1. L’Agence nationale de la sécurité des systèmes d’information (ANSSI), service du Premier ministre créé en 2009 et placé sous l’autorité du secrétaire général de la défense et de la sécurité nationale, est l’autorité nationale en matière de cybersécurité et de cyberdéfense en France. Le modèle français de la cybersécurité repose sur une séparation claire entre missions défensives et offensives, l’ANSSI étant chargée de coordonner le champ de la défense et de la protection des systèmes d’information.
2. La raison d’être de l’ANSSI est de construire et organiser, en interministériel, la protection de la Nation face aux cyberattaques et de contribuer à la stabilité du cyberespace. Son action s’inscrit dans les missions régaliennes de l’État et vise la sécurité et la résilience des administrations, de l’économie et de la société dans son ensemble. Cette approche globale explique l’importance accordée à la gestion de crise cyber et, plus spécifiquement, à la communication de crise cyber.
3. L’action de l’ANSSI se décline en cinq grandes missions : défendre les systèmes d’information critiques et les victimes de cyberattaques d’ampleur ; connaître l’état de l’art de la cybersécurité et les menaces du cyberespace ; partager de la connaissance, des recommandations et de l’expertise en sûreté numérique ; accompagner l’écosystème national et international ; réguler les organisations, produits et services de cybersécurité. Le guide « Anticiper et gérer sa communication de crise cyber » s’inscrit dans cette mission de partage et d’accompagnement.
4. Une crise d’origine cyber se définit comme une déstabilisation immédiate et majeure du fonctionnement courant d’une entité (arrêt des activités, impossibilité de délivrer des services, pertes financières lourdes, perte d’intégrité majeure, etc.) en raison d’actions malveillantes sur ses services et outils numériques (par exemple rançongiciel, déni de service, défiguration). Il s’agit d’un événement à fort impact, qui ne peut être traité par les processus habituels et sort du cadre du fonctionnement normal de l’entité.
5. Le guide « Anticiper et gérer sa communication de crise cyber » part du constat que la technicité d’une crise cyber peut déstabiliser même les communicants les plus aguerris, confrontés à des codes, des enjeux et un écosystème éloignés de leur cœur de métier. Tout en détaillant les spécificités liées au cyber, le guide montre qu’une bonne communication de crise cyber repose d’abord sur les réflexes et outils communs à toute stratégie de communication de crise.
6. En s’appuyant sur les situations rencontrées par l’ANSSI dans son rôle d’assistance auprès de victimes, le guide propose des recommandations opérationnelles pour anticiper et mettre en place une stratégie de communication de crise lors d’une cyberattaque. Il insiste sur l’absence de « recette magique » en communication de crise, mais identifie des réflexes et notions essentielles à intégrer « dès aujourd’hui » pour être prêt le jour où une crise cyber survient.
7. Le guide, structuré en dix fiches pratiques et une checklist, s’adresse à toutes les personnes occupant une fonction de communicant lors de la gestion d’une crise dans une administration publique, une entreprise privée ou une association. Il vise aussi bien les professionnels de la communication (directeur de la communication, chargé de communication, agence) que d’autres profils (directeur de cabinet, secrétaire général, juriste, etc.) amenés à assumer ce rôle « faute de communicants ».
8. La Fiche 1 souligne qu’en cas de crise cyber, l’équipe cyber/informatique (dont le RSSI et le DPO) et l’équipe communication sont fortement mobilisées. Faire connaissance dans l’urgence est difficile. Il est donc indispensable d’initier un dialogue entre ces équipes en amont, afin de mieux se connaître et de comprendre les priorités, enjeux et vocabulaire de chaque métier.
9. Le responsable informatique doit pouvoir rendre compte en temps réel de la situation technique et de ses évolutions possibles, tandis que le communicant apporte sa connaissance des cibles internes et externes et des moyens de communication disponibles. Cette acculturation mutuelle peut prendre la forme d’ateliers de travail, de campagnes de sensibilisation interne (par exemple lors du Cybermois) ou d’exercices de gestion de crise cyber.
