Plan de réponse à incident :
le template complet
pour PME en 2026
Quand l’incident survient, vous n’avez plus le temps de réfléchir — seulement d’exécuter. Voici le plan de réponse à incident basé sur les cadres NIST et ANSSI, prêt à adapter en une demi-journée, qui vous dit précisément qui fait quoi, dans quel ordre, et avec quels délais légaux à respecter.
Pourquoi sous-estimer ce document coûte cher : de nombreuses organisations sous-estiment l’importance de ce processus, croyant qu’elles ne seront jamais victimes d’une attaque. Pourtant, l’anticipation — incluant des procédures écrites mais aussi la formation continue des équipes — est un investissement stratégique, pas une dépense optionnelle.
Le cadre NIST en 4 phases — la référence mondiale
Vous n’avez pas besoin de réinventer une méthodologie. Le Computer Security Incident Handling Guide du NIST est largement considéré comme l’une des sources faisant autorité pour la planification de la réponse à incident, et structure le cycle en quatre phases.
Préparation
Avant l’incident : réduire les vulnérabilités, définir les rôles et responsabilités, mettre à jour les systèmes, former les équipes. Cette phase exige inventaire, formation et conservation des journaux selon des règles précises — c’est ce que ce template formalise.
Détection et analyse
Identifier qu’un incident est en cours, qualifier sa nature et sa gravité. Selon l’ANSSI, cette qualification précoce permet d’éviter des actions inappropriées sous pression — ne pas paniquer, mais documenter et analyser méthodiquement.
Confinement, éradication, récupération
Isoler les systèmes touchés pour stopper la propagation, éliminer la menace (malware, accès compromis), puis restaurer les systèmes à partir de sauvegardes saines et vérifiées.
Activité post-incident
Analyse des causes racines, documentation du retour d’expérience, mise à jour du plan et des mesures de sécurité pour éviter une récidive. C’est la phase la plus souvent négligée — et la plus précieuse.
Alternative : le cadre SANS en 6 étapes. Le guide Incident Management 101 du SANS Institute découpe la même logique en six étapes : préparation, identification, confinement, éradication, récupération et retour d’expérience. Les deux cadres sont équivalents dans le fond — le NIST en 4 phases reste néanmoins le plus simple à adapter pour une PME.
Les délais légaux à respecter — la partie qui ne pardonne pas
Au-delà de la gestion technique, trois délais réglementaires distincts s’appliquent en France. Les confondre ou les ignorer peut transformer un incident gérable en sinistre juridique et financier.
Notification CNIL (RGPD)
Si des données à caractère personnel sont compromises, la CNIL doit être notifiée dans les 72 heures suivant la prise de connaissance de la violation, via notifications.cnil.fr.
Dépôt de plainte (loi LOPMI)
Pour conditionner l’indemnisation d’une éventuelle rançon par votre assureur cyber, déposez plainte sous 72 heures. Ce délai protège aussi votre responsabilité en déclenchant une enquête officielle.
+72h
Notification ANSSI (NIS2)
Pour les entités essentielles et importantes soumises à la loi Résilience : alerte précoce sous 24 heures, puis rapport intermédiaire détaillé sous 72 heures après détection d’un incident significatif.
Ces trois délais peuvent courir simultanément selon la nature de l’incident. C’est pourquoi le plan doit lister ces obligations à l’avance, avec les liens et contacts directs — pas les chercher en pleine crise.
Avant de formaliser votre plan
Votre organisation a-t-elle les bases en place ?
Notre diagnostic évalue vos fondamentaux avant la mise en place du plan de réponse.
Rapport PDF immédiat · Conforme ANSSI
Qui fait quoi : la matrice RACI pour une PME
Un sponsor exécutif, un responsable de la réponse à incident et des équipes techniques doivent être formalisés nommément. La matrice RACI (Responsable, Approbateur, Consulté, Informé) clarifie les rôles avant que la pression de la crise ne brouille les responsabilités.
| Action | Dirigeant | Resp. IT | Communication | Juridique/DPO |
|---|---|---|---|---|
| Détecter et qualifier l’incident | I | R | I | I |
| Décider de couper les systèmes | A | R | I | C |
| Décider de payer ou non une rançon | A | C | I | C |
| Notifier la CNIL sous 72h | I | C | I | R |
| Déposer plainte (LOPMI) | A | C | I | R |
| Communiquer envers les clients | A | I | R | C |
| Restaurer les systèmes | I | R | I | I |
| Rédiger le retour d’expérience | C | R | I | I |
R = Réalise · A = Approuve/décide · C = Consulté · I = Informé. Dans une petite PME, une même personne peut cumuler plusieurs rôles — l’essentiel est que chaque case soit assignée nommément, avec un suppléant désigné.
