Former son COMEX à la gestion de crise cyber : pourquoi et comment ?

Face à une cyberattaque, les premières décisions de la direction générale peuvent déterminer la capacité de l’entreprise à poursuivre son activité. Pourtant, les membres du comité exécutif sont rarement entraînés à gérer collectivement une crise cyber. Comment préparer son COMEX à décider, coordonner et communiquer dans une situation d’urgence ?

Une cyberattaque ne constitue plus seulement un incident informatique. Lorsqu’elle perturbe l’activité, compromet des données ou menace la confiance des clients, elle devient une crise stratégique. La réponse technique est indispensable, mais elle ne suffit pas. La direction générale doit également prendre des décisions économiques, juridiques, organisationnelles et humaines. C’est pourquoi la formation du COMEX à la gestion de crise cyber constitue un élément essentiel de la préparation de l’entreprise.

---

1. Pourquoi le COMEX doit-il être préparé à une cyberattaque ?

Lorsqu’une cyberattaque survient, les équipes informatiques interviennent pour comprendre l’incident, contenir l’attaque et engager les opérations de remédiation. Mais certaines décisions dépassent rapidement leur champ de responsabilité. Faut-il interrompre une activité pour éviter la propagation de l’attaque ? Comment maintenir les services essentiels ? Quand informer les clients ? Comment gérer les conséquences financières ? Qui prend la parole au nom de l’entreprise ?

Ces arbitrages relèvent de la direction générale et des responsables des différentes fonctions de l’organisation. Une crise cyber peut ainsi mobiliser simultanément :

• La direction générale, responsable des orientations et des arbitrages.
• La direction informatique, chargée de la réponse technique.
• La direction financière, qui évalue les conséquences économiques.
• La direction juridique, qui examine les obligations réglementaires et contractuelles.
• La direction des ressources humaines, qui organise l’information et la mobilisation des salariés.
• La direction de la communication, qui prépare les messages internes et externes.
• Les directions opérationnelles, qui assurent la continuité des activités prioritaires.

Le principal défi consiste à coordonner ces différentes responsabilités dans un environnement incertain. Or, cette coopération ne s’improvise pas.

2. Pourquoi une formation classique à la cybersécurité ne suffit-elle pas ?

Les actions de sensibilisation à la cybersécurité sont indispensables. Elles contribuent à faire connaître les menaces, les bonnes pratiques et les comportements à adopter pour réduire les risques. Mais les besoins d’un COMEX sont différents. Il ne s’agit pas de former les dirigeants à détecter un logiciel malveillant, à analyser une vulnérabilité ou à intervenir sur un système informatique compromis.

Il s’agit de les préparer à gérer les conséquences d’une attaque sur l’organisation. Une formation à la gestion de crise cyber destinée au COMEX doit notamment aborder :

• Les responsabilités de la direction générale.
• L’organisation et le fonctionnement d’une cellule de crise.
• Les circuits d’information et de décision.
• Les arbitrages entre sécurité et continuité d’activité.
• Les enjeux de communication de crise.
• La coordination avec les experts techniques et les partenaires extérieurs.

Mais connaître ces principes ne garantit pas leur bonne application. Pour un COMEX, l’enjeu n’est pas uniquement de comprendre la crise cyber. Il est de s’entraîner à la gérer.

3. Les cinq décisions auxquelles un COMEX doit se préparer

Décision n° 1 : faut-il interrompre l’activité ?

Une cyberattaque peut conduire les équipes techniques à recommander l’isolement de certains systèmes informatiques. Cette mesure peut être nécessaire pour contenir l’incident, mais elle peut également entraîner l’arrêt d’une activité essentielle. La direction générale doit alors arbitrer entre plusieurs risques. Quelles activités doivent être interrompues ? Lesquelles peuvent fonctionner en mode dégradé ? Quelles conséquences économiques et opérationnelles l’entreprise peut-elle supporter ? Ces décisions nécessitent une connaissance précise des activités prioritaires et des interdépendances entre services.

Décision n° 2 : comment organiser la cellule de crise ?