10. Chaque entité doit conduire une analyse des risques menaçant de déstabiliser ses activités et anticiper plusieurs scénarios de crise cyber réalistes (DDoS, rançongiciel, défiguration, etc.). Il est recommandé de préparer des stratégies de communication de crise (cf. Fiche 5) en réponse à ces scénarios, puis de les tester lors d’exercices. Sans être exhaustif, ce travail permet, le jour J, de disposer d’une première base pour avancer efficacement et gagner du temps.
11. En l’absence d’équipe cyber/informatique interne, des prestataires ou des dispositifs comme Cybermalveillance.gouv.fr peuvent fournir des clés de compréhension de la cybersécurité. La méthode EBIOS Risk Manager est citée comme référence pour l’analyse de risques.
12. La Fiche 2 recommande de rassembler, en amont, des ressources utiles dans une boîte à outils dédiée à la communication de crise cyber. Cette boîte doit permettre de déployer rapidement des actions efficaces le jour J. Elle peut contenir :
12.1. Les stratégies de communication de crise pré-identifiées avec leurs éléments de langage (EDL), en fonction des scénarios probables (cf. Fiche 1 et Fiche 5), élaborés notamment à l’aide du CyberDico de l’ANSSI, qui définit les principaux termes de la cybersécurité.
12.2. Un ordinateur vierge ou déconnecté du réseau pour accéder aux outils de PAO, aux comptes de réseaux sociaux ou pour envoyer des communications internes en cas de compromission du système principal.
12.3. Le dispositif de gestion de crise de l’entité et les annuaires des acteurs de la cellule de crise.
12.4. Un listing des modes de communication dégradés, anticipant l’indisponibilité d’Internet, des emails, du téléphone ou des serveurs. La Fiche 8 fournit des exemples de ces modes dégradés.
12.5. Les codes et outils de pilotage de la communication : identifiants des comptes (réseaux sociaux, site web, intranet), templates de communiqués, annuaire des porte-paroles, fichier des contacts journalistes et influenceurs.
13. La préparation de cette boîte à outils peut s’appuyer sur le plan de reprise d’activité (PRA) ou le plan de continuité d’activité (PCA) de l’entité. Elle doit être régulièrement mise à jour à partir des retours d’expérience (RETEX) réels ou issus d’exercices de crise cyber, et être disponible sur un serveur, une clé USB, dans un coffre-fort numérique et en version papier.
14. La Fiche 2 insiste sur la sécurité des comptes réseaux sociaux : choix de mots de passe robustes et uniques, usage d’un gestionnaire de mots de passe, évitement des Wi-Fi gratuits, séparation des usages professionnels et personnels, double authentification systématique, renouvellement régulier des mots de passe et absence de traces écrites non protégées.
15. La Fiche 3 met l’accent sur les exercices de gestion de crise cyber comme moyen de tester la maturité et la résilience de l’équipe communication et du dispositif de communication de crise cyber. Ces exercices permettent d’automatiser certaines actions et de gagner du temps lors d’un incident réel.
16. Sur la base des scénarios définis avec les équipes cyber et de gestion de crise, plusieurs types d’entraînements sont possibles :
16.1. Un exercice global impliquant l’ensemble du dispositif de gestion de crise de l’entité, pour tester la capacité de l’équipe communication à travailler avec tous les acteurs.
16.2. Un exercice dédié à la communication, pour familiariser l’équipe avec l’univers de la cybersécurité et tester ses modes d’action.
17. Ces exercices doivent être réguliers, afin d’intégrer les nouveaux collaborateurs et de tester les nouveaux outils et procédures. Ils doivent être précédés d’une préparation (cf. Fiches 1 et 2) et suivis d’un retour d’expérience (cf. Fiche 9) pour faire progresser les équipes. L’organisation peut être réalisée en interne ou avec l’aide d’un prestataire spécialisé en gestion de crise, par exemple un prestataire d’accompagnement et de conseil en sécurité des systèmes d’information (PACS).
18. La Fiche 3 recommande d’intégrer une pression médiatique simulée (PMS) : faux appels médias, fausses dépêches d’agence, fausses publications sur de faux réseaux sociaux. Elle souligne aussi l’importance du media training : simulations d’interviews filmées et sessions de questions-réponses pour préparer les porte-paroles aux attentes des médias en cas de cyberattaque.
