Combien de temps prend une réponse à incident ?

Une réponse à incident dure de quelques heures à plusieurs mois, selon l’incident. Le confinement se joue en heures, l’investigation prend généralement plusieurs jours, et la remédiation d’une compromission profonde peut s’étendre sur des semaines, voire des mois. La préparation et l’étendue de l’attaque pèsent plus que la taille de l’entreprise.

Pour comprendre l’enchaînement complet des phases, voir notre guide Comment se déroule une réponse à incident ?. Ici, on regarde le temps que prend chacune.

La durée, phase par phase

Phase	Ordre de grandeur	Ce qui la rallonge
Mobilisation de l’équipe	Rapide si un contrat existe déjà	Absence de contrat, recherche d’un prestataire en urgence
Qualification	Quelques heures	Journaux absents, périmètre inconnu
Confinement	Quelques heures	Pas d’EDR, réseau non segmenté
Investigation	Plusieurs jours	Compromission ancienne, nombreuses machines
Éradication et remédiation	Quelques jours à plusieurs mois	Annuaire Active Directory compromis, reconstruction nécessaire
Retour à la normale et retour d’expérience	Plusieurs semaines	Sauvegardes inutilisables, dette technique

Ces ordres de grandeur sont indicatifs. Le guide de l’ANSSI « Cyberattaques et remédiation » rappelle qu’une remédiation profonde se pilote comme un projet à part entière.

Trois exemples de profils

Un incident contenu tôt. Un compte Microsoft 365 compromis par hameçonnage, repéré par le SOC avant tout rebond. Session révoquée, mot de passe réinitialisé, règles de transfert supprimées, journaux vérifiés : l’essentiel se règle dans la journée. Voir SOC managé Microsoft 365.

Une intrusion sur quelques postes. Un attaquant a pris pied sur plusieurs postes sans atteindre les serveurs critiques. Isolement, investigation, nettoyage et surveillance renforcée demandent quelques jours.

Un rançongiciel avec chiffrement. Serveurs chiffrés, annuaire compromis, sauvegardes à vérifier. La crise aiguë dure plusieurs jours, la reconstruction et la remédiation plusieurs semaines ou plus. Voir Quand peut-on redémarrer la production après une cyberattaque ?.

Ce qui fait vraiment varier la durée

1. Le délai de détection. Plus l’attaquant est resté longtemps sans être vu, plus il y a d’historique à reconstituer et de machines à vérifier.
2. La préparation. Un contrat de réponse signé, des contacts à jour et une procédure d’escalade font gagner des heures dès le début.
3. La visibilité. Sans EDR ni journaux centralisés, l’investigation avance à l’aveugle et prend plus de temps.
4. L’état des sauvegardes. Des sauvegardes déconnectées et testées raccourcissent fortement la restauration.
5. La rapidité des décisions. Isoler un serveur métier, couper un accès distant : chaque décision qui attend la direction allonge le confinement.

Les délais qui ne dépendent pas de vous

Pendant que l’équipe technique travaille, certains délais courent :

• NIS2 (article 23) : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un mois, pour les entités concernées. Rappel : au 23 septembre 2026, la loi française de transposition n’est pas encore adoptée.
• RGPD (article 33) : notification à la CNIL dans les 72 heures après avoir pris connaissance d’une violation de données personnelles.
• Assurance : la fiche « Rançongiciels : que faire ? » de cybermalveillance.gouv.fr évoque le dépôt de plainte rapide en lien avec une éventuelle indemnisation par une assurance cyber. Les conditions applicables dépendent de chaque contrat d’assurance : elles se vérifient auprès de l’assureur ou d’un conseil juridique.

Ces délais ne coïncident pas avec la fin de la réponse : on notifie sur la base d’informations partielles, puis on complète. Voir Qui contacter en cas de cyberattaque ?.

Comment Cyna s’organise

Le SOC managé de Cyna est opéré 24/7 depuis la France par des équipes internes, avec un analyste humain à chaque alerte, ce qui aide à détecter plus tôt. Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Faire le point avec un expert

Vous voulez estimer le temps de réaction de votre organisation, ou de celles de vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Une réponse à incident peut-elle se régler en une journée ?

Oui, pour un incident limité et détecté tôt : un compte de messagerie compromis, un poste isolé avant toute propagation. Le confinement et l'éradication tiennent alors en quelques heures, suivis d'une surveillance renforcée.

Pourquoi l'investigation prend-elle autant de temps ?

Parce qu'il faut reconstituer ce que l'attaquant a fait, parfois sur des semaines d'historique, et vérifier chaque machine et chaque compte. Une éradication incomplète laisse la porte ouverte à un retour de l'attaquant.

Le délai de 72 heures du RGPD signifie-t-il que l'enquête doit être finie ?

Non. L'article 33 prévoit une notification dans les 72 heures après en avoir pris connaissance, et permet de fournir les informations de manière échelonnée si elles ne sont pas toutes disponibles.

Comment réduire la durée d'une réponse à incident ?

En préparant : contrat de réponse signé à l'avance, contacts d'urgence, sauvegardes testées, journaux conservés, EDR déployé. Voir Qu'est-ce qu'un contrat de réponse à incident (retainer) ?.