Qu'est-ce que la réponse à incident cybersécurité ?

La réponse à incident cybersécurité désigne l’ensemble des actions menées quand une attaque est détectée : qualifier ce qui se passe, contenir la menace pour qu’elle ne se propage pas, l’éradiquer, rétablir l’activité, puis tirer les leçons de l’incident. Elle est conduite par une équipe spécialisée, CERT ou CSIRT, et se prépare avant l’attaque, pas pendant.

Cet article est le point d’entrée de notre série sur la définition et le périmètre de la réponse à incident. Pour le déroulé concret, étape par étape, voir Comment se déroule une réponse à incident ?.

Une définition précise

La directive NIS2 donne une définition utile. Elle appelle « traitement des incidents » toutes les actions et procédures visant à prévenir, détecter, analyser et contenir un incident, ou à y répondre et à s’en rétablir (article 6). Un incident y est défini comme un événement qui compromet la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données ou des services d’un système d’information.

Concrètement, une réponse à incident cherche à répondre à quatre questions, dans cet ordre :

1. Que se passe-t-il ? Nature de l’attaque, systèmes touchés, gravité.
2. Comment l’arrêter ? Isoler les machines, couper les accès, bloquer les comptes compromis.
3. Comment l’attaquant est-il entré, et est-il encore là ? Investigation, recherche de persistance.
4. Comment redémarrer en sécurité ? Nettoyage, restauration, surveillance renforcée.

Pour savoir ce qui relève d’un incident et ce qui n’est qu’un événement de sécurité, voir Qu’est-ce qu’un incident de cybersécurité ?. Les grandes familles d’attaques (rançongiciel, compromission de messagerie, fuite de données, déni de service…) sont décrites dans Quels types d’incidents de cybersécurité existe-t-il ?.

Les grandes phases

Les cadres de référence décrivent tous un cycle similaire. Le NIST, dans la révision 3 de sa publication SP 800-61 (avril 2025), rattache désormais la réponse à incident à l’ensemble de la gestion des risques de son Cybersecurity Framework 2.0, de la préparation jusqu’au rétablissement. En pratique, on retrouve toujours les mêmes temps :

Phase	Objectif	Exemples d’actions
Préparation	Être prêt avant l’attaque	Contrat, contacts, procédure d’escalade, sauvegardes testées
Détection et qualification	Confirmer l’incident et sa gravité	Analyse d’alerte par le SOC, premiers indicateurs
Confinement	Empêcher la propagation	Isolement réseau des postes, blocage de comptes
Éradication	Supprimer la présence de l’attaquant	Suppression des accès persistants, correctifs
Rétablissement	Reprendre l’activité	Restauration, remise en production surveillée
Retour d’expérience	Éviter que cela se reproduise	Rapport, plan d’amélioration

Le détail de chaque étape, et l’ordre dans lequel elles s’enchaînent sur le terrain, sont traités dans le pilier consacré au déroulé et dans Quelles sont les étapes d’une réponse à incident ?.

Qui fait la réponse à incident ?

La réponse à incident est le métier des CERT (Computer Emergency Response Team) et des CSIRT (Computer Security Incident Response Team). Les deux termes désignent en pratique le même type d’équipe. Le premier est historique, le second est celui des textes européens. Voir Qu’est-ce qu’un CERT en cybersécurité ?.

Le SOC joue un rôle différent mais complémentaire : il surveille en continu et détecte. C’est souvent lui qui déclenche la réponse à incident, en transmettant au CERT une alerte qualifiée. Voir CERT, CSIRT et SOC : quelles différences ?.

En France, l’ANSSI qualifie des prestataires de réponse aux incidents de sécurité (PRIS), sur la base d’un référentiel d’exigences. Cette qualification n’est pas obligatoire pour toutes les entreprises, mais elle sert de repère. Voir Qu’est-ce qu’un prestataire de réponse aux incidents qualifié (PRIS) ?.

Ce que couvre une prestation

Une prestation de réponse à incident comprend en général l’investigation technique (analyse des journaux, des postes, de la messagerie), le pilotage du confinement, l’éradication et l’accompagnement à la reprise, puis un rapport. Elle peut inclure, ou non, la restauration des données et la reconstruction des systèmes, selon le contrat et selon qui gère l’infrastructure au quotidien.

Deux articles détaillent ce périmètre :

• Que couvre une prestation de réponse à incident ?
• La réponse à incident inclut-elle la restauration des données ?

Pour une entreprise qui travaille avec un infogérant, le partage est souvent le suivant : le CERT investigue et guide, l’infogérant exécute les actions sur l’infrastructure et pilote la restauration. Voir SOC managé et infogérant : qui fait quoi ?.