19. La Fiche 4 rappelle que, qu’il s’agisse d’une crise cyber ou non, la communication de crise doit être intégrée dès les premières heures dans le dispositif de gestion de crise. L’équipe communication doit adopter une organisation spécifique en mode « crise », avec une répartition des rôles et des missions autour de trois fonctions : coordination, perception et réaction.
20. La fonction coordination implique l’intégration du communicant dans les cellules de gestion de crise (opérationnelle et stratégique) pour aider à la prise de décision sur la posture de communication, s’assurer que la communication sortante respecte les objectifs et les tempos des acteurs, comprendre les faits constatés et le contexte, partager la perception de la situation (veille médiatique et interne), définir la posture et centraliser les productions.
21. La fonction perception consiste à mettre en place une veille sur les réseaux sociaux et dans les médias, à détecter les signaux faibles (revendications d’attaquants, publications d’influenceurs), à suivre les prises de parole politiques et les réactions internes. Cette veille sert de base pour adapter la posture de communication.
22. La fonction réaction repose sur la maîtrise des publics internes et externes et des outils de communication. Au démarrage de la crise, des messages adaptés doivent être conçus rapidement pour chaque cible, puis relayés par les communicants en charge des relations presse, des réseaux sociaux, du site web et de la communication interne (cf. Fiches 7 et 8).
23. La Fiche 4 recommande de mettre en place une cellule dédiée à la communication de crise, d’anticiper l’organisation de crise cyber, de prévoir une chaîne de validation hiérarchique rapide, un système de rotation des postes clés et, si nécessaire, des renforts internes ou externes (PRIS, agences spécialisées, accompagnement ANSSI dans certains cas). Elle préconise aussi la création d’une main courante pour tracer les événements et actions de communication (date, heure, auteur, description).
24. La Fiche 4 met en avant trois soft skills essentielles : calme, agilité et prise de soin de soi. Le communicant doit adopter une attitude positive, protéger l’équipe cyber des sollicitations médiatiques, faire preuve de créativité lorsque le PCA ne suffit plus, et préserver sa santé pour tenir dans la durée.
25. La Fiche 5 explique qu’il n’existe pas de stratégie de communication unique en réponse à une crise cyber. La stratégie dépend des faits constatés, de la situation en matière de communication et du contexte. Le communicant doit d’abord réaliser un état des lieux : type d’attaque, impacts métiers et sur les services, actions entreprises (techniques, juridiques, organisationnelles), canaux disponibles, perception interne et externe, obligations légales (par exemple au titre du RGPD), communications déjà publiées par des tiers (CNIL, parquet, autorités sectorielles, clients, attaquants), visibilité des attaquants et contexte socio-économique et politique.
26. Sur cette base, il s’agit de proposer aux dirigeants une posture de communication : proactive ou réactive. Lorsque l’attaque, ses impacts ou les attaquants sont visibles, une posture proactive est recommandée pour expliquer, rassurer et préserver l’image. En cas d’attaque discrète (espionnage, sabotage), une posture proactive ou réactive peut être envisagée, en préparant des messages sans prise de parole immédiate.
27. La Fiche 5 identifie quatre objectifs de communication : expliquer et informer (pédagogie sur le type d’attaque et les actions de remédiation), préserver l’image et la réputation (communication transparente, lutte contre les rumeurs), rassurer (montrer que l’entité agit pour sortir de la crise), et faire changer les comportements (inciter aux bonnes pratiques de sécurité numérique).
28. Les cibles sont nombreuses : en interne (collaborateurs, managers, CODIR/COMEX, prestataires, filiales, instances représentatives, porte-paroles) et en externe (journalistes, influenceurs, prospects, clients, usagers, prestataires, fournisseurs, actionnaires, partenaires, autorités, CNIL, parquet, ANSSI, CERT-FR, CSIRT, etc.). Le communicant ne centralise pas toutes les communications, mais coordonne les prises de parole pour garantir une cohérence d’ensemble.
