Il est 7 h 45, un mardi. Votre responsable production vous appelle : les postes ne démarrent plus, un message en rouge demande une rançon. Ransomware. Dans les quatre heures qui suivent, la façon dont vous réagissez déterminera si vous perdez deux jours ou deux mois de chiffre d'affaires — voire si l'entreprise survit. Pourtant, selon le baromètre de maturité cyber TPE-PME de Cybermalveillance.gouv.fr (2025), seuls 24 % des PME disposent de procédures de réponse à incident documentées. Ce guide vous donne la méthode pour faire partie de ces 24 % — sans armée de consultants.
Pourquoi les PME sont particulièrement exposées en 2026
Le Panorama de la cybermenace 2025 de l'ANSSI recense 1 366 incidents traités, dont 48 % de compromissions par rançongiciel visant des petites structures. Le message est clair : les attaquants ne ciblent plus seulement les grands groupes. Ils automatisent leurs campagnes et les PME, souvent moins protégées, sont les proies les plus accessibles.
Les chiffres sont brutaux : le coût moyen d'une attaque ransomware sur une PME oscille entre 130 000 et 250 000 € (interruption d'activité incluse), et 60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois. Pourtant 80 % des dirigeants de PME reconnaissent ne pas se sentir suffisamment préparés — un paradoxe mortifère.
Le 11e baromètre du CESIN (2026) signale par ailleurs que 45 % des entreprises externalisent désormais leur CERT/CSIRT, signe que la gestion de crise cyber s'industrialise — y compris pour des structures de taille intermédiaire.
Qu'est-ce qu'un plan de réponse à incident cyber ?
Un plan de réponse à incident (PRI), ou Incident Response Plan (IRP), est un document opérationnel qui décrit qui fait quoi, dans quel ordre, avec quels moyens, dès qu'une cyberattaque est suspectée ou confirmée. Il couvre six phases issues des référentiels NIST SP 800-61 et ANSSI : préparation, détection, confinement, éradication, reprise, retour d'expérience.
Le PRI n'est pas un document de conformité à ranger dans un tiroir. C'est un outil de commandement en situation de crise, conçu pour être utilisé quand les esprits sont sous pression et que chaque minute compte.
Phase 1 — Préparation : le travail qui se fait hors crise
C'est la phase la plus longue et la plus sous-estimée. Elle conditionne l'efficacité de toutes les autres. À faire avant toute alerte :
Constituer une cellule de crise restreinte : un décideur (dirigeant ou DG), un référent technique (DSI ou prestataire IT), un référent communication, un contact juridique.
Établir un annuaire de crise hors réseau : numéros personnels des membres de la cellule, coordonnées du prestataire infogérance, de l'assureur cyber, du CERT national (ANSSI : 04 51 36 01 36), de votre avocat RGPD.
Cartographier vos actifs critiques : quels sont les systèmes dont l'arrêt bloque l'activité en moins de 4 heures ? ERP, messagerie, fichiers clients, chaîne de production ?
Vérifier que vos sauvegardes sont testées et isolées (backup immuable hors réseau). Sans cette base, le reste du plan perd toute efficacité.
Documenter les procédures de déconnexion rapide : qui a les droits pour couper quoi, et comment accéder au système si le réseau est coupé ?
Phases 2 à 4 — Détection, confinement, éradication : les premières heures critiques
Le délai moyen de détection d'une intrusion en France est de 167 jours. Cela signifie que l'attaquant a souvent eu le temps d'explorer votre réseau, d'exfiltrer des données et de déposer ses charges avant même que l'alerte sonne. D'où l'importance d'un EDR (Endpoint Detection and Response) couplé à une supervision active.
Une fois l'incident détecté, les actions des 60 premières minutes sont déterminantes :
Isoler sans éteindre — couper les connexions réseau (débrancher le câble, désactiver le Wi-Fi) sans couper l'alimentation électrique : les preuves forensiques vivent en mémoire vive.
Activer la cellule de crise — notifier les membres par téléphone (pas par email si le système est compromis). Ouvrir un canal hors réseau (SMS ou messagerie mobile personnelle).
Qualifier l'incident — ransomware ? Exfiltration de données ? Intrusion silencieuse ? La réponse détermine l'urgence de la notification RGPD (72 h pour la CNIL si des données personnelles sont en jeu).
Documenter en temps réel — horodater chaque action (heure, qui, quoi). Ce journal est indispensable pour l'assureur, la CNIL, et une éventuelle plainte pénale.
Contacter les experts — votre prestataire IT ou un spécialiste forensique. Si l'incident est majeur, déclarer sur Cybermalveillance.gouv.fr pour obtenir une mise en relation avec des prestataires qualifiés ANSSI.
Ne payez pas la rançon sans avis juridique et technique : le paiement ne garantit pas la récupération des données, peut alimenter des groupes criminels sous sanction internationale, et n'empêche pas une seconde attaque.
Phases 5 et 6 — Reprise d'activité et retour d'expérience
La reprise ne se fait pas dès que les systèmes semblent propres. Elle suit un protocole :
Reconstruire sur base saine : reinstaller les systèmes depuis des images maîtresses ou restaurer depuis la dernière sauvegarde saine vérifiée.
Prioriser par criticité métier : production avant administratif, clients avant interne.
Tester avant de reconnecter : scanner chaque machine reconstituée avant de la remettre sur le réseau.
Communiquer avec transparence calibrée : vos clients et partenaires ont besoin de savoir si leurs données sont compromises — la communication tardive aggrave le dommage réputationnel.
Le retour d'expérience (RETEX), réalisé dans les 2 à 4 semaines post-incident, est obligatoire sous NIS2 pour les entités concernées et fortement recommandé pour toutes : il identifie la vulnérabilité initiale, ce qui a fonctionné, et ce qui doit changer.
