Crise cyber : les deux réflexes qui sauvent une organisation

Deux piliers, pas dix

Face à une crise cyber, la littérature sur la gestion de crise peut vite devenir un empilement de bonnes pratiques difficile à retenir au moment où il faut agir. En pratique, la survie d'une organisation en pleine crise cyber tient à deux réflexes, pas dix : la transparence radicale et la diligence. Le reste — cellule de crise, plan de communication, coordination technique — s'organise plus facilement une fois ces deux principes posés en amont, avant qu'un incident ne survienne.

La transparence radicale : dire la vérité, immédiatement

La transparence radicale, c'est communiquer ce qui est su, dès que c'est su — pas une fois que tout est confirmé, pas une fois que la communication a été polie pour minimiser l'impact perçu. Le flou volontaire (parler d'un « incident technique » plutôt que nommer ce qui s'est réellement passé) ne protège jamais durablement une organisation. Il retarde simplement le moment où la confiance se rompt — et quand elle se rompt sur la base d'un décalage entre la communication et les faits, elle se rompt plus fort que si l'organisation avait annoncé la mauvaise nouvelle elle-même.

Une communication de crise réussie n'est pas une communication sans mauvaise nouvelle. C'est une communication où la mauvaise nouvelle vient de l'organisation elle-même, avant que quelqu'un d'autre ne la révèle à sa place.

La diligence : la preuve de l'effort, pas la promesse

La diligence, c'est démontrer que tout ce qui était raisonnablement possible a été mis en œuvre avant que l'incident ne survienne — et non pas seulement affirmer que ce sera fait à l'avenir. Une organisation qui peut documenter ses mesures de sécurité antérieures à l'incident se trouve dans une position radicalement différente de celle qui découvre, au moment de la crise, qu'elle ne peut rien prouver de ce qu'elle avait mis en place.

Se murer dans le silence ou minimiser l'ampleur d'un incident n'est jamais interprété comme de la prudence. C'est perçu — à raison — comme l'aveu d'une absence de maîtrise réelle de la situation.

Trois cas récents, trois lectures différentes

Trois incidents rendus publics récemment illustrent des points différents de ces deux principes — aucun n'est un cas d'école parfait ni un simple mauvais exemple, ce qui les rend plus utiles à regarder de près que des cas caricaturaux.

La Collectivité territoriale de Martinique, victime d'une cyberattaque en mai 2023, a communiqué vite sur la continuité de service : le directeur général des services a nommément assuré que les prestations sociales seraient versées, avec un mécanisme concret (reconduction des données de paie du mois précédent). C'est une transparence réelle sur les conséquences opérationnelles pour les administrés. Elle est en revanche restée plus discrète sur l'ampleur exacte de l'attaque elle-même — la question d'une rançon versée a circulé sans que le montant soit confirmé publiquement. Communiquer sur les conséquences pour les usagers ne dispense pas de communiquer sur l'incident lui-même.

France Link, hébergeur victime d'une attaque par rançongiciel le 28 juillet 2025 (le groupe Akira, plus de 90 % des serveurs chiffrés), a fait preuve d'une diligence réglementaire solide : notification à la CNIL, à l'ANSSI et dépôt de plainte dans les 72 heures prévues par le cadre légal. Le rapport d'incident détaillé à destination des clients, en revanche, n'a été publié que deux semaines après l'attaque — un délai vécu très différemment selon qu'on regarde depuis l'intérieur (la diligence réglementaire était bien là) ou depuis l'extérieur, en tant que client sans visibilité pendant deux semaines. C'est un cas vécu de première main : l'hébergement d'une startup où j'interviens comme CIO fractionné dépendait directement de cette infrastructure, avec l'attente que cela suppose avant d'obtenir une explication complète.

Le ministère de l'Éducation nationale, touché par une troisième cyberattaque en six mois fin juillet 2026, a publié à chaque fois un communiqué factuel et précis sur la nature des données concernées — y compris sur ce qui n'avait pas été touché, un détail qui compte pour rassurer sans exagérer la gravité. La difficulté n'est pas dans la communication de cet incident précis, mais dans sa répétition : après avoir affirmé, lors des attaques précédentes, avoir « engagé depuis plusieurs mois des démarches pour renforcer la sécurité », la troisième occurrence en six mois interroge davantage la diligence réelle que la sincérité de la communication.

Ce que ces trois cas ont en commun : la transparence sur un incident et la diligence qui la précède ne s'évaluent jamais isolément l'une de l'autre. Une communication honnête sur un incident ne suffit pas si la diligence qui aurait dû l'empêcher n'était pas au rendez-vous — et une diligence réelle mais mal communiquée laisse les parties concernées dans l'incertitude au moment où elles en ont le plus besoin.

Pourquoi ces deux principes se travaillent avant la crise

Ni la transparence radicale ni la diligence ne s'improvisent au moment où l'incident survient. La transparence suppose des canaux de communication et une chaîne de validation déjà pensés en amont — sans quoi la première réaction, sous pression, est presque toujours de minimiser. La diligence suppose une documentation des mesures de sécurité tenue à jour en continu, pas reconstituée dans l'urgence pour les besoins de la communication de crise.

Une organisation ne gère pas une crise cyber avec des éléments de langage improvisés au moment des faits. Elle la gère avec ce qu'elle a construit — en matière de rigueur technique comme de posture de communication — bien avant que la crise n'arrive.