29. La question du tempo de communication est centrale. En posture réactive, il faut interroger le moment et la pertinence d’une première communication. En posture proactive, il convient de communiquer rapidement, même avec peu d’informations, en se limitant à des faits vérifiés et en évitant de s’engager sur une date de retour à la normale. Il est recommandé de prioriser les communications (d’abord collaborateurs et clients/usagers), d’occuper l’espace médiatique lorsque c’est possible, et d’informer régulièrement sur les étapes des investigations et de la remédiation.
30. La Fiche 5 consacre des focus à différents types d’attaques : rançongiciel (visibilité immédiate, paralysie des outils de communication, nécessité d’une posture proactive), espionnage (attaque discrète, nécessité de « cacher son jeu » pour ne pas informer l’adversaire, communication mesurée et souvent différée), déstabilisation (DDoS, défiguration, impacts symboliques forts, risque d’emballement médiatique, importance d’une communication pédagogique). Un focus spécifique traite de la communication en cas d’exfiltration de données personnelles, avec une séquence en trois temps : reconnaissance de l’incident, confirmation ou démenti, information des personnes concernées en cas de risque élevé pour leurs droits et libertés (article 34 du RGPD).
31. La Fiche 6 insiste sur la nécessité de messages factuels et véridiques. La communauté cyber (influenceurs, journalistes spécialisés) suit de près les incidents, commente les revendications et les communications officielles, et garde la mémoire des crises. Mentir est donc fortement déconseillé : il est possible de ne pas tout dire, mais tout ce qui est dit doit être vrai. La transparence maîtrisée passe par des points de situation réguliers.
32. Les messages doivent être factuels, sans jugements de valeur, et s’appuyer sur les évaluations techniques de l’équipe cyber. Les hypothèses doivent être clairement présentées comme telles, au conditionnel. La Fiche 6 recommande une relecture et une validation des messages par la cellule de crise stratégique et alerte sur la nécessité de corriger les fausses informations (fake news) diffusées en interne comme en externe.
33. Le ton doit être pédagogique et rassurant, en évitant les termes trop anxiogènes. La technicité des messages doit être adaptée au public : vulgarisation pour le grand public, vocabulaire plus technique pour les CSIRT ou les experts. Le CyberDico de l’ANSSI est proposé comme outil de référence. La Fiche 6 met aussi en garde contre l’usage de l’humour en situation de crise, qui peut être perçu comme un manque de sérieux, et souligne l’importance de l’empathie et des excuses lorsque des personnes sont directement touchées (par exemple en cas de vol de données).
34. Pour structurer les éléments de langage, la Fiche 6 propose la méthode FACET : Faits, Actions, Compassion, Engagement, Transparence. Elle fournit une grille de questions fréquentes (type d’attaque, vecteur, conséquences, exfiltration de données, actions mises en œuvre, accompagnement par l’ANSSI ou des prestataires, mesures pour les collaborateurs et clients, notifications à la CNIL, dépôt de plainte, messages aux victimes, niveau de mobilisation, perspectives d’avenir, durée de la crise, prochaines étapes, canaux de contact) et des conseils pour y répondre.
35. Certains sujets doivent être abordés uniquement de manière réactive : identité des attaquants, motivations, demande de rançon et éventuel paiement. La Fiche 6 rappelle que l’imputation technique d’une attaque et son attribution politique relèvent de processus complexes, et qu’il est préférable de ne pas se prononcer publiquement sur ces points. Elle rappelle aussi la doctrine de l’État français : ne jamais payer la rançon, le paiement n’offrant aucune garantie de déchiffrement, de restitution ou de non-publication des données, et alimentant le modèle économique des cybercriminels.
36. La Fiche 7 traite de la communication de crise interne, jugée stratégique. Les collaborateurs doivent être informés, rassurés et alignés pour éviter les discours contradictoires, les rumeurs, les fuites d’informations et la panique. Lorsque les outils « classiques » (réunions, emails, intranet, réseau social d’entreprise, affichage dynamique, journal interne) sont disponibles, ils doivent être utilisés. En cas d’indisponibilité due à la cyberattaque, des solutions alternatives (téléphones et emails personnels, messageries instantanées temporaires, groupes fermés sur réseaux sociaux grand public, brochures, adresses email temporaires, formulaires, courrier postal) doivent être mobilisées.
