Ce module est un support d'exercice
Il sert à préparer et à entraîner, pas à piloter un incident réel. En situation réelle, ne tenez pas votre carnet de crise dans le navigateur d'un poste appartenant au réseau compromis : ce poste peut être chiffré, coupé du réseau, ou lu par l'attaquant. Utilisez du papier, ou un appareil hors réseau. Les délais cités sont ceux du droit belge en juillet 2026 ; ils ne remplacent pas l'avis de votre conseil juridique.
La première heure
Six gestes à poser, six à éviter. La plupart des dégâts irréversibles d'un incident ne viennent pas de l'attaque elle-même, mais des réactions de la première heure.
À faire immédiatement
- Notez l'heure exacte de la découverteTous les délais légaux partent de la prise de connaissance, pas de l'attaque. Cette heure sera la référence de tout le dossier.
- Isolez sans éteindreDébranchez le câble réseau, coupez le Wi-Fi, mais laissez la machine sous tension. Éteindre efface la mémoire vive, où se trouvent souvent les traces les plus utiles.
- Photographiez les écransAvec un téléphone, pas une capture sur la machine. Message de rançon, messages d'erreur, horloge visible.
- Changez de canal de communicationPartez du principe que l'attaquant lit vos courriels. Passez au téléphone ou à une messagerie extérieure au réseau touché.
- Désignez un pilote uniqueUne seule personne décide et centralise. Même seul, écrivez qui décide quoi : cela évite les actions contradictoires.
- Ouvrez un carnet de bord papierChaque constat, chaque décision, chaque appel, avec l'heure. Ce document servira à l'assureur, à la police et aux autorités.
À ne surtout pas faire
- Éteindre ou redémarrerLe réflexe le plus courant, et le plus coûteux. Vous détruisez les traces et vous privez l'analyse de ses meilleures sources.
- Restaurer les sauvegardes tout de suiteVous ignorez encore par où l'attaquant est entré. Restaurer sur une infrastructure encore compromise, c'est se faire chiffrer une seconde fois, en ayant effacé les preuves.
- Dialoguer seul avec l'attaquantChaque message donne de l'information sur votre niveau de panique et votre capacité à payer. Cette discussion se prépare, ou ne se tient pas.
- Payer dans la précipitationUne décision de cette nature ne se prend pas dans les premières heures, ni par une seule personne.
- Nettoyer, réinstaller, faire disparaîtreEffacer les traces vous prive de recours et peut vous être reproché. Vous devez pouvoir démontrer ce qui s'est passé.
- Communiquer avant de savoirUn message rectifié trois fois détruit plus de confiance qu'un silence assumé de quelques heures.
Chronologie H+0 à H+72
Quatre fenêtres de temps, chacune avec ses décisions. Les mentions légal signalent une obligation, les autres relevant du bon sens opérationnel. Utilisez le sélecteur de profil en haut de page pour ne voir que ce qui vous concerne.
JavaScript est désactivé
La chronologie complète reste lisible. Seul le filtrage par profil est indisponible : les mentions de profil figurent sur chaque ligne.
Constat et confinement
Objectif : arrêter la propagation sans détruire les traces.
- tous
Horodatez la découverte, isolez les machines touchées sans les éteindre, photographiez les écrans.
- tous
Désignez le pilote de crise et ouvrez le carnet de bord papier.
- tous
Basculez sur un canal de communication extérieur au réseau touché.
- indépendant
Identifiez si votre outil de travail unique est atteint. Sans redondance, la question de la continuité se pose dès la première heure, pas au troisième jour.
- profession protégée
Déterminez immédiatement si des données couvertes par le secret professionnel sont concernées. Cette réponse conditionne presque tout le reste de la gestion.
- TPE et PME
Alertez la direction et votre responsable informatique ou votre prestataire. Coupez les accès distants avant tout.
- administration
Activez la cellule de crise prévue par votre plan et prévenez le délégué à la protection des données, obligatoire dans le secteur public.
Périmètre et renforts
Objectif : savoir ce qui est touché, et faire venir les bonnes compétences.
