NIS2 : vos procédures résisteraient-elles à une vraie crise cyber ?
Formaliser des procédures est indispensable. Mais lorsqu’une cyberattaque survient, c’est la capacité à décider, à se coordonner et à maintenir les activités prioritaires qui fait la différence. Dans le contexte NIS2, l’exercice de crise cyber permet de passer d’un dispositif documenté à une organisation réellement entraînée.
NIS2 renforce les attentes autour de la préparation aux incidents cyber
NIS2 ne se résume pas à la rédaction de procédures : elle impose une démarche de gestion des risques et de préparation aux incidents. Dans ce cadre, l’exercice de crise cyber constitue un moyen concret d’éprouver l’efficacité du dispositif prévu et d’identifier les ajustements nécessaires.
Un plan de crise cyber n’est utile que s’il fonctionne sous pression
Une procédure peut être parfaitement documentée et pourtant difficile à appliquer sous pression.
Cette difficulté apparaît souvent dès les premières minutes d’une crise.
Sur le papier, tout était prévu. Mais le jour J, l’annuaire d’urgence est stocké sur un serveur devenu inaccessible. Une personne essentielle a changé de fonction. Le responsable habilité à couper un réseau ne peut pas être joint. Les métiers et la DSI ne partagent pas la même compréhension de la priorité. La communication prépare un message alors que l’origine et l’ampleur de l’incident restent incertaines.
Ainsi, un plan opérationnel doit apporter des réponses utilisables, y compris lorsque les outils habituels ne fonctionnent plus.
Rôles et circuits de décision clairs
Un dispositif efficace doit clarifier les responsabilités entre la direction, les équipes techniques et les métiers : qui pilote, qui apporte l’expertise, qui arbitre et qui communique. L’exercice permet justement de vérifier si cette répartition, claire sur le papier, fonctionne réellement sous pression.
Moyens disponibles en mode dégradé
En mode dégradé, l’organisation doit pouvoir continuer à piloter la crise même lorsque ses outils habituels sont indisponibles. Cela suppose de disposer de moyens de communication, de contacts et de supports de crise accessibles indépendamment du système d’information compromis. L’exercice permet de vérifier que ces solutions de secours existent, sont connues et peuvent réellement être utilisées le jour J.
Une continuité pensée avec les métiers
La continuité d’activité ne se limite pas à restaurer des serveurs. Elle implique de savoir quelles activités doivent être maintenues en priorité, quelles dépendances sont critiques et quelles solutions de repli sont réellement utilisables. L’exercice permet de confronter ces hypothèses à une situation concrète.
Anticiper les décisions sans prétendre tout prévoir
Un plan de crise cyber ne peut pas prévoir chaque scénario. Il peut en revanche préparer les arbitrages sensibles : isoler une partie du réseau, interrompre une production, fonctionner en mode dégradé, restaurer un service prioritaire ou communiquer publiquement.
Un plan décrit ce qui devrait se passer. Un exercice révèle ce qui se passe réellement.
L’exercice de crise cyber transforme la préparation en réflexes
Chez HeyCyber, nous construisons chaque exercice de crise cyber, à partir des activités, des dépendances et des enjeux réels de l’organisation.
Nous construisons un scénario réaliste, adapté à votre activité et à votre niveau de préparation.
Le scénario peut s’appuyer sur un rançongiciel, la compromission d’un fournisseur, une fuite de données ou l’indisponibilité d’un service essentiel. Chez HeyCyber, nous l’adaptons à votre secteur, à vos dépendances et aux impacts métier que votre organisation pourrait réellement rencontrer.
Une entreprise industrielle ne sera pas confrontée aux mêmes arbitrages qu’une collectivité ou un établissement de santé. Le scénario est donc conçu pour reproduire vos enjeux, et non une cyberattaque générique.
Le rythme, la complexité des événements et le niveau d’incertitude sont ajustés en fonction de l’expérience de la cellule de crise et des objectifs de l’exercice.
Nous faisons évoluer le scénario en fonction de vos décisions.
