Réagir à une cyberattaque : acteurs et obligations

Réagir à une cyberattaque, c'est suivre une procédure préparée à l'avance : contenir l'attaque, préserver les preuves, prévenir les bonnes personnes et les autorités, remettre le système en état, puis tirer les leçons. Ce chapitre présente les étapes de la gestion d'un incident de sécurité, les acteurs publics de la cybersécurité en France (ANSSI, CERT-FR, CSIRT régionaux, Cybermalveillance.gouv.fr, CNIL, OFAC) et les obligations légales qui s'imposent à une organisation victime, dont la notification à la CNIL, la directive NIS 2 et les durées légales de conservation des documents.

Les étapes de la gestion d'un incident

Un incident de sécurité est un événement qui porte atteinte, ou risque de porter atteinte, à la disponibilité, à l'intégrité, à la confidentialité ou à la preuve d'une ressource. Sa gestion suit un cycle en six étapes, décrit par le SANS (un institut américain de formation en sécurité) et proche des guides du NIST (l'agence américaine des normes), repris par la plupart des organisations :

Dans la logique ITIL, un incident de sécurité est un incident comme un autre, avec une priorité calculée à partir de l'impact et de l'urgence (cours ITIL et support) ; mais il demande en plus de préserver les preuves et de respecter des délais légaux.

Les acteurs publics de la cybersécurité en France

À ces acteurs s'ajoutent les prestataires privés : prestataires de réponse aux incidents de sécurité (l'ANSSI qualifie les PRIS), prestataires référencés par Cybermalveillance.gouv.fr pour les PME, et l'assureur cyber quand l'organisation en a un.

Obligation 1 : notifier une violation de données à la CNIL

Une violation de données personnelles est une atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Un rançongiciel, un fichier clients volé, un courriel envoyé au mauvais destinataire, un portable non chiffré perdu sont des violations.

Le RGPD impose au responsable du traitement :

La notification se fait en ligne sur le site de la CNIL. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. Elle peut être complétée plus tard si toutes les informations ne sont pas encore connues. Le cours Droit et RGPD détaille ces obligations.

Obligation 2 : porter plainte

Une cyberattaque est une infraction : l'accès frauduleux à un système est puni de 3 ans d'emprisonnement et 100 000 € d'amende, l'entrave à son fonctionnement et l'introduction ou la modification frauduleuse de données de 5 ans et 150 000 € (articles 323-1 à 323-3 du Code pénal, détaillés dans le cours CEJM droit). Porter plainte, auprès de la police, de la gendarmerie ou par écrit au procureur de la République, permet l'enquête et protège l'organisation. Depuis 2023, c'est aussi la condition de l'indemnisation par l'assurance cyber : la plainte doit être déposée au plus tard 72 heures après la connaissance de l'attaque.

Obligation 3 : la directive NIS 2

La directive européenne NIS 2 (directive (UE) 2022/2555) élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité. Elle distingue des entités essentielles et des entités importantes, dans dix-huit secteurs (énergie, transports, santé, eau, infrastructures numériques, administrations, gestion des déchets, industrie manufacturière, services postaux, alimentation, fournisseurs numériques…), selon leur taille et leur activité.

Ces entités devront notamment :

• prendre des mesures de gestion des risques proportionnées (analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, MFA, chiffrement, formation) ;
• signaler les incidents importants à l'autorité nationale (l'ANSSI en France) : une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final dans un délai d'un mois ;
• impliquer leur direction, qui approuve les mesures, suit une formation et peut être tenue pour responsable.

Les sanctions prévues par la directive vont jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante.

Où en est la France ? Les États devaient transposer la directive avant le 17 octobre 2024. En France, elle doit l'être par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience » : déposé au Sénat le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, examiné par une commission spéciale de l'Assemblée nationale en septembre 2025, il a vu son examen en séance publique reporté début octobre 2026. À la date de mise à jour de ce cours (novembre 2026), la loi n'est pas encore promulguée. L'ANSSI invite les organisations concernées à se préparer sans attendre et a publié en mars 2026 une version de travail de son référentiel, le ReCyF.

Avant NIS 2, deux régimes existaient déjà et restent en vigueur : celui des opérateurs d'importance vitale (OIV, loi de programmation militaire de 2013) et celui des opérateurs de services essentiels (OSE, directive NIS de 2016).

Obligation 4 : archiver et respecter les durées de conservation

Archiver, c'est conserver un document ou une donnée de façon sûre, pendant une durée fixée, une fois son usage courant terminé. Ce n'est pas une sauvegarde : la sauvegarde sert à restaurer un système après un incident et elle est écrasée au bout de quelques semaines ; l'archive sert à prouver (devant un juge, un contrôleur fiscal, l'inspection du travail) ou à garder la mémoire de l'organisation, pendant des années, sans pouvoir être modifiée.

