Le récit standard de la crise cyber tient en une phrase : les premières minutes décident de tout. C'est à moitié vrai, et la moitié fausse est celle qui coûte le plus cher. Ce qui se décide dans la première heure, ce n'est pas l'issue technique de l'attaque — elle est en général jouée depuis plusieurs jours. Ce qui se décide, c'est la qualité des preuves, le point de départ de quatre horloges réglementaires distinctes, et la crédibilité de tout ce qui sera dit ensuite.
L'État français publie gratuitement trois guides sur le sujet depuis 2020. Ils sont bons, ils sont détaillés, et ils sont très peu lus. Cette enquête regarde ce qu'ils disent réellement, ce que le droit impose réellement, et ce que les décisions publiques documentées montrent réellement — y compris l'inconfortable constat que l'obligation la plus citée en conférence n'est, en France, toujours pas en vigueur.
L'enquête en 30 secondes
Que disent les guides publics sur la première heure ?
L'ANSSI a construit une collection de trois volumes, tous téléchargeables sans frais.
Le premier, Organiser un exercice de gestion de crise cyber, a été publié le 16 octobre 2020 avec le Club de la continuité d'activité. Le deuxième, Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique, est paru le 6 décembre 2021 avec le Club des directeurs de sécurité et de sûreté des entreprises : dix-huit fiches pratiques organisées en quatre phases — anticipation, alerte et qualification, gestion, sortie de crise. Le troisième porte sur la communication de crise.
Ce découpage dit quelque chose d'important. La « première heure » n'est pas une phase : elle chevauche l'alerte, la qualification et le début de la gestion. Et l'anticipation, seule phase qui se déroule entièrement avant l'incident, est celle qui conditionne les trois autres. Une organisation qui découvre l'existence de ces guides le jour de l'attaque a déjà perdu la phase la plus déterminante.
Du côté opérationnel, Cybermalveillance.gouv.fr publie un guide dirigeants, mis en ligne le 27 janvier 2022 et mis à jour le 17 mars 2026, dont la séquence est explicite : alerter le support informatique, isoler les systèmes touchés du réseau et d'internet, constituer une cellule de crise couvrant les volets technique, juridique, financier, ressources humaines et communication, tenir une main courante de tous les événements et de toutes les actions, préserver les preuves — messages, machines concernées, journaux de connexion.
Le même document est catégorique sur un point : ne pas payer de rançon. Le paiement finance l'activité criminelle, désigne l'entreprise comme cible solvable et n'offre aucune garantie contractuelle de restitution.
Faut-il tout éteindre, ou tout débrancher ?
Ce sont deux gestes différents et un seul est recommandé. Isoler consiste à couper les liaisons réseau — accès distants, VPN, interconnexions, internet — en laissant les machines sous tension. Éteindre consiste à couper l'alimentation.
L'écart entre les deux est celui qui sépare une investigation possible d'une investigation aveugle. La mémoire vive d'une machine allumée contient les processus en cours, les connexions établies et, très souvent, les éléments qui permettent d'identifier le point d'entrée. Une extinction les efface définitivement. Or c'est précisément le réflexe le plus naturel, et souvent le premier ordre donné par une direction générale prise de court.
Ce détail apparemment technique a une conséquence directement juridique. Sans preuves exploitables, une entreprise ne peut ni établir l'étendue exacte de la compromission, ni documenter sa notification à l'autorité de contrôle, ni étayer une plainte, ni justifier auprès de son assureur ce qu'elle affirme. La main courante recommandée par Cybermalveillance.gouv.fr — heure, fait constaté, décision prise, personne qui décide — n'est pas de la bureaucratie : c'est le seul document qui existera encore dans dix-huit mois quand il faudra expliquer le déroulé à un régulateur.
Quelles horloges réglementaires démarrent, et à quelle heure exactement ?
