Qu'est-ce qu'un contrat de réponse à incident (retainer) ?

Un contrat de réponse à incident, ou retainer, est un accord signé avant toute attaque qui réserve l’intervention d’une équipe d’experts dans un délai convenu. Il fixe à l’avance l’astreinte, le périmètre, les délais et la facturation. En cas d’incident, il n’y a plus qu’un numéro à appeler.

Cet article fait partie de notre série sur la réponse à incident. Pour le cadre général, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Pourquoi signer avant l’incident

Sans contrat, une entreprise attaquée doit trouver un prestataire disponible, lui expliquer son environnement, négocier les conditions et signer, alors que l’attaque progresse. Chaque heure perdue laisse à l’attaquant le temps de se déplacer dans le réseau ou de chiffrer d’autres serveurs.

Le retainer règle ces questions à froid. Le prestataire connaît déjà le contexte, les contacts et les accès. Le guide de référence du NIST sur la réponse à incident (SP 800-61, révision 3 d’avril 2025) place d’ailleurs la préparation au coeur de la réponse : rôles, contacts et moyens se définissent avant l’incident, pas pendant.

Ce que contient un retainer

Clause	Ce qu’elle précise
Astreinte	Comment joindre l’équipe (téléphone, portail) et sur quelles plages, idéalement 24h/24 et 7j/7
Délai de prise en charge	Le temps maximal entre l’appel et le début de l’intervention, à distance puis sur site
Périmètre	Les systèmes et sites couverts, les types d’incidents inclus
Prestations	Qualification, confinement, investigation, éradication, appui à la remise en service, rapport
Facturation	Forfait, heures prépayées, ou intervention incluse dans un service plus large
Préparation	Informations à fournir, outils à déployer, points de contact, exercice éventuel
Coordination	Qui décide, qui parle aux autorités, comment l’infogérant est associé

Pour le détail des prestations elles-mêmes, voir Que couvre une prestation de réponse à incident ?.

Les grandes formules

Le retainer à heures prépayées. L’entreprise achète un volume d’heures d’intervention. Les heures servent en cas d’incident ; selon le contrat, les heures restantes peuvent être converties en prestations de préparation ou être perdues.

Le retainer à disponibilité seule. L’entreprise paie pour un délai de prise en charge contractuel, et l’intervention est facturée en plus lorsqu’elle a lieu.

La réponse à incident incluse dans un service managé. Certains SOC managés intègrent un CERT et la réponse à incident dans leur offre. Le client n’a pas de second contrat à gérer, et l’équipe qui intervient connaît déjà l’environnement grâce à la surveillance quotidienne.

Ce qui fait varier le coût

Sans donner de prix, on peut lister les facteurs qui pèsent sur un retainer :

• la taille et la complexité du système d’information (nombre de postes, de serveurs, de sites, d’environnements cloud) ;
• le délai d’intervention contractuel et l’amplitude de l’astreinte ;
• le volume d’heures inclus et ce qu’il advient des heures non consommées ;
• les interventions sur site et les déplacements ;
• les outils de collecte et d’investigation déjà en place, qui réduisent le temps de démarrage ;
• l’éventuelle exigence d’un prestataire qualifié PRIS par l’ANSSI. Voir Qu’est-ce qu’un prestataire de réponse aux incidents qualifié (PRIS) ?.

Les questions à poser avant de signer

1. Quel est le délai réel de prise en charge, de nuit et le week-end ?
2. Qui intervient : une équipe interne ou des sous-traitants ?
3. Quels outils faut-il déployer à l’avance pour gagner du temps ?
4. Comment l’infogérant est-il associé aux décisions et aux actions ?
5. Le rapport d’incident est-il inclus, et sous quel délai ?
6. Le contrat couvre-t-il l’appui aux notifications (CNIL, autorités) et à la plainte ?

Le modèle Cyna

Chez Cyna, la réponse à incident est assurée par son CERT, membre de l’InterCERT France, en lien avec le SOC managé. Le CERT travaille avec les équipes du SOC et peut être mobilisé rapidement ; quand le client est déjà surveillé, l’équipe qui intervient connaît son environnement grâce à la surveillance quotidienne. L’astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Voir Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ? et Comment évaluer la capacité de réponse à incident d’un prestataire SOC ?.

Faire le point avec un expert

Vous voulez préparer la réponse à incident chez vous ou chez vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Un retainer est-il obligatoire ?

Non. Aucun texte n'impose de retainer. L'article 21 de NIS2 cite en revanche la gestion des incidents parmi les mesures de gestion des risques attendues des entités concernées, et un retainer est un moyen simple de les rendre opérationnelles. Voir La réponse à incident est-elle obligatoire ?.

Que se passe-t-il si les heures prépayées ne sont pas consommées ?

Cela dépend du contrat. Certains prévoient de réaffecter les heures non utilisées à des prestations de préparation (exercice de crise, revue de configuration), d'autres les perdent en fin de période. C'est un point à faire préciser avant de signer.

Mon assurance cyber remplace-t-elle un retainer ?

Pas toujours. Une assurance prend en charge certains frais, parfois avec un prestataire désigné par l'assureur. Elle ne fournit pas forcément une équipe qui connaît déjà votre environnement. Vérifiez comment les deux s'articulent, avec votre courtier ou votre conseil si besoin.

Peut-on faire appel à un prestataire sans retainer ?

Oui, mais il faudra trouver un prestataire disponible, cadrer l'intervention et la contractualiser dans l'urgence. Voir Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?.