On distingue trois âges des archives :

Les durées à connaître :

Ces durées sont souvent des minimums. Pour les données personnelles, le RGPD pose en plus un maximum : le principe de limitation de la conservation (article 5, paragraphe 1, e) interdit de garder des données permettant d'identifier une personne plus longtemps que ce qu'exige la finalité du traitement. Chaque traitement du registre doit donc avoir sa durée, et à l'échéance, les données sont supprimées ou anonymisées. Garder « au cas où » le fichier de tous les prospects depuis 2010 est une faute, et une violation de données n'en serait que plus grave.

Une archive n'a de valeur que si l'on peut prouver qu'elle n'a pas changé depuis son dépôt. Pour garantir son intégrité et sa lisibilité dans dix ans :

• un format pérenne et ouvert (PDF/A pour les documents, CSV ou XML pour les données), lisible sans le logiciel qui l'a produit ;
• une empreinte (SHA-256) calculée au versement et recontrôlée régulièrement (chapitre 9) ;
• un horodatage et un journal des opérations (qui a déposé, consulté, détruit quoi et quand) ;
• un support non réinscriptible (WORM, Write Once Read Many) ou un stockage objet avec verrouillage, qui interdit la modification et la suppression avant l'échéance ;
• des droits d'accès restreints, des copies sur deux sites et une migration des supports avant leur fin de vie ;
• une destruction tracée à l'échéance (procès-verbal, ou bordereau d'élimination visé par les Archives départementales dans le secteur public).

En SLAM, cela se traduit par une tâche planifiée de purge qui supprime ou anonymise les comptes inactifs et les candidatures expirées, et par une table de journal en ajout seul. En SISR, par une politique de rétention réglée dans l'outil de journalisation centralisé et un stockage d'archives verrouillé.

La veille : rester informé

Les menaces et les vulnérabilités changent chaque semaine. La veille fait partie du métier de technicien : le référentiel l'inscrit dans le bloc 1 (« mettre en œuvre des outils et stratégies de veille informationnelle »). Les sources fiables à suivre :

• les avis et alertes du CERT-FR, et ses bulletins d'actualité ;
• les guides et le panorama annuel de la cybermenace de l'ANSSI ;
• les fiches et actualités de Cybermalveillance.gouv.fr ;
• les recommandations et sanctions de la CNIL ;
• les bulletins de sécurité des éditeurs que tu utilises (Microsoft, Debian, ton pare-feu, ton framework).

Le même raisonnement en SLAM et en SISR

En SLAM, réagir à un incident applicatif, c'est savoir fermer la faille vite (correctif déployé par l'intégration continue, ou fonctionnalité désactivée), invalider toutes les sessions et jetons, forcer la réinitialisation des mots de passe si la base a pu être lue, et fournir à l'équipe les journaux d'audit qui disent quelles données ont été consultées : sans eux, impossible de savoir qui informer.

En SISR, c'est isoler les machines (port du commutateur désactivé, VLAN de quarantaine), désactiver les comptes compromis dans l'annuaire, bloquer les adresses de l'attaquant sur le pare-feu, collecter les journaux centralisés, restaurer depuis des sauvegardes saines, et réinitialiser les secrets sensibles du domaine si l'attaquant l'a compromis.

Pour aller plus loin. Le cours Journalisation et réponse à incident détaille chaque étape : le cycle de réponse, la notification à la CNIL, à l'ANSSI et au titre de NIS 2 et le rapport d'incident.

Exercices

Exercice 1 sur 5 Qui contacter ? Réussi À revoir

Pour chaque situation, indique le ou les acteurs à contacter et pourquoi.

1. Un commercial de Soléane découvre qu'un faux compte LinkedIn à son nom contacte des clients.
2. Le fichier des 3 200 clients de l'extranet a été exporté par un attaquant.
3. Le responsable informatique veut savoir si la faille annoncée ce matin dans le pare-feu de Soléane est activement exploitée.
4. Une PME cliente, victime d'un rançongiciel, ne sait pas par où commencer.

Voir la réponseMasquer la réponse de l'exercice 1

1. Signaler le faux profil à LinkedIn, porter plainte (usurpation d'identité, article 226-4-1 du Code pénal), prévenir les clients ; 17Cyber oriente si besoin.
2. CNIL (notification dans les 72 heures : données personnelles de clients), plainte auprès de la police ou de la gendarmerie, information des clients si le risque est élevé, assureur s'il y en a un.
3. Le site du CERT-FR (avis et alertes) et le bulletin de l'éditeur du pare-feu.
4. 17Cyber / Cybermalveillance.gouv.fr (diagnostic et mise en relation avec un prestataire référencé) ou le CSIRT régional ; puis plainte et, si des données personnelles sont touchées, notification à la CNIL.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 5 Calculer les délais Réussi À revoir

Le jeudi 5 novembre 2026 à 9 h, l'équipe de Soléane constate qu'un attaquant a lu la base des clients. Soléane est assurée contre les cyberattaques.