Réponse à incident et gestion de crise : deux niveaux

La réponse à incident est technique. La gestion de crise est organisationnelle : elle traite les décisions de direction, la communication interne et externe, les relations avec les clients, les autorités, l’assureur. Les deux se déroulent en parallèle lors d’une attaque grave et doivent se parler en permanence. Voir Quelle différence entre réponse à incident et gestion de crise ?.

Est-ce une obligation ?

Il n’existe pas d’obligation générale de souscrire un contrat de réponse à incident. Mais plusieurs textes encadrent la gestion et la notification des incidents :

• NIS2 : la directive prévoit que les entités essentielles et importantes mettent en place la gestion des incidents (article 21, paragraphe 2, point b) et notifient les incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans un délai d’un mois (article 23). Au 10 septembre 2026, la loi française de transposition n’est pas encore adoptée, mais le contenu de la directive est connu. Voir NIS2 : qui est concerné ?.
• RGPD : en cas de violation de données personnelles, l’article 33 prévoit une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes.

Tenir ces délais sans capacité de réponse préparée est très difficile. Le détail est dans La réponse à incident est-elle obligatoire ?. Pour savoir ce qui s’applique précisément à votre organisation, rapprochez-vous de votre conseil juridique.

Préparer la réponse avant l’incident

Le moment le plus coûteux pour chercher un prestataire, c’est pendant l’attaque. Les entreprises qui s’en sortent le mieux ont préparé trois choses :

1. Un interlocuteur identifié : un CERT mobilisable rapidement, avec un contrat signé à l’avance. C’est le principe du contrat de réponse à incident, ou retainer. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.
2. Une liste de contacts : prestataire, infogérant, direction, assureur, autorités. Voir Qui contacter en cas de cyberattaque ?.
3. Une détection continue : plus une attaque est détectée tôt, plus la réponse est courte et moins les dégâts sont lourds. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

Les réflexes qui compliquent la réponse

Sous la pression, certains gestes partent d’une bonne intention mais gênent l’investigation :

• Éteindre ou réinstaller les machines touchées avant l’analyse : on perd des traces utiles pour comprendre l’entrée de l’attaquant.
• Restaurer trop vite une sauvegarde sans savoir depuis quand l’attaquant est présent : on risque de réintroduire la porte dérobée.
• Communiquer par la messagerie compromise : l’attaquant peut lire les échanges sur la réponse en cours.
• Négocier seul avec un groupe de rançongiciel, sans conseil ni coordination avec l’assureur et les autorités.

Un CERT expérimenté aide justement à éviter ces erreurs dès les premières heures.

Comment Cyna aborde la réponse à incident

Chez Cyna, le SOC managé s’accompagne d’un CERT, membre de l’InterCERT France, qui travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Le SOC et le CERT appartenant à la même offre, l’alerte qualifiée par le SOC peut être transmise au CERT sans passer par un autre prestataire. Cyna travaille via ses infogérants partenaires, qui portent la relation avec leurs clients. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Pour un retour sur des cas réels traités, voir Retour d’expérience des cyberattaques traitées par le SOC et le CERT Cyna en 2025.

Après l’incident

La réponse ne s’arrête pas au redémarrage. Il faut vérifier que l’attaquant est bien parti, corriger la faille d’entrée, renforcer la surveillance et produire un rapport utile à la direction, à l’assureur et, le cas échéant, aux autorités. Ces sujets sont traités dans notre série sur le déroulé, à commencer par Comment se déroule une réponse à incident ? et Comment éviter une seconde attaque dans la foulée ?.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Vous voulez préparer votre capacité de réponse à incident, ou celle de vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

La réponse à incident est-elle réservée aux grandes entreprises ?

Non. Une PME victime d'un rançongiciel a besoin des mêmes gestes : contenir, comprendre, nettoyer, redémarrer. Ce qui change, c'est la manière d'y accéder, souvent via son infogérant et un SOC partenaire.

Combien de temps dure une réponse à incident ?

Cela dépend de l'ampleur de l'attaque : de quelques heures pour un compte compromis bien circonscrit à plusieurs semaines pour un rançongiciel étendu. Voir Combien de temps prend une réponse à incident ?.

Peut-on gérer un incident seul, en interne ?

Une équipe interne peut gérer des incidents simples. Pour une attaque étendue, l'investigation et la recherche de persistance demandent des compétences rares. Voir Faut-il un prestataire externe ou l'équipe interne suffit-elle ?.

Faut-il porter plainte après une cyberattaque ?

C'est généralement conseillé. Si vous avez une assurance cyber, les démarches qu'elle prévoit figurent dans votre contrat : vérifiez-les avec votre assureur ou votre courtier. La plainte n'empêche pas la réponse technique, qui a intérêt à démarrer sans attendre. Voir Qui contacter en cas de cyberattaque ?.