Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?

Sur le marché, il est en général possible de solliciter un prestataire de réponse à incident sans contrat préalable : beaucoup acceptent des interventions en urgence. Mais avant d’agir, une convention d’intervention est signée (périmètre, autorisations, confidentialité, conditions financières), les accès sont ouverts et l’environnement est présenté au prestataire. Ce temps de mise en route est le vrai coût de l’absence de contrat. Une entreprise attaquée peut contacter l’astreinte Cyna, joignable 24h/24 et 7j/7, depuis la page Déclarer un incident.

Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.

Ce qui se passe quand on appelle sans contrat

Une entreprise découvre une attaque et n’a aucun prestataire désigné. Le déroulé est en général le suivant :

1. Trouver un prestataire disponible : recherche, appels, parfois plusieurs refus faute de disponibilité.
2. Qualifier la demande : le prestataire évalue la situation par téléphone pour estimer l’effort.
3. Contractualiser : envoi d’une proposition, d’une convention d’intervention, validation interne, signature.
4. Ouvrir les accès : comptes, accès à distance, déploiement d’outils de collecte.
5. Découvrir l’environnement : architecture, contacts, sauvegardes, outils de sécurité en place.
6. Commencer l’investigation.

Avec un contrat préalable, les étapes 1 à 5 sont en grande partie réglées avant la crise. Sans contrat, elles se font sous pression, pendant que l’attaque progresse ou que l’activité est à l’arrêt.

Pourquoi on ne peut pas sauter la convention

Même en urgence, un prestataire sérieux ne commence pas sans cadre écrit. Ce n’est pas de la lenteur administrative : l’investigation consiste à accéder à vos systèmes, à copier des journaux et parfois des données sensibles. Cela suppose une autorisation explicite du responsable du système d’information, un périmètre clair, des engagements de confidentialité et des règles sur la conservation des preuves.

Le référentiel PRIS de l’ANSSI (version 3.2, octobre 2025), qui encadre les prestataires qualifiés, fixe d’ailleurs des exigences précises sur la relation avec le commanditaire et la protection des informations collectées. Un prestataire qui proposerait d’intervenir sans aucun écrit est un signal d’alerte.

Les bons réflexes pour choisir en urgence

Point à vérifier	Pourquoi
Disponibilité réelle	Qui peut intervenir maintenant, à distance et sur site si besoin
Qualification ou label	PRIS (ANSSI) pour les prestataires qualifiés, ExpertCyber (Cybermalveillance.gouv.fr) pour l’assistance aux PME
Périmètre de la convention	Investigation seule, ou aussi pilotage, gestion de crise, appui à la remédiation
Contrat d’assurance cyber	Procédure de déclaration et éventuelle assistance prévue par l’assureur
Conservation des preuves	Méthode de collecte compatible avec une plainte et l’expertise de l’assureur
Interlocuteurs	Qui décide et signe côté entreprise, qui coordonne côté prestataire

Pour les entreprises et collectivités, le dispositif 17Cyber, lancé fin 2024 par Cybermalveillance.gouv.fr et le ministère de l’Intérieur, oriente les victimes, selon la situation, vers un CSIRT régional, vers des prestataires labellisés ou vers le dépôt de plainte. Le panorama des interlocuteurs est détaillé dans Qui contacter en cas de cyberattaque ?.

Les obligations n’attendent pas la signature

Pour les entités soumises à NIS2, l’article 23 prévoit une alerte précoce dans les 24 heures après la prise de connaissance d’un incident important, et une notification dans les 72 heures. Si des données personnelles sont touchées, l’article 33 du RGPD prévoit une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance. Ces délais courent pendant que l’on cherche un prestataire et que l’on négocie une convention. Rappel : au 1er octobre 2026, la loi française de transposition de NIS2 n’est pas adoptée.

Préparer le terrain avant l’incident

Trois options permettent d’éviter cette course contre la montre :

• Un contrat de réponse à incident (retainer) signé à froid, avec des modalités d’intervention connues à l’avance. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.
• Un SOC managé dont le contrat couvre la réponse à incident : les accès, les outils et la connaissance de l’environnement sont déjà en place le jour de l’attaque.
• Une fiche réflexe à jour : qui appeler, qui signe, où sont les sauvegardes, quel est le numéro de l’assistance de l’assureur.

Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident, y compris pour une entreprise qui est en train de se faire attaquer. Pour comparer avec une organisation entièrement interne, voir Faut-il un prestataire externe ou l’équipe interne suffit-elle ?.

Faire le point avec un expert

Vous voulez savoir qui appeler le jour où un client est attaqué, et dans quel cadre ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Combien de temps faut-il pour démarrer sans contrat ?

Cela dépend de la disponibilité du prestataire et de la rapidité de signature côté client. Il n'existe pas de délai type. Le temps perdu se situe surtout dans la contractualisation et dans la découverte de l'environnement, deux étapes réglées d'avance avec un contrat.

Mon assureur peut-il m'imposer un prestataire ?

Certains contrats d'assurance cyber prévoient une assistance ou une procédure de déclaration. Ce que prévoit votre police se vérifie dans le contrat et auprès de votre assureur, idéalement dès le début de l'incident, avant d'engager des frais.

Comment vérifier le sérieux d'un prestataire inconnu en pleine crise ?

Vérifiez s'il est qualifié PRIS par l'ANSSI ou labellisé ExpertCyber, demandez qui interviendra et avec quelle expérience, et faites relire la convention par votre conseil si possible. Voir Qu'est-ce qu'un prestataire PRIS ?.

Mon infogérant peut-il signer à ma place ?

Il peut organiser l'intervention, mais les autorisations d'accès et d'investigation sur votre système d'information viennent en principe de votre entreprise. Il est utile de prévoir qui signe en cas d'absence du dirigeant.