Quelle différence entre réponse à incident et gestion de crise ?

La réponse à incident traite l’attaque sur le plan technique : contenir, investiguer, éradiquer, rétablir. La gestion de crise pilote ses conséquences sur l’entreprise : décisions de continuité, communication, obligations légales, relations avec les clients et les autorités. La première est conduite par des experts techniques, la seconde par la direction. Une attaque grave mobilise les deux en même temps.

Cet article fait partie de notre série sur la réponse à incident. Pour la vue d’ensemble, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Deux métiers, deux horizons

	Réponse à incident	Gestion de crise
Question centrale	Que fait l’attaquant, et comment l’arrêter ?	Comment l’entreprise continue-t-elle à fonctionner ?
Qui	Analystes, CERT, infogérant, équipe informatique	Direction, juridique, communication, métiers, RH
Décisions typiques	Isoler un serveur, réinitialiser des comptes, couper un flux	Arrêter la production, prévenir les clients, notifier une autorité, déposer plainte
Rythme	En continu, heure par heure	Points de situation réguliers, décisions arbitrées
Livrables	Chronologie, indicateurs de compromission, rapport technique	Plan de continuité activé, messages de communication, notifications
Fin	Attaquant évincé, systèmes sains	Retour à un fonctionnement normal de l’activité

Le guide « Crise d’origine cyber : les clés d’une gestion opérationnelle et stratégique », publié par l’ANSSI avec le Club des directeurs de sécurité et de sûreté des entreprises (CDSE), décrit précisément cette double dimension : une cellule opérationnelle qui traite l’incident et une cellule stratégique qui décide.

Quand un incident devient une crise

Un incident bascule en crise quand il dépasse ce que l’organisation sait traiter dans son fonctionnement normal. Quelques signaux :

• une activité essentielle est arrêtée ou menacée (production, facturation, accueil des clients) ;
• des données de clients ou de salariés sont touchées ;
• l’incident doit être notifié à une autorité ;
• des tiers sont exposés (clients, partenaires, fournisseurs) ;
• la presse ou les réseaux sociaux peuvent s’en emparer ;
• les décisions à prendre dépassent le périmètre de l’équipe informatique.

Pour situer ce qu’est un incident, voir Qu’est-ce qu’un incident de cybersécurité ?.

Comment les deux s’articulent

Les deux démarches avancent en parallèle et se nourrissent mutuellement :

1. L’équipe technique informe la cellule de crise : ce qui est touché, ce qui est sûr, ce qui ne l’est pas encore, combien de temps avant un redémarrage partiel.
2. La cellule de crise arbitre : accepter une interruption plus longue pour préserver les preuves, prioriser le redémarrage de telle activité, autoriser la coupure d’un accès fournisseur.
3. L’équipe technique exécute et rend compte au point de situation suivant.

Le piège classique : laisser l’équipe technique prendre seule des décisions qui engagent l’entreprise, ou à l’inverse laisser la direction intervenir dans les gestes techniques. Un interlocuteur unique, chargé de faire le lien, évite les deux.

Ce que dit le cadre réglementaire

NIS2 distingue elle aussi les deux notions dans son article 21, paragraphe 2 : la gestion des incidents (point b) d’un côté, la continuité des activités et la gestion des crises (point c) de l’autre. Les obligations de notification de l’article 23 (alerte précoce en 24 heures, notification en 72 heures, rapport final sous un mois) relèvent typiquement de la cellule de crise, qui s’appuie sur les faits fournis par l’équipe technique. Au 14 septembre 2026, la loi française de transposition n’est pas adoptée. Voir La réponse à incident est-elle obligatoire ?.

Côté prestataires, l’ANSSI a ajouté en octobre 2025 la gestion de crise d’origine cyber comme activité à part entière du référentiel des prestataires de réponse aux incidents de sécurité. Voir Qu’est-ce qu’un prestataire de réponse aux incidents qualifié (PRIS) ?.

Préparer les deux avant l’attaque

• Pour la réponse à incident : un contrat ou un partenaire mobilisable, des journaux conservés, des sauvegardes testées, des accès d’urgence documentés. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.
• Pour la gestion de crise : la composition de la cellule, les suppléants, un annuaire de contacts hors ligne, des messages types, un moyen de communication qui ne dépend pas du système attaqué.
• Pour les deux : un exercice annuel, qui révèle presque toujours un contact périmé ou un rôle mal défini.

Le rôle d’un SOC et de son CERT

Un SOC managé détecte et qualifie l’incident ; son CERT conduit la réponse technique et peut épauler la cellule de crise en lui fournissant des faits fiables et des options. Chez Cyna, le CERT, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les décisions de crise restent celles de l’entreprise touchée, en lien avec son infogérant.

Faire le point avec un expert

Vous voulez vérifier que vos clients, ou votre propre organisation, sont prêts à mener les deux de front ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Toute réponse à incident déclenche-t-elle une cellule de crise ?

Non. La plupart des incidents se traitent sans crise : un compte compromis vite bloqué, un poste isolé et nettoyé. La crise commence quand l'incident menace l'activité, la réputation ou la conformité, et exige des décisions de la direction.

Qui dirige la cellule de crise ?

Un membre de la direction ayant autorité pour arbitrer, en général le dirigeant ou un directeur désigné à l'avance. Le responsable technique y rend compte, mais ne la pilote pas.

L'infogérant fait-il partie de la cellule de crise ?

Souvent, oui, au moins comme contributeur : il connaît le système d'information, détient des accès d'administration et pilote souvent la remise en service. Son rôle gagne à être prévu dans le contrat. Voir SOC managé et infogérant : qui fait quoi ?.

Comment s'entraîner à la gestion de crise cyber ?

Par des exercices sur table, à partir d'un scénario réaliste, au moins une fois par an. L'ANSSI publie un guide dédié, « Organiser un exercice de gestion de crise cyber ».