Le template complet — prêt à copier et adapter
Voici la structure complète de votre plan de réponse à incident. Remplacez les champs en italique par vos informations réelles.
Modèle — Plan de Réponse à Incident
PLAN DE RÉPONSE À INCIDENT — [NOM DE L’ENTREPRISE] — V1.0
Objet et déclencheurs
Ce plan s’applique à tout événement de sécurité affectant la confidentialité, l’intégrité ou la disponibilité du système d’information de [NOM ENTREPRISE]. Constitue un incident : ransomware, accès non autorisé, fuite de données, déni de service, fraude informatique, panne majeure d’origine malveillante.
Équipe de réponse et coordonnées
Responsable de la réponse à incident : [Nom, téléphone direct]
Suppléant : [Nom, téléphone direct]
Sponsor exécutif (décisionnaire) : [Nom du dirigeant, téléphone]
Prestataire IT externe : [Nom, contrat, téléphone]
Référent juridique/RGPD : [Nom ou cabinet, téléphone]
Contacts d’urgence externes
Cybermalveillance.gouv.fr (assistance) : 3018
Assureur cyber, cellule sinistres : [Numéro dédié]
Gendarmerie/commissariat (dépôt de plainte) : [Coordonnées locales]
ANSSI (si entité régulée NIS2) : messervicescyber.gouv.fr
Phase 1 — Détection et qualification (0 à 2h)
Toute personne constatant une anomalie alerte immédiatement [responsable désigné]. Le responsable qualifie la gravité selon 3 niveaux : mineur / majeur / critique. Il documente l’heure de détection, les premiers symptômes observés, les systèmes apparemment touchés.
Phase 2 — Confinement (2 à 6h)
Déconnecter les postes/serveurs concernés du réseau SANS les éteindre (préserve les preuves en mémoire). Désactiver les comptes potentiellement compromis. Couper les accès distants si nécessaire. Ne jamais reformater ni réinstaller à ce stade.
Phase 3 — Éradication et récupération (6h à plusieurs jours)
Identifier et éliminer la cause racine (malware, faille exploitée, compte compromis) avec l’appui du prestataire IT. Restaurer les systèmes à partir des sauvegardes les plus récentes et saines. Vérifier l’intégrité avant remise en service complète.
Obligations de notification
Si données personnelles compromises : notification CNIL sous 72h (notifications.cnil.fr). Si décision de porter plainte : sous 72h pour préserver l’indemnisation assurance (loi LOPMI). Si entité NIS2 : alerte ANSSI sous 24h puis rapport sous 72h.
Communication
Communication interne assurée par [Nom]. Communication externe (clients, partenaires, presse) validée exclusivement par [Dirigeant] avant diffusion. Aucune déclaration publique sans validation préalable.
Retour d’expérience (sous 15 jours après résolution)
Réunion de débriefing obligatoire : cause racine identifiée, délai de chaque phase, ce qui a fonctionné, ce qui doit être amélioré. Mise à jour du présent plan et des mesures de sécurité en conséquence.
Révision et tests
Ce plan est testé par un exercice de simulation au moins une fois par an. Il est révisé après chaque incident réel, exercice de simulation, ou changement significatif de l’infrastructure.
Fait à [Ville], le [Date]
Validé par la direction : [Nom, fonction]
Playbook spécifique — que faire en cas de ransomware
Le ransomware reste le scénario le plus fréquent pour une PME. Voici la déclinaison opérationnelle, heure par heure, à intégrer en annexe de votre plan.
Isoler immédiatement, sans éteindre
Débrancher le câble réseau ou désactiver le Wi-Fi du poste touché. Ne pas éteindre l’ordinateur — la mémoire vive contient des preuves utiles pour l’analyse forensique.
Alerter le responsable désigné
Selon la procédure de la section 4. Documenter immédiatement : heure exacte, message de demande de rançon (capture d’écran), extension des fichiers chiffrés.