Au fil de la simulation, de nouveaux événements viennent faire évoluer la situation : demande de rançon, appel d’un client, alerte d’un prestataire, publication supposée de données ou sollicitation d’un journaliste. Chaque nouvelle information oblige la cellule à réévaluer la situation et à arbitrer. Les décisions prises influencent ensuite la manière dont le scénario évolue.
La crise devient alors un sujet de direction. L’exercice confronte la cellule à des arbitrages concrets :
- Faut-il isoler un système au risque d’interrompre l’activité ?
- Quel service restaurer en premier ?
- Peut-on poursuivre certaines opérations manuellement ?
- Faut-il prévenir immédiatement les clients ?
- Quelles informations sont suffisamment fiables pour être communiquées ?
- À quel moment solliciter un prestataire ou une autorité ?
Ces arbitrages permettent aux dirigeants et aux membres de la cellule de crise de s’entraîner à exercer leur rôle sans se substituer aux équipes techniques.
Nous observons le fonctionnement de votre cellule de crise
Pendant l’exercice, nous analysons les décisions prises, la circulation de l’information, la coordination entre les acteurs et les éventuels points de blocage. L’objectif n’est pas d’évaluer individuellement les participants, mais de comprendre comment fonctionne votre dispositif collectif.
Notre observation porte notamment sur l’activation de la cellule, la répartition des rôles, la communication, les arbitrages et la continuité des activités.
Nous fournissons un RETEX (Retour d’expérience) exploitable
Ce que l’exercice de crise cyber permet concrètement de tester
Un exercice prend toute sa valeur lorsqu’il permet d’apporter des réponses concrètes à des questions essentielles :
- Qui déclenche la cellule de crise ?
- Qui arbitre ?
- Comment l’information circule-t-elle au sein de la cellule de crise ?
- Comment maintenir l’activité ?
- Comment communiquer ?
- Comment décider avec des informations incomplètes ?
Du test au plan d’amélioration
La valeur d’un exercice ne se mesure pas au nombre d’événements joués, mais à ce que l’organisation en fait ensuite. Le RETEX permet de transformer les observations de la simulation en décisions concrètes : clarifier une responsabilité, ajuster une procédure, améliorer un circuit de communication ou préparer un nouvel entraînement ciblé.
Conclusion
NIS2 fixe un cadre. L’exercice permet de vérifier que votre dispositif fonctionne lorsque la pression monte. Une organisation préparée ne se reconnaît pas au nombre de pages de son plan de crise, mais à sa capacité à décider, se coordonner, maintenir ses activités prioritaires et communiquer lorsque les certitudes disparaissent.
La conformité se documente. La résilience, elle, s’entraîne.
Vous souhaitez mettre votre dispositif de gestion de crise à l’épreuve ? Échangeons sur un exercice adapté à votre organisation.
FAQ - NIS2 : de la conformité à l'exercice de crise cyber
NIS2 impose-t-elle un exercice de crise cyber ?
NIS2 exige des mesures proportionnées de gestion des incidents, de continuité et de gestion de crise, ainsi qu’une évaluation de leur efficacité. Elle ne fixe pas une fréquence générale identique pour tous les exercices. La version de travail du ReCyF prévoit au minimum un exercice sur table à une fréquence définie par l’entité, mais les modalités françaises définitives doivent encore être confirmées.
Qui doit participer à un exercice de crise cyber ?
Les fonctions mobilisées pendant une véritable crise doivent être représentées : direction, RSSI, DSI, métiers prioritaires, communication, juridique, RH et responsables des risques ou de la continuité. Des prestataires ou partenaires critiques peuvent également être intégrés lorsque le scénario le justifie.
Combien de temps faut-il pour organiser un premier exercice ?
La durée dépend du périmètre, du nombre de participants et du niveau de simulation recherché. Un exercice sur table ciblé peut être organisé plus rapidement qu’une simulation complète. Le cadrage doit néanmoins laisser suffisamment de temps pour comprendre l’organisation, construire un scénario pertinent, préparer les stimuli et définir les critères d’observation.