- tous
Établissez le périmètre : quels systèmes, quelles données, depuis quand. Notez ce que vous ne savez pas encore.
- tous
Vérifiez l'existence de sauvegardes hors ligne, sans les reconnecter au réseau.
- contrat
Appelez votre assureur avant d'engager un prestataire. De nombreux contrats cyber imposent le recours à leur réseau et conditionnent l'indemnisation à cet appel préalable.
- tous
Signalez l'incident au Centre pour la Cybersécurité Belgique. Le signalement est gratuit et ouvre droit à un accompagnement.
- indépendant
Si des données bancaires sont en jeu, appelez votre banque et Card Stop. Prévenez votre comptable si la facturation est touchée.
- profession protégée
Contactez votre ordre ou votre instance disciplinaire. Recensez les échéances immédiates que l'incident met en péril : rendez-vous, délais de procédure, continuité des soins.
- TPE et PME
Évaluez la continuité : paie, commandes en cours, livraisons. Si vous êtes sous-traitant d'une entité soumise à NIS2, votre contrat vous impose probablement de l'informer.
- administration
Informez votre autorité de tutelle et, selon votre plan d'urgence, les autorités de la zone concernée. Identifiez les services au public à suspendre ou à dégrader.
Obligations et premières décisions
Objectif : déclencher ce qui a une échéance, et arbitrer la communication.
- légal
Alerte précoce au CCB dans les 24 heures si vous êtes une entité essentielle ou importante au sens de la loi NIS2.
- tous
Déposez plainte à la police locale. Apportez les photographies, le carnet de bord et tout élément financier.
- légal
Évaluez le risque pour les personnes : des données à caractère personnel sont-elles concernées, et avec quelles conséquences possibles ? Cette analyse déclenche ou non l'obligation de notifier.
- tous
Arbitrez la communication : qui informer, quand, et par quel canal. Décidez aussi de ce que vous ne direz pas encore.
- indépendant
Prévenez vos clients dont les dossiers sont bloqués. Une explication factuelle vaut mieux qu'un silence interprété comme de la négligence.
- profession protégée
Avec des données de santé ou couvertes par le secret, le risque est presque toujours qualifié d'élevé. Préparez dès maintenant l'information individuelle des personnes concernées.
- TPE et PME
Préparez le message aux salariés. Ils apprendront l'incident d'une manière ou d'une autre, et ce sont eux qui répondront au téléphone.
- administration
Vérifiez votre statut au regard de NIS2. En Belgique, les pouvoirs locaux ne sont pas automatiquement visés : l'assujettissement dépend de l'activité et de la taille, ou d'une identification par le CCB.
Notifications formelles
Objectif : tenir les délais légaux, même avec une information incomplète.
- légal
Notification à l'Autorité de protection des données dans les 72 heures si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes. Une notification incomplète dans les temps vaut mieux qu'une notification parfaite hors délai : elle peut être complétée ensuite.
- légal
Notification d'incident au CCB dans les 72 heures pour les entités NIS2. Le délai tombe à 24 heures pour les prestataires de services de confiance.
- légal
Information des personnes concernées sans délai indu si le risque est élevé : dites ce qui a fuité, les conséquences possibles, et ce qu'elles doivent faire.
- tous
Documentez la violation dans votre registre interne, même lorsque vous concluez qu'il n'y a pas lieu de notifier. Cette traçabilité est elle-même une obligation.
- profession protégée
Coordonnez l'information des personnes avec votre ordre. La formulation engage votre responsabilité déontologique autant que votre conformité.
- TPE et PME
Informez vos partenaires contractuels si leurs données ou vos services partagés sont touchés. Vérifiez vos clauses : certaines prévoient des délais plus courts que la loi.
- administration
Préparez la communication institutionnelle. Une administration est jugée sur sa transparence autant que sur sa réparation.
Ce qui reste à échéance
Objectif : ne pas relâcher quand la pression retombe.
