Après un ransomware, les premières décisions conditionnent la récupération des données, la continuité et le niveau de maîtrise de la suite.
La conduite de la crise en trois phases : premiers réflexes, pilotage (rôles, main courante, démarches) et sortie de crise, d’après les guides officiels.
À retenir
Un rançongiciel a chiffré vos fichiers, ou vos écrans affichent une demande de rançon. Cette page traite de la conduite de la crise dans l’entreprise : qui décide, qui fait quoi, quelles démarches ne pas oublier, comment travailler en attendant et comment sortir de la crise. Pour la question technique « peut-on récupérer les données sans payer ? », voir récupérer ses données après un ransomware.
Le guide de Cybermalveillance.gouv.fr destiné aux dirigeants (publié en janvier 2022, mis à jour le 17 mars 2026) structure la réponse en trois phases : les premiers réflexes, le pilotage de la crise, la sortie de crise. Nous suivons ce plan, en y ajoutant des repères de PME.
Dans les premières heures, l’objectif n’est pas de réparer mais de contenir, alerter et ne pas perdre de preuves. Le guide demande à la direction d’alerter le support informatique, d’isoler les systèmes attaqués pour éviter la propagation, de constituer une cellule de crise pluridisciplinaire, de documenter tous les événements et de préserver les preuves. Le guide de l’ANSSI pour les TPE/PME précise que le premier réflexe est de déconnecter d’Internet l’équipement ou le système d’information, et qu’il ne faut ni éteindre ni modifier les ordinateurs touchés, qui serviront aux enquêteurs.
| Rôle | Mission | Ce qu’il ne fait pas |
|---|---|---|
| Direction | Décide, arbitre les priorités, prend la parole vis-à-vis des clients et des partenaires. | Ne traite pas le technique. |
| Informatique (interne ou prestataire) | Isole, préserve les preuves, évalue l’étendue, prépare la reprise. | Ne restaure pas avant d’avoir de quoi comprendre. |
| Finance / administratif | Prévient la banque en cas de risque financier, l’assureur, gère les urgences de trésorerie. | Ne négocie pas avec l’attaquant. |
| Ressources humaines / communication | Informe les équipes, tient les messages cohérents, pense au soutien des collaborateurs. | Ne diffuse pas d’information non validée. |
Dans une très petite structure, une même personne cumule plusieurs rôles : l’important est que chacun sache d’avance qui décide et qui joint le prestataire.
L’ANSSI recommande d’ouvrir une main courante pour tracer les actions et les événements. Chaque entrée porte au minimum : l’heure et la date, le nom de la personne à l’origine de l’action ou qui a signalé l’événement, et la description. Le guide souligne que la tenir tout au long de l’incident facilite considérablement l’intervention du prestataire et la résolution du problème. Un simple tableau partagé hors du système attaqué, ou un cahier, suffit ; ce qui compte est qu’elle existe dès la première heure.
Plusieurs démarches se cumulent, avec chacune sa logique et ses délais. Le tableau ci-dessous reprend ce que disent les sources officielles ; les points juridiques sont à confirmer avec votre conseil.
| Démarche | Ce que disent les sources | Pourquoi tôt |
|---|---|---|
| Plainte | Le guide de Cybermalveillance.gouv.fr demande de déposer plainte avant toute action de remédiation ; l’ANSSI rappelle qu’il est essentiel de porter plainte, matériels et journaux servant aux enquêteurs. | La remédiation modifie les traces. |
| Assureur | Notifier l’assureur rapidement (guide dirigeants). Les contrats et leurs délais varient : relisez le vôtre avant l’incident. | Le contrat peut conditionner la prise en charge. |
| Banque | Alerter la banque en cas de risque financier. | Pour bloquer ce qui peut l’être. |
| CNIL | Si l’incident présente un risque pour la vie privée des personnes, il faut le notifier à la CNIL dans les meilleurs délais, avec un objectif de 72 heures et une explication du retard si ce délai n’est pas tenu ; en cas de risque élevé, informer aussi les personnes concernées ; l’incident est documenté en interne dans tous les cas. | Un délai court : l’anticiper dès le premier jour. |
| Clients et partenaires | Le guide recommande de gérer la communication avec un niveau de transparence approprié ; l’ANSSI conseille, pour une PME, un dispositif de communication porté par la direction. | Éviter que l’information n’arrive par d’autres voies. |
Ne payez pas la rançon : le guide le recommande formellement, car cela encouragerait de futures attaques.
Pendant que le système d’information est indisponible ou en cours d’assainissement, l’entreprise doit continuer à servir ses clients autant que possible. Le guide de l’ANSSI pose la question sans détour : « êtes-vous prêts à retourner au papier et au crayon ? ». Le guide de Cybermalveillance.gouv.fr recommande d’activer les plans de continuité et de reprise d’activité. En pratique :
Notre plan de reprise d’activité décrit comment préparer ces modes dégradés avant l’incident.
Selon l’ANSSI et Cybermalveillance.gouv.fr : alerter le support informatique, isoler les systèmes attaqués en déconnectant d’Internet le réseau ou l’équipement, sans éteindre ni modifier les machines touchées, et préserver les preuves. Documentez tout dans une main courante.
Oui. Le guide de Cybermalveillance.gouv.fr recommande de déposer plainte avant toute action de remédiation, avec les preuves conservées ; l’ANSSI rappelle qu’il est essentiel de porter plainte. Renseignez-vous auprès de votre assureur sur les conditions de votre contrat.
Si l’incident présente un risque pour la vie privée des personnes (des données personnelles sont concernées), il faut le notifier à la CNIL dans les meilleurs délais, avec un objectif de 72 heures d’après sa page. Faites-vous conseiller pour qualifier l’incident.
La direction, en lien avec les experts techniques : l’ANSSI conseille, pour une PME, un dispositif de communication porté par les dirigeants. Les messages doivent être validés avant diffusion, pour rester exacts et cohérents.
La sortie de crise a trois volets, que le guide de Cybermalveillance.gouv.fr décrit ainsi : un redémarrage progressif et sécurisé, tirer les enseignements de l’attaque pour définir des actions correctives, et tenir compte de l’impact psychosocial sur les équipes.
Sources consultées le 26 septembre 2026 :
Chaque incident est particulier : cette page ne remplace ni un professionnel de la réponse à incident, ni votre assureur, ni votre conseil juridique.
Pages du site qui prolongent cet article : récupération des données, reprise d’activité, sauvegarde et cybersécurité.
Nous pouvons préparer avec vous les rôles, les contacts, la main courante et les modes dégradés, avant qu’il ne soit trop tard.
Une question ? Parlons-en directement.
Nos équipes répondent du lundi au vendredi, 9h15–18h30. Pas de standard, pas d'attente.
« Nous avons changé de prestataire après des années de galères. La transition s'est faite sans aucune interruption - ils ont repris tous nos accès, documenté notre parc et géré la résiliation. Très professionnel. »
« La migration Microsoft 365 s'est faite en un week-end, sans perte de données et sans déranger mes équipes. Evoir a tout géré, y compris la formation des collaborateurs le lundi matin. »
« Le déploiement du Wi-Fi professionnel a résolu tous nos problèmes de connectivité. Réseau invités séparé, couverture totale des salles de réunion. Exactement ce dont on avait besoin. »
Continuez avec les ressources les plus proches du sujet traité dans cet article.
