communication sans mauvaise nouvelle. C'est une communication où la mauvaise nouvelle vient de l'organisation, avant que quelqu'un d'autre ne la révèle à sa place.

La diligence : montrer l'effort, pas promettre

La diligence, c'est avoir fait ce qu'il était raisonnable de faire avant l'incident, et pouvoir le prouver. Pas seulement affirmer que ce sera fait à l'avenir. Une organisation qui peut documenter les mesures de sécurité mises en place avant l'attaque est dans une tout autre position que celle qui découvre, en pleine crise, qu'elle ne peut rien démontrer.

Se taire ou minimiser n'est jamais pris pour de la prudence. On le lit, à raison, comme l'aveu qu'on ne maîtrise pas la situation.

Trois cas récents, trois lectures

Trois incidents rendus publics montrent des facettes différentes de ces principes. Aucun n'est un cas d'école parfait, ni un simple contre-exemple, ce qui les rend plus instructifs que des cas caricaturaux.

La Collectivité territoriale de Martinique a subi une cyberattaque en mai 2023. Elle a communiqué vite sur la continuité du service : le directeur général des services a assuré nommément que les prestations sociales seraient versées, avec un mécanisme concret (reconduction des données de paie du mois précédent). C'est de la vraie transparence sur les conséquences pour les habitants. Elle est en revanche restée plus discrète sur l'ampleur de l'attaque elle-même, et la question d'une rançon versée a circulé sans jamais être confirmée publiquement. Informer sur les conséquences pour les usagers ne dispense pas de parler de l'incident.

France Link, un hébergeur (une entreprise qui héberge les sites et applications d'autres sociétés), a été victime d'une attaque par rançongiciel le 28 juillet 2025. Un rançongiciel bloque vos fichiers et réclame de l'argent pour les débloquer. Le groupe criminel Akira a chiffré plus de 90 % des serveurs. Sur le plan réglementaire, la diligence a été solide : notification à la CNIL (la Commission nationale de l'informatique et des libertés, qui veille sur les données personnelles), à l'ANSSI (l'agence nationale de la sécurité des systèmes d'information) et dépôt de plainte dans les 72 heures prévues par la loi. En revanche, le rapport détaillé destiné aux clients n'est sorti que deux semaines après l'attaque. Ce délai ne se vit pas de la même façon de l'intérieur, où la diligence était réelle, et de l'extérieur, quand on est client et sans nouvelles pendant quinze jours. Je l'ai vécu de près : l'hébergement d'une startup où j'interviens comme directeur informatique à temps partiel (un « CIO fractionné ») dépendait directement de cette infrastructure. Il a fallu attendre pour obtenir une explication complète.

Le ministère de l'Éducation nationale a subi une troisième cyberattaque en six mois fin juillet 2026. À chaque fois, il a publié un communiqué factuel et précis sur la nature des données concernées, y compris sur ce qui n'avait pas été touché, un détail qui rassure sans exagérer la gravité. La difficulté n'est pas dans la communication de cet incident, mais dans la répétition. Après avoir affirmé, lors des attaques précédentes, avoir « engagé depuis plusieurs mois des démarches pour renforcer la sécurité », une troisième attaque en six mois interroge davantage la diligence réelle que la sincérité du message.

Ces trois cas ont un point commun : on n'évalue jamais la transparence et la diligence l'une sans l'autre. Une communication honnête ne suffit pas si les efforts qui auraient dû éviter l'attaque n'étaient pas au rendez-vous. Et un effort réel mal expliqué laisse les personnes concernées dans l'incertitude, au moment où elles en ont le plus besoin.

Pourquoi tout se joue avant la crise

Ni la transparence ni la diligence ne s'improvisent le jour de l'incident. La transparence demande des canaux de communication et une chaîne de validation pensés à l'avance. Sans cela, le premier réflexe sous pression est presque toujours de minimiser. La diligence demande une documentation des mesures de sécurité tenue à jour en continu, pas reconstituée dans l'urgence pour les besoins de la communication.

Une organisation ne gère pas une crise avec des éléments de langage inventés sur le moment. Elle la gère avec ce qu'elle a construit avant, en rigueur technique comme en posture de communication.