- légal
Rapport final au CCB dans le mois qui suit la notification d'incident, pour les entités NIS2. Si l'incident est toujours en cours, un rapport d'avancement est transmis, puis le rapport final dans le mois suivant sa clôture.
- tous
Reconstruction, renouvellement de tous les secrets, retour d'expérience à froid. Voir la section 07.
Qui prévenir, et quand
Trois questions déterminent vos obligations : des données à caractère personnel sont-elles concernées, êtes-vous une entité soumise à NIS2, et y a-t-il eu perte financière ou extorsion ? Le tableau ci-dessous résume les délais, l'annuaire donne les points de contact.
| Échéance | Obligation | Qui est concerné | Auprès de qui |
|---|---|---|---|
| 24 heures | Alerte précoce | Entités essentielles et importantes au sens de la loi NIS2 | CCB |
| 72 heures | Notification d'incident | Entités NIS2. Délai ramené à 24 heures pour les prestataires de services de confiance | CCB |
| 72 heures | Notification de violation de données | Tout responsable de traitement, si un risque existe pour les personnes | APD |
| Sans délai indu | Information des personnes concernées | Tout responsable de traitement, si le risque est élevé | Les personnes elles-mêmes |
| 1 mois | Rapport final | Entités NIS2 ayant notifié un incident | CCB |
| Contractuel | Déclaration de sinistre | Assurés cyber. Souvent 24 à 48 heures, vérifiez votre police | Votre assureur |
| Sans délai | Plainte pénale | Toute victime. Pas de délai légal, mais les traces s'effacent | Police locale |
Sources : loi du 26 avril 2024 dite loi NIS2, en vigueur depuis le 18 octobre 2024, et articles 33 et 34 du RGPD. Vérifié en juillet 2026 auprès du CCB et de l'APD. Ces délais peuvent évoluer : confirmez-les avec votre conseil.
Annuaire d'urgence
À imprimer et à conserver hors du système d'information. Un annuaire stocké uniquement sur le serveur chiffré ne sert à rien.
CCB, CERT.be
Autorité nationale de cybersécurité. Signalement, conseil et accompagnement, y compris pour les organisations non soumises à NIS2.
cert.be/fr/signaler-un-incident notif.safeonweb.beAutorité de protection des données
Notification des violations de données à caractère personnel. La notification se fait par le portail, jamais par courriel.
autoriteprotectiondonnees.bePolice locale
Dépôt de plainte au commissariat du siège de votre activité. Le 101 en cas d'urgence immédiate.
Notez ici votre commissariatCard Stop
Blocage des cartes et des transactions frauduleuses, en cas de compromission de données bancaires.
078 170 170Votre assureur
À appeler avant d'engager un prestataire. Vérifiez dès aujourd'hui votre numéro d'urgence et votre numéro de police.
Notez ici votre contact 24/7Votre ordre professionnel
Pour les professions protégées, l'instance disciplinaire doit être associée tôt. L'Ordre des médecins dispose d'une adresse dédiée aux questions de protection des données.
privacy@ordomedic.beVotre prestataire informatique
Numéro direct, pas l'adresse générique du support. Précisez à l'avance ce qui est couvert hors heures ouvrables.
Notez ici son numéro d'astreinteLe cas particulier du secret professionnel
L'article 458 du Code pénal punit la révélation de secrets par les personnes qui en sont dépositaires. Subir une exfiltration n'est pas révéler : une victime d'intrusion ne commet pas cette infraction du seul fait de l'attaque. En revanche, un défaut de sécurisation peut engager votre responsabilité sur le terrain du RGPD et sur le terrain disciplinaire. Cette distinction est juridiquement délicate : je ne suis pas juriste, et je recommande d'associer votre ordre et un avocat dès les premières heures.
Exercice : vos échéances et votre carnet
Saisissez une heure de découverte fictive : l'application calcule les échéances réelles qui en découlent. Le carnet de bord permet de dérouler l'exercice en groupe, puis d'exporter le déroulé pour le débriefing.