Le chiffre de 72 heures est devenu un réflexe de conférence. Il en existe au moins quatre autres, avec des points de départ différents, et une organisation peut être soumise à plusieurs simultanément.
Les quatre horloges qui démarrent dans la même heure
DORA : notification initiale à l'autorité
Pour une entité financière, la notification initiale d'un incident majeur lié aux technologies de l'information est due dans les 4 heures suivant sa classification comme majeur, et en tout état de cause au plus tard 24 heures après sa détection. En France, l'autorité destinataire est l'ACPR. C'est le délai le plus court du droit européen applicable, et le moins connu des dirigeants.
Deux points méritent d'être soulignés. Le premier est que le délai de 4 heures de DORA, applicable depuis janvier 2025 aux entités financières et à certains de leurs prestataires informatiques, est plus contraignant que tout ce qui circule dans les argumentaires commerciaux. Le second est que ces horloges ne se déclenchent pas au même moment : le RGPD part de la « prise de connaissance », DORA de la « classification » de l'incident comme majeur. Une organisation qui n'a pas défini à l'avance qui prononce ces deux qualifications, et sur quels critères, découvrira le sujet au pire moment.
La France applique-t-elle vraiment NIS2 ?
Non. Et c'est le point que les conférences oublient de préciser.
La directive (UE) 2022/2555 devait être transposée par les États membres au plus tard le 17 octobre 2024. Le projet de loi français relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024, avec engagement de la procédure accélérée. Le Sénat l'a adopté le 12 mars 2025. Le texte a été déposé à l'Assemblée nationale le 13 mars 2025 ; le rapport de la commission spéciale a été enregistré le 10 septembre 2025. À l'été 2026, le dossier législatif de l'Assemblée nationale ne mentionne aucune adoption définitive ni promulgation.
Autrement dit : les obligations de notification sous 24 heures et 72 heures dont on explique aux dirigeants français qu'elles leur sont opposables ne le sont pas encore, faute de véhicule législatif national — sauf pour les entités déjà soumises à la première directive NIS, au dispositif des opérateurs d'importance vitale, ou à DORA.
L'ANSSI, qui sera l'autorité nationale compétente, n'a pas attendu. Elle a mis à disposition le 17 mars 2026 un référentiel de mesures, le Référentiel Cyber Français, aligné sur les objectifs de sécurité de NIS2, et ouvert un espace de préfiguration pour les entités concernées — estimées à environ 15 000 en France, réparties dans dix-huit secteurs. Les plafonds de sanction prévus par la directive elle-même sont de 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et de 7 millions d'euros ou 1,4 % pour les entités importantes.
Le décalage crée une situation inconfortable : un dirigeant qui prépare sa cellule de crise sur la base de NIS2 travaille sur un texte européen dont la version française n'est pas stabilisée, et dont les seuils exacts d'assujettissement dépendront du décret d'application. Préparer les délais est raisonnable ; affirmer qu'ils s'imposent déjà à toute entreprise de plus de cinquante salariés ne l'est pas.
Que risque-t-on réellement à mal gérer la première heure ?
La CNIL a publié son rapport annuel 2025 le 18 mai 2026, et son bilan des sanctions séparément. Les chiffres sont spectaculaires, et ils ne disent pas ce qu'on leur fait dire.
L'activité de la CNIL en 2025
0
Violations de données notifiées à la CNIL en 2025, record depuis la création du registre, en hausse de près de 10 %
0
Incidents déclarés au total, dont 11 635 rattachés à deux violations majeures chez des éditeurs, notifiées par leurs clients
0
Sanctions prononcées en 2025
0
Plaintes reçues, dont environ 1 900 liées à des violations de données
Le total des amendes 2025 s'établit à 486 839 500 €, soit 8,8 fois le cumul de 2024. Ce chiffre est vrai et il est trompeur.