37. La Fiche 7 insiste sur la priorité donnée à l’interne : les collaborateurs doivent être informés avant la communication externe, afin d’éviter qu’ils découvrent la crise dans les médias. Elle met en garde contre la porosité entre communication interne et externe, les fuites étant fréquentes, et recommande de rappeler la conduite à tenir vis-à-vis des médias (renvoi vers le service de presse) et sur les réseaux sociaux (limitation des prises de parole individuelles, rappel des obligations de confidentialité, de devoir de réserve ou de secret professionnel). Elle souligne le rôle clé des managers de proximité et l’usage de la communication interne pour accompagner le changement de comportements (authentification multifacteur, changement de mots de passe, vigilance accrue).
38. La Fiche 8 aborde la communication de crise externe. Elle commence par la veille médiatique, outil stratégique pour concevoir et adapter la posture de communication. Il s’agit d’identifier les mots-clés pertinents (nom de l’entité, produits, dirigeants, termes liés à la cyberattaque), de sélectionner les sources (agences de presse, presse écrite, médias en ligne, réseaux sociaux, radios, télévisions), d’utiliser des outils de veille (alertes, agrégateurs, plateformes professionnelles, agences spécialisées) et d’analyser les résultats (volume, tonalité, narratifs, vitesse de propagation, sources, engagement, impact des actions de communication). Les résultats doivent être diffusés en interne (rapports, alertes, newsletters, intranet).
39. La Fiche 8 souligne l’émergence des chatbots d’IA générative comme leaders d’opinion sur certains réseaux sociaux, susceptibles de diffuser des informations fausses ou partielles sur l’entité. Elle recommande d’intégrer ces sources dans la veille. Elle détaille ensuite la communication digitale : suspension des communications prévues, suppression des publications programmées, adaptation de la Une du site web, première publication pertinente sur les réseaux sociaux, gestion des commentaires (réponses aux critiques légitimes, redirection vers des canaux privés, non-réponse aux trolls), choix des formats (photo, vidéo, texte), usage de hashtags pertinents, régularité des publications, et possibilité de montrer les coulisses de la gestion de crise.
40. La Fiche 8 traite aussi des relations presse : mise en pause des actions prévues, définition du rôle de chacun, limitation du nombre d’interlocuteurs, préparation des porte-paroles, importance du communiqué de presse (règle des 6W, méthode FACET, clarté du titre et du chapô, accessibilité du langage), de la conférence de presse (format exceptionnel, point d’étape, session de questions-réponses, interviews en sortie) et de l’interview (écrite, audio, vidéo, en direct ou enregistrée). Elle évoque la stratégie consistant à faire une déclaration exclusive à une agence de presse majeure (AFP, AP, Reuters, Bloomberg) pour contrôler le récit, gagner du temps et assurer une couverture large et homogène.
41. Enfin, la Fiche 8 mentionne l’usage de l’intelligence artificielle générative pour la relecture orthographique ou la rédaction de contenus (communiqués, publications), en rappelant la nécessité de ne pas transmettre de données sensibles et de relire avec un sens critique. Elle renvoie à la charte d’usage de l’IA élaborée par le Service d’information du Gouvernement (SIG).
42. Les fiches suivantes (Fiche 9 et Fiche 10) – évoquées dans le sommaire – complètent le dispositif en traitant de la phase post-crise : remerciements aux collaborateurs, RETEX, partage d’expérience et sensibilisation continue. Elles prolongent la logique d’anticipation et de préparation en transformant chaque crise en opportunité d’apprentissage pour renforcer la résilience de l’entité.
43. L’ensemble du guide montre que la gestion de crise cyber ne se réduit pas à la dimension technique : la communication, interne et externe, en amont, pendant et après la crise, est un levier central pour limiter les impacts, préserver la confiance et faire évoluer les comportements en matière de sécurité numérique.
Approfondir ce sujet :