Ne jamais payer dans l’urgence
L’ANSSI recommande de ne jamais payer la rançon — rien ne garantit la récupération des données, et cela finance les groupes criminels. La décision, si elle est envisagée, doit être prise par la direction en lien avec l’assureur, jamais sous pression immédiate.
Contacter cybermalveillance.gouv.fr (3018)
Service gratuit d’assistance technique qui peut orienter vers un prestataire qualifié et confirmer si une clé de déchiffrement existe déjà pour la variante de ransomware identifiée.
Vérifier l’intégrité des sauvegardes externalisées
Confirmer que la copie externalisée n’a pas été atteinte par le chiffrement. C’est le moment de vérité de votre stratégie de sauvegarde — d’où l’importance des tests de restauration réguliers documentés en amont.
Déposer plainte sous 72h
Enregistrez l’incident auprès des autorités pour déclencher une enquête et protéger votre responsabilité, et conditionner l’indemnisation par votre assureur conformément à la loi LOPMI.
Restaurer puis durcir avant remise en service
Restaurer depuis la sauvegarde saine la plus récente. Avant de remettre les systèmes en production, corriger la faille d’entrée identifiée — sinon le même incident se reproduira dans les jours suivants.
Une fois votre plan rédigé
Testez la cohérence avec votre niveau réel de préparation
Notre rapport identifie les écarts entre votre plan et vos capacités actuelles.
Conforme ANSSI · Résultat immédiat
Checklist de validation avant publication
✓ Avant de considérer votre plan opérationnel
- Chaque rôle de la matrice RACI est-il assigné à une personne nommée, avec un suppléant désigné en cas d’absence ?
- Les numéros de téléphone (assureur, prestataire IT, autorités) sont-ils à jour et vérifiés dans les 3 derniers mois ?
- Le plan est-il accessible sans accès au système d’information compromis — version imprimée ou stockage totalement séparé ?
- Les trois délais légaux (CNIL 72h, LOPMI 72h, ANSSI 24h/72h si applicable) sont-ils clairement écrits, pas seulement connus de mémoire ?
- Un exercice de simulation a-t-il été réalisé dans les 12 derniers mois pour tester le plan en conditions réelles ?
- Le plan référence-t-il votre PCA/PRA de manière cohérente, sans contradiction sur les délais de reprise ?
Questions fréquentes
Quelle est la différence entre un plan de réponse à incident et un PCA ?
Le plan de réponse à incident est centré sur la gestion technique et organisationnelle de l’incident lui-même : détection, confinement, éradication, retour à la normale. Le PCA (Plan de Continuité d’Activité) est plus large : il vise à maintenir les fonctions vitales de l’entreprise pendant la crise, au-delà du seul aspect technique — facturation en mode dégradé, communication client, gestion de trésorerie. Les deux documents sont complémentaires et doivent se référencer mutuellement.
Quels sont les délais légaux à respecter en cas d’incident ?
Trois délais distincts à connaître : notification à la CNIL sous 72h en cas de violation de données personnelles (RGPD), dépôt de plainte sous 72h pour conditionner l’indemnisation d’une éventuelle rançon par votre assureur (loi LOPMI), et notification à l’ANSSI sous 24h puis 72h pour les entités essentielles et importantes soumises à NIS2 et à la loi Résilience.
Faut-il payer la rançon en cas de ransomware ?
L’ANSSI recommande de ne jamais payer la rançon : rien ne garantit la récupération effective des données, le paiement finance les groupes criminels, et peut vous classer comme cible facile pour de futures attaques. La décision reste celle de la direction, idéalement en lien avec l’assureur et les autorités, mais elle doit être anticipée dans le plan de réponse plutôt que prise dans l’urgence et sous pression psychologique.
Combien de personnes faut-il pour faire fonctionner ce plan dans une petite PME ?
Dans une PME de moins de 20 salariés, une seule personne peut cumuler plusieurs rôles du plan — par exemple le dirigeant assure à la fois la décision et la communication. L’essentiel n’est pas le nombre de personnes mais que chaque rôle de la matrice RACI soit assigné nommément à quelqu’un, avec un suppléant désigné, plutôt que laissé vague ou présumé collectif.
Votre plan est rédigé ?
Vérifiez maintenant votre préparation réelle
Score de maturité · Plan d’action · Rapport PDF immédiat.
Conforme ANSSI · Résultat immédiat · Sans engagement