Une cyberattaque est d’abord un incident technique, mais elle devient une crise de communication dès que des clients, des salariés ou des partenaires sont concernés. La gestion de crise cyber côté communication consiste à savoir qui informer, dans quel ordre, avec quels mots, et surtout à le préparer avant que la messagerie ne soit inaccessible. Cette fiche traite l’aspect communication, pas la réponse technique.
Ce qu’une cyberattaque change pour la communication
Une attaque prive souvent l’entreprise de ses outils habituels : messagerie, annuaire, site web, téléphonie. Les faits sont longs à établir, car l’enquête technique prend du temps. Enfin, des données de tiers peuvent être concernées, ce qui déclenche des obligations vis-à-vis des personnes et des autorités. Il faut donc communiquer vite, avec des informations partielles, sur des canaux de secours.
Les obligations à connaître
Cette section donne des repères, pas un avis juridique : les obligations dépendent de votre situation et évoluent. Vérifiez-les auprès des sources officielles et d’un conseil.
Notification à la CNIL en cas de violation de données
Lorsqu’une violation touche des données personnelles, le règlement général sur la protection des données (RGPD) prévoit, lorsque la violation présente un risque pour les personnes, une notification à l’autorité de contrôle, la CNIL, dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance. Une information des personnes concernées est requise en cas de risque élevé. Si vous dépassez ce délai, il faut en indiquer les raisons, et une notification initiale peut être complétée ensuite. La CNIL détaille les règles à suivre et propose un téléservice de notification. Tenez un registre interne de toutes les violations, même celles que vous ne notifiez pas.
Signalement à l’ANSSI et dépôt de plainte
Le dispositif national Cybermalveillance.gouv.fr propose une assistance aux victimes, dont la plateforme 17Cyber : un diagnostic en ligne, puis un échange avec un policier ou un gendarme si l’incident est confirmé. Son guide pour les dirigeants recommande notamment d’alerter son équipe informatique, d’isoler les systèmes touchés, de tenir un journal des événements, de déposer plainte et de prévenir son assureur et sa banque. Il déconseille de payer une rançon. Demandez conseil à un avocat sur le moment et la forme du dépôt de plainte.
Qui informer, et dans quel ordre
Un ordre simple évite d’apprendre une mauvaise nouvelle par la presse.
Salariés, clients, partenaires
- Les salariés d’abord : consignes concrètes (ne pas ouvrir telle pièce jointe, changer son mot de passe, ne pas répondre à la presse).
- Les clients et partenaires concernés ensuite, directement, avant toute communication publique.
- Le grand public et la presse en dernier, avec un message court.
Autorités, assureur cyber, prestataires
Prévenez votre assureur sans attendre si vous avez un contrat cyber : les contrats prévoient souvent un délai de déclaration : relisez le vôtre dès maintenant, bien avant l’incident. Contactez aussi votre prestataire informatique et, si besoin, un prestataire spécialisé en réponse à incident.
Préparer les messages à l’avance
Rédigez à froid trois modèles à compléter :
- message aux salariés : ce qui se passe, ce qu’ils doivent faire, qui contacter ;
- message aux clients : ce qui est établi, quelles données sont éventuellement concernées, quoi faire de leur côté, quand vous reviendrez vers eux ;
- message public : trois à cinq phrases, factuelles.
Prévoyez aussi des canaux de secours : une liste de contacts imprimée, une messagerie externe ou des numéros de téléphone personnels connus de la cellule. La composition de la cellule de crise doit anticiper le cas où les outils habituels sont indisponibles.
Que dire, et que ne pas dire
Un message efficace en début de crise cyber tient en quelques éléments : un incident informatique est en cours, certains services sont indisponibles, des experts sont mobilisés, les autorités compétentes sont informées ou le seront, voici les consignes immédiates, voici quand nous reviendrons vers vous. Il n’avance ni cause, ni responsable, ni montant de rançon, ni garantie sur l’étendue des données touchées.
À l’inverse, évitez de dire que « tout est sous contrôle » ou que « les données sont protégées » tant que ce n’est pas vérifié. Un message rectifié le lendemain coûte plus cher en confiance qu’un message prudent. Si une demande de rançon est en jeu, demandez conseil à des spécialistes et aux autorités avant toute prise de parole sur ce sujet.
Le piège de la communication trop détaillée
Dans les premières heures, détailler les causes ou le mode opératoire est risqué : vous pouvez vous tromper, aider les attaquants ou engager votre responsabilité. Dites ce qui est établi (un incident informatique est en cours, des mesures sont prises, vous revenez à telle heure), sans avancer d’hypothèse. Évitez aussi de minimiser : « aucune donnée n’a été touchée » ne se dit que si c’est vérifié.
Checklist de préparation
- Contacts clés imprimés (cellule, prestataire informatique, assureur, avocat)
- Trois modèles de messages rédigés et validés
- Canal de secours testé
- Registre des violations de données en place
- Procédure de notification vérifiée sur les sites officiels
- Exercice de simulation effectué dans l’année
Les rubriques Préparer, Réagir et la page d’accueil permettent d’enchaîner avec les autres fiches. Cette fiche ne remplace pas l’avis d’un avocat ou d’un spécialiste de la sécurité.