Réponse immédiate
Lors d’une cyberattaque, trois objectifs priment : limiter la propagation, préserver les preuves et stabiliser l’exploitation de manière contrôlée. Alertez l’organisation d’urgence interne, isolez les systèmes touchés conformément au plan de réponse aux incidents et commencez immédiatement un journal horodaté des décisions. Ne redémarrez pas les systèmes de manière non coordonnée, ne supprimez rien et communiquez par un canal sûr, externe si nécessaire.
La chronologie ci-dessous est un déroulement opérationnel, pas un délai légal général. Il faut examiner séparément si et quand le PFPDT, l’OFCS, la police, une autorité de surveillance, l’assureur ou des partenaires contractuels doivent être informés.
Les 15 premières minutes
- Donner l’alerte. Joindre les responsables IT, la direction et les suppléants désignés par le canal prévu à cet effet.
- Limiter la propagation. Déconnecter du réseau les appareils et segments touchés ; bloquer les accès à distance compromis. Ne pas réinitialiser ni réinstaller de sa propre initiative.
- Protéger les sauvegardes. Mettre les sauvegardes encore intactes et les accès d’administration à l’abri des attaquants.
- Ouvrir le journal. Consigner l’heure de détection, la personne qui signale, les symptômes visibles, les systèmes et chaque mesure avec l’heure.
- Utiliser une communication sûre. En cas de compromission possible de la messagerie, ne pas coordonner via le même compte ou le même chat.
Si des personnes, des soins médicaux, la sécurité industrielle ou d’autres processus critiques sont menacés, le plan de sécurité et de continuité prévu à cet effet prime sur ce guide général.
Dans les 4 heures
Vue de la situation et préservation des preuves
- Circonscrire les identités, appareils, serveurs, services cloud, sites et données concernés.
- Sauvegarder les logs, messages suspects, noms de fichiers, horodatages et indicateurs techniques.
- À défaut de compétences internes, faire appel à des spécialistes qualifiés en réponse aux incidents et en forensique.
- Coordonner la réinstallation et la restauration avec la forensique, voire la police, lorsque des preuves peuvent être pertinentes.
Aide externe et limitation financière
- Vérifier le numéro de police, la hotline d’urgence, les prestataires agréés et les réserves d’accord ; déclarer l’incident tôt, selon les règles du contrat.
- En cas de virement erroné ou d’accès bancaire compromis, contacter la banque sans délai via un numéro connu.
- En cas d’infraction possible, impliquer la police cantonale compétente. L’OFCS recommande de signaler aussi les tentatives de cyberincident.
- Basculer les processus métier critiques sur des procédures d’urgence éprouvées et faire approuver chaque exception.
Dans les 24 heures
- Trancher et documenter les obligations de signalement. Examiner séparément l’art. 24 LPD, l’assujettissement à l’OFCS, la surveillance sectorielle, les contrats et les liens avec l’étranger.
- Fixer la communication. N’informer collaborateurs, clients et partenaires qu’avec des faits confirmés, des consignes claires et un interlocuteur désigné.
- Planifier la reprise. Fermer le vecteur d’attaque, sécuriser les identités, reconstruire des systèmes sains et ne restaurer les données qu’à partir de sauvegardes vérifiées.
- Recenser le dommage. Justifier au fur et à mesure l’interruption, les surcoûts, les prestations externes et les décisions ; ne pas reconstituer les coûts de mémoire.
- Planifier le prochain point de situation. Consigner par écrit les responsables, les questions ouvertes, les risques et les critères de validation.
Ne pas confondre PFPDT et OFCS
| Examen | Moment | Question clé |
|---|---|---|
| PFPDT, art. 24 LPD | dans les meilleurs délais, si l’annonce est obligatoire | Une violation de la sécurité des données entraîne-t-elle vraisemblablement un risque élevé pour les personnes concernées ? |
| OFCS, obligation légale | dans les 24 heures suivant la découverte | L’organisation est-elle une infrastructure critique assujettie et la cyberattaque doit-elle être signalée ? |
| OFCS, signalement volontaire | le plus tôt possible | Le signalement peut-il contribuer à l’évaluation de la situation et à l’alerte d’autres organisations ? |
L’annonce générale prévue par la LPD suisse ne connaît pas de délai forfaitaire de 72 heures. Des règles étrangères peuvent s’y ajouter pour les entreprises actives à l’international. Le guide sur l’obligation de signaler donne les détails.
Plan d’urgence d’une page à imprimer et journal d’incident
La section suivante est optimisée pour le format A4. Avec Ctrl/⌘ + P, seul le plan d’urgence est imprimé. Imprimez-le à titre préventif, complétez les noms et numéros et conservez-le en dehors de l’IT de production.
A4 · à remplir hors ligne · à vérifier chaque semestre
Plan d’urgence cyber pour la première heure
Organisation : · Version/date : · Responsable :
1 · Alerte et protection
- □ Cellule de crise et IT alertées
- □ Systèmes/segments touchés isolés
- □ Sauvegardes et accès admin protégés
- □ Aucun redémarrage/reset non coordonné
- □ Canal de communication sûr activé
2 · Contacts d’urgence
Cellule de crise :
IT/forensique :
Assureur/police :
Banque/police cantonale :
Droit/protection des données :
3 · Première vue de la situation
| Découvert | Date/heure : · par : |
|---|---|
| Symptômes | |
| Touché | Systèmes/données/sites : |
| Impact | Exploitation/personnes/tiers : |
4 · Journal d’incident
| Heure | Observation/mesure | Personne | Validation/justificatif |
|---|---|---|---|
Heure : · Direction :
□ Assureur · □ OFCS · □ PFPDT · □ Police · □ autres
Ce qu’il faut éviter pendant l’incident
- continuer à utiliser des appareils compromis pour copier « vite fait » des données ;
- supprimer, redémarrer ou réinitialiser des systèmes avant d’avoir coordonné la préservation des preuves et la reprise ;
- se coordonner via des comptes ou appareils probablement compromis ;
- affirmer publiquement des causes, auteurs ou fuites de données non confirmés ;
- mandater des prestations externes sans vérifier la nécessité de la mesure immédiate et l’accord contractuel ;
- confondre une restauration sûre avec un simple retour à la disponibilité.
Quel rôle joue la cyberassurance ?
Selon le contrat, une cyberassurance peut couvrir la coordination d’urgence, la forensique, le conseil juridique, la communication de crise, la restauration des données, l’interruption d’exploitation ou la responsabilité civile. La couverture n’est pas automatique : déclencheurs, limites, sous-limites, franchise, délai de carence, exigences de sécurité, choix des prestataires et obligations d’obtenir un accord doivent être vérifiés dans le contrat concret.
Gardez donc la police et le numéro d’urgence à disposition hors ligne. Le guide sur l’étendue de la couverture montre quels points du contrat clarifier avant un incident.
Sources officielles
- OFCS : Incident – que faire ? Informations pour les entreprises et les autorités
- PFPDT : Guide sur l’annonce des violations de la sécurité des données selon l’art. 24 LPD
- OFCS : Obligation de signaler pour les infrastructures critiques
Contenu vérifié le 18 juillet 2026. Ce guide ne remplace ni un plan de réponse aux incidents adapté à l’entreprise, ni un conseil technique, juridique ou d’assurance au cas par cas.