JavaScript est désactivé
Le calculateur d'échéances a besoin de JavaScript. Les délais figurent en clair dans le tableau de la section 03, et la fiche de crise vierge de la section 07 s'imprime sans script.
Support d'exercice uniquement
En incident réel, n'utilisez pas cet outil sur un poste du réseau compromis. Ce poste peut être chiffré d'une minute à l'autre, coupé du réseau, ou observé par l'attaquant. Le carnet de crise se tient sur papier, ou sur un appareil hors réseau. La fiche vierge de la section 07 est faite pour cela.
Payer ou ne pas payer
C'est la question que tout le monde pose, et la seule qui ne se tranche pas dans l'urgence. Voici ce que chaque option implique réellement. La décision appartient à la direction, avec un conseil juridique et l'assureur, jamais à une personne seule à trois heures du matin.
Ce que payer ne résout pas
- Aucune garantie de récupération. Les outils de déchiffrement fournis sont souvent lents, partiels ou défectueux.
- Les données exfiltrées restent chez l'attaquant. Payer achète une promesse de suppression, pas une suppression.
- La faille d'entrée reste ouverte tant que vous ne l'avez pas trouvée et refermée.
- Payer désigne votre organisation comme solvable et coopérative. La récidive est documentée.
- Vos obligations de notification demeurent entières : payer n'efface aucune échéance légale.
- Le paiement finance directement l'activité criminelle qui frappera la victime suivante.
Les questions à poser avant d'y penser
- Avons-nous des sauvegardes hors ligne, et les avons-nous testées récemment ?
- Combien de temps coûte une reconstruction complète, en jours et en euros ?
- Que dit notre contrat d'assurance ? Certains couvrent la rançon, d'autres l'excluent, d'autres imposent leur négociateur.
- Le paiement est-il licite dans notre situation ? Le destinataire peut relever de régimes de sanctions internationales.
- Qui signera cette décision, et sur quelle base écrite ?
- Avons-nous consulté le CCB et la police avant de répondre à l'attaquant ?
La position des autorités
Les autorités belges et européennes déconseillent le paiement, tout en reconnaissant qu'il s'agit d'une décision d'entreprise. Le CCB accompagne les victimes indépendamment de ce choix. Le projet No More Ransom, porté notamment par Europol, met à disposition des outils de déchiffrement gratuits pour de nombreuses familles de rançongiciels : vérifiez-y avant toute autre démarche. Je ne donne pas de conseil juridique sur la licité d'un paiement, qui dépend de l'auteur et de votre situation.
Communiquer pendant la crise
Quatre principes, puis des trames à adapter. Le réflexe de tout minimiser coûte plus cher que l'incident lui-même : ce que vous ne dites pas, quelqu'un d'autre le dira, souvent moins bien.
Une seule voix
Désignez qui parle, en interne comme en externe. Les autres renvoient vers cette personne, sans exception.
Dater chaque message
Indiquez l'heure de rédaction. Une information périmée qui circule sans date devient une contre-vérité.
Dire ce que l'on sait
Et dire explicitement ce que l'on ne sait pas encore. Ne jamais spéculer sur l'auteur, l'ampleur ou la date de reprise.
Annoncer le prochain point
Même sans nouvelle information : « prochain point à 17 heures » suffit à éteindre la moitié des appels.
À vos collaborateurs
Objectif : éviter les initiatives individuelles et les fuites involontaires.
Nous faisons face à un incident informatique depuis ce matin. Par précaution, [systèmes concernés] sont indisponibles. Ne tentez pas de redémarrer ni de reconnecter vos appareils. Si vous constatez quelque chose d'anormal, appelez [pilote] au [numéro], sans passer par la messagerie. Ne communiquez pas à l'extérieur sur cet incident : [porte-parole] s'en charge. Prochain point à [heure].
À vos clients, patients ou usagers
Objectif : remplir l'obligation d'information et permettre à chacun de se protéger. Le RGPD impose de décrire la nature de la violation, les conséquences probables et les mesures prises.
