Un lundi matin, les écrans affichent une demande de rançon et personne ne sait qui appeler en premier. Dans cette situation, les premières heures déterminent l’ampleur des dégâts. Pourtant, selon une enquête de BDO, seul un tiers environ des PME suisses dispose d’un plan d’urgence écrit. Rien qu’en 2025, 104 attaques par rançongiciel ont été signalées à l’Office fédéral de la cybersécurité (OFCS), et le nombre réel est bien plus élevé.
Un plan utile n’a pas besoin de 40 pages. L’essentiel se rassemble en un après-midi. Ce qui compte, c’est qu’il existe, que les bonnes personnes le connaissent et qu’il reste accessible quand l’informatique est à l’arrêt.
1. Rassembler les contacts
En cas d’urgence, ce sont souvent les choses les plus simples qui manquent : numéros de téléphone, numéros de client, numéros de contrat. Notez :
- votre prestataire informatique avec son numéro d’urgence
- la direction et un suppléant
- votre fournisseur Internet et votre éditeur de logiciel avec le numéro de client
- l’assurance cyber avec le numéro de police et la ligne d’urgence, si vous en avez une
- la banque, au cas où des paiements doivent être bloqués
- l’OFCS pour signaler l’incident
2. Classer les systèmes par importance
Tout ne doit pas redémarrer en même temps. Définissez ensemble ce qui doit revenir en premier. Une liste simple suffit, par exemple :
- Messagerie et téléphone, pour rester joignable
- ERP et traitement des commandes
- Fichiers
- tout le reste
Indiquez pour chaque point la durée maximale de panne acceptable et la quantité de données qu’on peut perdre au pire. Ces deux chiffres déterminent la manière d’organiser les sauvegardes.
3. Noter les premiers gestes
En cas d’attaque : déconnecter les appareils du réseau, mais ne pas les éteindre. Un ordinateur éteint perd des traces en mémoire vive qui sont importantes pour l’analyse. Notez les premiers gestes en phrases courtes :
- débrancher le câble réseau et couper le Wi-Fi
- appeler le prestataire informatique
- ne rien effacer, ne rien réinstaller
- ne pas répondre à la demande de rançon
- noter l’heure et les observations
4. Clarifier les responsabilités
Qui décide d’arrêter l’activité ? Qui informe le personnel, qui informe les clients ? Qui annonce l’incident au Préposé fédéral à la protection des données (PFPDT) si des données personnelles sont touchées ? Chaque question demande un nom et un suppléant.
5. Rendre le plan accessible
Un plan d’urgence stocké uniquement sur le serveur chiffré ne sert à rien. Imprimez-le et conservez-le à deux endroits, par exemple au bureau et au domicile de la direction. Une copie sur le smartphone est aussi utile.
6. S’exercer une fois par an
Le meilleur plan aide peu si personne ne le connaît. Une fois par an, jouez un scénario : que faisons-nous si le serveur ne démarre plus demain ? On découvre vite quel numéro est périmé ou quelle procédure ne fonctionne pas. Profitez-en pour vérifier que la sauvegarde peut réellement être restaurée.
Notre soutien
Nous élaborons le plan d’urgence avec vous, vérifions les sauvegardes et organisons l’exercice. Le déroulement typique d’une attaque est décrit dans l’article sur les chevaux de Troie de chiffrement. Plus d’informations sous Sécurité informatique et Sauvegarde.
Questions fréquentes
Quelle doit être l’ampleur d’un plan d’urgence informatique ?
Pour une PME, deux à cinq pages suffisent généralement. Plus que la longueur, ce qui compte, c’est que les contacts, les priorités et les premiers gestes soient justes et que le plan existe sur papier.
Devons-nous signaler une cyberattaque ?
Les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’OFCS dans les 24 heures. Pour les autres, le signalement est volontaire mais recommandé. Si des données personnelles sont touchées, une annonce au PFPDT peut aussi être nécessaire.
Faut-il éteindre l’ordinateur en cas d’attaque ?
Non. Déconnectez l’appareil du réseau, mais laissez-le allumé. Les traces utiles à l’enquête sont ainsi conservées.
À quelle fréquence le plan doit-il être mis à jour ?
Au moins une fois par an et à chaque changement important, par exemple un nouveau serveur, un nouvel éditeur de logiciel ou un changement de personnel.