Comment Eden Solutions accompagne les PME sur la gestion de crise cyber
Eden Solutions intervient sur l'ensemble de la chaîne de préparation et de réponse. Notre approche est pragmatique : pas de document de 200 pages que personne ne lit, mais un plan opérationnel calibré à votre taille et à votre secteur. Consultez nos prestations cybersécurité pour le détail de nos interventions.
Concrètement, nous aidons les PME à :
Rédiger leur PRI en atelier de 2 jours : cartographie des actifs critiques, fiche réflexe par scénario (ransomware, fuite de données, intrusion silencieuse), annuaire de crise.
Simuler un incident (exercice de crise tabletop) : tester le plan avant qu'il ne soit mis à l'épreuve pour de vrai. Durée : une demi-journée. Résultat : identification des points de blocage avant la crise.
Déployer les outils de détection adaptés : EDR managé, supervision des logs, alerting en temps réel — dimensionnés pour une PME de 20 à 300 postes.
Assurer l'astreinte de crise : pour les PME sans DSI, nous proposons un service d'astreinte téléphonique pour les incidents critiques, 7j/7.
Notre ancrage Paris et Île-de-France permet des interventions physiques sous 4 heures pour les incidents nécessitant une présence sur site — un avantage décisif quand chaque heure d'arrêt a un coût.
Checklist : les 10 points d'un PRI minimal pour PME
Vous n'avez pas encore de plan formalisé ? Commencez par cette liste. Chaque case cochée réduit votre temps de réaction et vos pertes potentielles :
Cellule de crise nommée (au moins 3 personnes avec un suppléant chacune)
Annuaire de crise imprimé, stocké hors réseau et mis à jour trimestriellement
Cartographie des actifs critiques avec niveau de priorité de reprise
Procédure de déconnexion réseau documentée et affichée en salle serveur
Sauvegardes immuables testées — dernière restauration vérifiée il y a moins de 90 jours
Contrat cyber-assurance relu : couverture forensique, frais de gestion de crise et rançon inclus ?
Procédure de notification CNIL (72 h) et clients documentée, avec modèle de message prêt
Fiche réflexe ransomware : les 5 premières actions dans les 15 premières minutes
Plan de communication externe : que dire, à qui, quand (clients, partenaires, presse si nécessaire)
Exercice de crise (tabletop) planifié au minimum une fois par an
Un plan de réponse non testé est un faux sentiment de sécurité. Le seul moyen de savoir si votre plan fonctionne, c'est de le jouer avant d'en avoir besoin.
FAQ — Plan de réponse à incident cyber pour PME
Combien coûte la rédaction d'un plan de réponse à incident pour une PME ?
Un PRI de base pour une PME de 20 à 100 salariés représente généralement 2 à 5 jours de conseil, soit entre 3 000 et 8 000 € selon la complexité du SI et le nombre de scénarios à couvrir. Certains dispositifs publics (MonAideCyber de l'ANSSI, accompagnements Bpifrance) permettent de réduire ce coût. À comparer avec le coût moyen d'un incident non géré : 130 000 à 250 000 €.
Mon PRI doit-il être mis à jour à chaque évolution du SI ?
Oui. Chaque changement significatif — nouveau logiciel métier, migration cloud, départ d'un administrateur système, rachat d'une entité — doit déclencher une révision du plan. Un PRI qui ne reflète plus le SI réel peut mener à des actions contre-productives en situation de crise. Prévoyez a minima une revue annuelle formalisée.
Faut-il prévenir la CNIL même si on n'est pas sûr que des données ont été volées ?
Dès qu'il existe un risque vraisemblable pour les droits et libertés des personnes concernées (clients, salariés), la notification à la CNIL est obligatoire dans les 72 heures suivant la prise de connaissance de la violation — y compris sous incertitude. La CNIL tient compte du contexte et de la bonne foi dans son évaluation. Le défaut de notification, en revanche, peut constituer une infraction distincte et aggraver les sanctions.
Peut-on externaliser totalement la réponse à incident à son prestataire IT habituel ?
Partiellement. Le prestataire IT prend en charge le volet technique (investigation, confinement, reconstruction). Mais les décisions critiques — payer ou ne pas payer, communiquer ou pas avec les clients, déposer plainte — restent du ressort du dirigeant. Un bon prestataire vous conseille ; il ne se substitue pas à votre responsabilité de chef d'entreprise. D'où l'importance d'avoir vous-même compris les grandes étapes du plan.
Qu'est-ce que MonAideCyber et comment en bénéficier ?
MonAideCyber est un dispositif gratuit de l'ANSSI qui met en relation les TPE et PME avec des aidants cyber formés et référencés. L'accompagnement dure environ 2 heures et aboutit à un diagnostic personnalisé avec des recommandations prioritaires. C'est un point d'entrée idéal avant de lancer la rédaction d'un PRI formel. Accessible sur monaidecyber.ssi.gouv.fr.
Un plan de réponse à incident cyber n'est pas réservé aux grandes entreprises dotées d'un SOC et d'un RSSI à temps plein. C'est un document de 10 à 20 pages, rédigé en atelier, testé en exercice, et révisé chaque année — à la portée de toute PME qui prend la mesure de ce qu'une cyberattaque non maîtrisée peut coûter. Le coût de la préparation est prévisible. Le coût de l'improvisation, lui, ne l'est jamais.
Vous souhaitez un premier état des lieux de votre niveau de préparation ? Contactez Eden Solutions : nous réalisons un diagnostic de 2 heures pour identifier vos angles morts et vous proposer un plan d'action concret.