Le [date], nous avons découvert un accès non autorisé à nos systèmes. Les données suivantes vous concernant ont pu être consultées : [liste précise]. Nous avons [mesures prises] et notifié l'Autorité de protection des données. Nous vous recommandons de [actions concrètes : vigilance sur les messages usurpant notre identité, changement de mot de passe, surveillance des comptes]. Pour toute question : [contact dédié].
Déclaration publique
Objectif : occuper le terrain avec des faits vérifiables. Court, factuel, sans jargon ni héroïsme.
[Organisation] a été victime d'une cyberattaque détectée le [date]. Les autorités compétentes ont été averties et une plainte a été déposée. [Services concernés] sont perturbés, [services maintenus] fonctionnent normalement. Nous communiquerons toute évolution significative. Contact presse : [nom, numéro].
Trois phrases à ne jamais prononcer
« Aucune donnée n'a été compromise » tant que l'analyse n'est pas terminée. « Tout sera rétabli demain » avant d'avoir identifié le point d'entrée. « Nous étions à jour », qui appelle immédiatement la question suivante et vous place en position de justification.
Après les 72 heures
La pression retombe, et c'est là que se jouent la solidité de la reprise et la valeur de l'expérience acquise.
Ne reconstruisez pas sur l'ancien
Tant que le point d'entrée n'est pas identifié et refermé, restaurer revient à remettre la clé sous le paillasson. Reconstruisez sur une base saine, puis réintégrez les données après contrôle.
Renouvelez tous les secrets
Mots de passe, clés, jetons d'API, certificats, accès des prestataires. Y compris ceux que vous croyez non concernés : vous ne savez pas ce qui a été lu.
Surveillez la réutilisation
Les données exfiltrées servent ensuite à l'hameçonnage ciblé, chez vous et chez vos partenaires. Prévenez-les, et attendez-vous à une seconde vague quelques semaines plus tard.
Bouclez le dossier d'assurance
Rassemblez le carnet de bord, les factures, les preuves de perte d'exploitation et le dépôt de plainte. Un dossier constitué à froid est toujours moins bon qu'un dossier tenu pendant la crise.
Faites le retour d'expérience à froid
Deux à quatre semaines après, sans recherche de responsable. Trois questions : qu'avons-nous découvert trop tard, qu'avons-nous cherché sans le trouver, qu'aurions-nous dû décider plus tôt.
Corrigez ce que l'incident a révélé
Un incident produit une liste de faiblesses connues de tous pendant quelques semaines, puis oubliées. Transformez-la en plan daté avec des responsables nommés, dans le mois.
Fiche de crise vierge
Imprimez cette page et rangez la fiche avec votre plan de continuité, hors du système d'information. En incident réel, c'est ce papier qui remplace l'outil de la section 04. Complétez dès aujourd'hui les cases qui peuvent l'être : numéros d'astreinte, numéro de police d'assurance, commissariat, prestataire.
Êtes-vous prêt ?
Dix questions sur votre préparation, pas sur votre technique. « Je ne sais pas » compte comme une lacune : en pleine crise, une mesure dont personne n'est sûr n'existe pas. Rien ne quitte votre navigateur.
JavaScript est désactivé
Les dix questions restent lisibles, mais le calcul du score ne peut pas s'exécuter.
01Disposez-vous d'une sauvegarde hors ligne, déconnectée du réseau ?
02Avez-vous restauré une sauvegarde pour de vrai au cours des douze derniers mois ?
03Avez-vous une liste de contacts d'urgence accessible sans le système d'information ?
04Savez-vous qui piloterait la crise, et qui déciderait en son absence ?
05Disposez-vous d'une assurance couvrant le risque cyber ?
06Un prestataire est-il identifié et joignable hors heures ouvrables ?
07Existe-t-il une procédure écrite décrivant les premières heures ?
08Avez-vous déjà réalisé un exercice de crise, même court ?
09Vos journaux système sont-ils conservés ailleurs que sur les machines concernées ?
10Savez-vous quelles données personnelles vous détenez, et où ?
Le score mesure votre écart de préparation, pas votre niveau technique.