D'où viennent réellement les 486,8 M€ d'amendes prononcées en 2025
La lecture honnête est donc celle-ci : le risque de sanction pour une mauvaise gestion de crise existe, mais il ne se compte pas en centaines de millions. Il se compte en centaines de milliers d'euros, et il frappe d'abord les manquements de sécurité documentés en amont de l'incident.
La décision NEXPUBLICA est instructive sur ce point. La CNIL y relève que les vulnérabilités étaient connues et identifiées par plusieurs rapports d'audit sans avoir été corrigées avant les violations, et retient la spécialisation informatique de l'entreprise comme circonstance aggravante. Ce n'est pas la première heure qui a été sanctionnée : ce sont les mois qui l'ont précédée. La qualité de la réponse à chaud atténue ; elle n'efface pas.
Un dernier élément juridique mérite d'être connu : la notification tardive est un manquement autonome à l'article 33 du RGPD, sanctionnable au titre de l'article 83, et elle est presque systématiquement retenue comme facteur aggravant lorsqu'elle s'ajoute à un défaut de sécurité. La CNIL admet une notification en plusieurs temps — une déclaration initiale, puis des compléments — ce qui rend le dépassement du délai difficile à justifier.
Que montrent les incidents publics documentés ?
Les retours d'expérience réellement publics sont rares. Le plus documenté reste celui du Centre hospitalier Sud Francilien de Corbeil-Essonnes, attaqué dans la nuit du samedi 20 au dimanche 21 août 2022 par le groupe LockBit 3.0. L'établissement active son plan blanc dès le 21 août, l'ensemble des logiciels métier et le système d'admission étant inaccessibles. Une rançon de 10 millions de dollars est réclamée à partir du 12 septembre, puis ramenée à 2 millions. L'hôpital refuse de payer. Le 23 septembre, une archive de 11 gigaoctets contenant plusieurs centaines de milliers de documents — numéros de sécurité sociale, comptes rendus d'examens — est publiée en ligne.
Ce calendrier dit deux choses. D'abord, la fenêtre de décision réelle ne se referme pas à la soixantième minute : entre la détection et la première demande de rançon, il s'est écoulé trois semaines. Ensuite, le refus de payer n'a pas empêché la publication : la seule protection contre la divulgation est de ne pas avoir laissé exfiltrer, ce qui est une question de détection, pas de gestion de crise.
Cette bascule de l'extorsion vers la divulgation est désormais mesurée. Dans le Panorama de la cybermenace 2025, publié le 11 mars 2026, l'ANSSI recense 128 compromissions par rançongiciel portées à sa connaissance, en léger recul, et 196 incidents liés à des exfiltrations de données, associées ou non à un rançongiciel — contre 130 l'année précédente. Un nombre croissant d'attaquants entre, vole et fait chanter, sans jamais chiffrer quoi que ce soit. Une cellule de crise entraînée à restaurer des sauvegardes n'est pas entraînée pour ce scénario-là.
Sur la durée, l'ANSSI est explicite dans sa page consacrée à la gestion de crise : la sortie de crise peut être longue, la réponse technique, l'investigation numérique et le rétablissement du fonctionnement du système d'information étant des actions qui peuvent prendre plusieurs mois. La première heure décide de la qualité des preuves ; elle ne décide pas de la durée de l'arrêt.
Que peut-on préparer sans budget avant l'incident ?
Quatre éléments, tous gratuits, tous absents de la majorité des organisations.
Un annuaire de crise hors ligne. Numéros du dirigeant, du responsable informatique, du prestataire, de l'assureur, du CSIRT territorial et de l'avocat, imprimés sur papier. Une messagerie compromise ou chiffrée rend inaccessible le carnet d'adresses au moment précis où il faut appeler.
Un canal de communication de secours. La cellule de crise ne peut pas se coordonner sur le système d'information qu'elle est en train d'isoler. Décider à l'avance du canal alternatif — et vérifier que les bonnes personnes y sont — prend une réunion.