1. Jusqu'à quand Soléane peut-elle notifier la CNIL ?
2. Jusqu'à quand doit-elle porter plainte pour être indemnisée ?
3. Si Soléane était une entité soumise à NIS 2 et que l'incident était jugé important, quand devrait-elle envoyer l'alerte précoce à l'ANSSI ?

Voir la réponseMasquer la réponse de l'exercice 2

1. 72 heures après en avoir pris connaissance : dimanche 8 novembre 2026 à 9 h. Les week-ends comptent : le délai court en heures, pas en jours ouvrés.
2. Également 72 heures : dimanche 8 novembre 2026 à 9 h au plus tard.
3. Dans les 24 heures : vendredi 6 novembre 2026 à 9 h, puis notification sous 72 heures et rapport final sous un mois. (NIS 2 n'est pas encore transposée en France à cette date : c'est le calendrier fixé par la directive.)

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 5 Remettre les étapes dans l'ordre Réussi À revoir

Classe ces actions selon les étapes de la gestion d'incident (préparation, détection et analyse, confinement, éradication, rétablissement, retour d'expérience) :

1. Supprimer le compte support2 créé par l'attaquant.
2. Rédiger un compte rendu et ajouter la MFA sur le VPN.
3. Restaurer le serveur depuis la sauvegarde de la veille.
4. Désactiver le port du commutateur du poste infecté.
5. Analyser l'alerte de l'antivirus et ouvrir un ticket.
6. Organiser un exercice de crise annuel.

Voir la réponseMasquer la réponse de l'exercice 3

1. Éradication.
2. Retour d'expérience.
3. Rétablissement.
4. Confinement.
5. Détection et analyse.
6. Préparation.

Ordre logique : 6, 5, 4, 1, 3, 2.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 5 Notifier ou non ? Réussi À revoir

Pour chaque violation, indique si Soléane doit la documenter, la notifier à la CNIL, informer les personnes concernées.

1. Un courriel contenant la liste des noms et adresses professionnelles de 12 pharmaciens part par erreur chez un autre client, qui confirme l'avoir supprimé.
2. Un rançongiciel chiffre le serveur RH après en avoir exfiltré le contenu : fiches de paie, numéros de sécurité sociale, arrêts maladie de 140 salariés.

Voir la réponseMasquer la réponse de l'exercice 4

1. Documenter dans le registre, toujours. Le risque pour les personnes est faible (données professionnelles, destinataire de confiance qui a supprimé le message) : une notification à la CNIL n'est probablement pas nécessaire, et l'information des personnes non plus. La justification de cette décision est consignée.
2. Documenter, notifier la CNIL dans les 72 heures et informer les 140 salariés : les données sont sensibles (numéro de sécurité sociale, données de santé liées aux arrêts maladie, données financières), le risque est élevé (usurpation d'identité, fraude, atteinte à la vie privée). Soléane porte aussi plainte et informe les salariés des précautions à prendre.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 5 sur 5 Combien de temps conserver ? Réussi À revoir

Pour chaque document ou donnée, indique la durée de conservation et le texte qui la fixe.

1. Les factures d'achat de matériel informatique de Soléane pour l'exercice 2025.
2. Le double des bulletins de paie des salariés de Soléane.
3. Le CV d'une candidate non retenue en mars 2026, sans autre contact depuis.
4. Les images des caméras de la place du marché de la mairie de Valmorane.
5. Les journaux de connexion du portail citoyen de Valmorane. Comment garantir qu'ils n'ont pas été modifiés ?
6. Après avoir numérisé ses registres d'état civil, le maire de Valmorane veut détruire les registres papier pour gagner de la place. Peut-il le faire ?

Voir la réponseMasquer la réponse de l'exercice 5

1. 10 ans : pièces justificatives comptables (Code de commerce, art. L. 123-22).
2. 5 ans pour l'employeur (Code du travail, art. L. 3243-4). Si les bulletins sont remis sous forme électronique, ils doivent rester accessibles au salarié 50 ans ou jusqu'à ses 75 ans.
3. Jusqu'en mars 2028 au plus (2 ans après le dernier contact, référentiel de la CNIL). Au-delà, il faut l'accord de la candidate ; sinon, le CV est supprimé.
4. 1 mois au plus, la durée exacte étant fixée par l'autorisation préfectorale (Code de la sécurité intérieure, art. L. 252-5), sauf si des images sont demandées pour une enquête judiciaire.
5. 6 mois à 1 an en règle générale (recommandation de la CNIL sur la journalisation). Pour l'intégrité : envoi immédiat vers un serveur de journalisation centralisé, accès réservé à quelques administrateurs, empreinte et horodatage des fichiers, stockage non réinscriptible.
6. Non. Les registres d'état civil sont des archives publiques conservées définitivement : aucune élimination n'est possible sans le visa des Archives départementales (Code du patrimoine, art. L. 212-2). La numérisation facilite la consultation, elle ne remplace pas l'original.

Tu avais trouvé ?

Oui, j'avais bonPas encore