Une main courante et un décideur nommé. Qui prononce la qualification, qui décide de l'isolement, qui parle à la presse, qui signe la notification. Sans nom en face de chaque décision, la première heure se passe à chercher une signature.
Un exercice. Le guide de l'ANSSI et du Club de la continuité d'activité publié en octobre 2020 fournit la méthode complète, fiches et chronogramme compris, pour construire un exercice plausible. C'est le seul document de cette enquête qui transforme une intention en compétence, et il est téléchargeable sans frais.
Pour les organisations sans équipe interne, le CERT-FR recense seize dispositifs territoriaux — quinze CSIRT régionaux et un centre de ressources cyber — issus du plan France Relance, qui assurent gratuitement une réponse à incident de premier niveau aux PME, ETI, collectivités et associations de leur territoire. Identifier le sien avant l'incident coûte cinq minutes.
Ce que cette enquête n'a pas pu établir
Trois limites, énoncées franchement.
Il n'existe aucune statistique publique française sur les délais réels de notification. La CNIL publie le nombre de violations notifiées, pas la proportion de notifications hors délai, ni le temps médian écoulé entre la découverte et la déclaration. L'affirmation selon laquelle « la majorité des entreprises dépassent les 72 heures » circule largement : elle n'est adossée à aucune donnée publique vérifiable et n'est donc pas reprise ici.
Le chiffre selon lequel le coût d'un incident dépendrait « davantage de la qualité de la réponse dans les cinq premières heures que des moyens techniques déployés ensuite » apparaît sur plusieurs sites commerciaux français en l'attribuant à Cybermalveillance.gouv.fr. Il n'a été retrouvé dans aucune publication du dispositif public. Il est signalé ici comme non vérifié, et écarté.
Enfin, les retours d'expérience publics restent presque tous issus du secteur public — hôpitaux, collectivités — parce que ces organisations ont une obligation de transparence que les entreprises privées n'ont pas. Le déroulé heure par heure d'une crise dans une PME industrielle n'est documenté nulle part publiquement. Ce que cette enquête décrit vaut donc pour un secteur qui parle, pas nécessairement pour celui qui se tait.
FAQ
Quel est le vrai délai pour notifier une cyberattaque en France ?
Il dépend du régime applicable. Le RGPD impose 72 heures à compter de la prise de connaissance pour notifier une violation de données personnelles à la CNIL. Le règlement DORA impose aux entités financières une notification initiale sous 4 heures après classification de l'incident comme majeur, et au plus tard 24 heures après sa détection. La directive NIS2 prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois, mais sa loi française de transposition n'était pas adoptée à l'été 2026.
Faut-il éteindre les ordinateurs en cas d'attaque ?
Non : il faut les isoler, pas les éteindre. Couper les liaisons réseau, les accès distants et internet arrête la propagation en conservant la mémoire vive, qui contient les éléments permettant de reconstituer le point d'entrée. Une extinction efface ces traces définitivement et rend l'investigation, la notification documentée et la plainte nettement plus difficiles.
La directive NIS2 s'applique-t-elle déjà aux entreprises françaises ?
Pas encore par la voie nationale. La directive devait être transposée avant le 17 octobre 2024 ; le projet de loi français a été déposé au Sénat le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, examiné en commission à l'Assemblée nationale le 10 septembre 2025, et n'avait pas été définitivement adopté à l'été 2026. L'ANSSI a publié le 17 mars 2026 un référentiel de mesures aligné sur les objectifs de NIS2 pour permettre aux quelque 15 000 entités concernées de se préparer.
Quels documents publics gratuits existent pour préparer une crise cyber ?
L'ANSSI publie trois guides : Organiser un exercice de gestion de crise cyber avec le Club de la continuité d'activité, paru le 16 octobre 2020 ; Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique avec le CDSE, paru le 6 décembre 2021 ; et un volume consacré à la communication de crise. Cybermalveillance.gouv.fr publie de son côté un guide dirigeants mis à jour le 17 mars 2026.
L'enquête en slides