Une cellule de crise rassemble des acteurs qui ne travaillent pas nécessairement ensemble au quotidien. Elle doit pourtant produire rapidement une vision commune de la situation. Qui dirige la cellule ? Qui centralise les informations ? Comment les décisions sont-elles formalisées ? À quelle fréquence la situation est-elle réévaluée ? Une mauvaise organisation peut ralentir les arbitrages et multiplier les décisions contradictoires.

Décision n° 3 : quand et comment communiquer ?

Une cyberattaque place souvent l’entreprise dans une situation délicate. Les informations sont incomplètes, les conséquences ne sont pas encore stabilisées et les équipes techniques poursuivent leurs investigations. Pourtant, les salariés, les clients, les partenaires ou les médias peuvent demander des explications. Faut-il communiquer immédiatement ? Que peut-on affirmer avec certitude ? Comment éviter de diffuser des informations contradictoires ? Le COMEX doit pouvoir définir une ligne de communication cohérente, adaptée à l’évolution de la situation et aux obligations applicables.

Décision n° 4 : comment gérer les obligations juridiques et réglementaires ?

Selon la nature de l’incident, l’entreprise peut être soumise à différentes obligations. Une violation de données personnelles peut notamment nécessiter une notification à la CNIL dans les conditions prévues par le RGPD, en principe dans les 72 heures après en avoir pris connaissance lorsque la notification est requise. Certaines organisations sont également soumises à des obligations spécifiques de déclaration d’incident. La direction générale doit donc veiller à associer rapidement les compétences juridiques et réglementaires nécessaires.

Décision n° 5 : comment préparer la reprise d’activité ?

La fin de l’incident technique ne signifie pas nécessairement la fin de la crise. L’entreprise doit parfois rétablir progressivement ses systèmes, vérifier l’intégrité de ses données, réorganiser ses activités et restaurer la confiance de ses parties prenantes. Qui décide des priorités de reprise ? Quels services doivent être rétablis en premier ? Comment informer les clients des délais ? Ces arbitrages doivent être anticipés et préparés.

4. Pourquoi l’exercice de crise cyber est-il particulièrement adapté aux COMEX ?

Un exercice de simulation permet de confronter les dirigeants à une situation fictive mais réaliste. Il peut commencer par une simple alerte informatique. Puis, progressivement, le scénario évolue. Un système devient indisponible. Une activité est interrompue. Un client important demande des explications. Une suspicion de fuite de données apparaît. Un journaliste contacte l’entreprise.

À chaque étape, les participants doivent prendre des décisions. Ils doivent analyser les informations disponibles, hiérarchiser les priorités, répartir les responsabilités et organiser leur communication.
L’exercice révèle ainsi plusieurs dimensions du fonctionnement collectif :
La capacité à décider. Les participants parviennent-ils à arbitrer malgré des informations incomplètes ?
La capacité à coopérer. Les différentes directions partagent-elles une compréhension commune de la situation ?
La capacité à communiquer. Les messages sont-ils cohérents avec les décisions et les informations disponibles ?
La capacité à s’adapter. Le COMEX sait-il revoir ses priorités lorsque le scénario évolue ?

L’objectif n’est pas de mettre les dirigeants en difficulté. Il est de leur offrir un environnement d’apprentissage dans lequel ils peuvent expérimenter les mécanismes d’une crise sans exposer réellement leur entreprise.

5. L’entraînement collectif : passer des procédures aux pratiques

Une entreprise peut disposer d’un plan de gestion de crise parfaitement documenté sans avoir jamais testé sa mise en œuvre. Cette situation illustre un phénomène bien connu en sociologie des organisations : l’écart entre les règles formelles et les pratiques réelles. Les procédures définissent ce qui doit être fait.

Mais leur application dépend des acteurs, de leurs habitudes, des ressources disponibles et des mécanismes de coopération. En situation de crise, ces dimensions deviennent déterminantes. Un exercice de simulation permet précisément de confronter l’organisation prévue à son fonctionnement effectif. Il peut révéler qu’un circuit de validation est trop long, qu’une responsabilité reste ambiguë ou que certaines informations ne circulent pas suffisamment vite.

Ces observations constituent une base de travail pour améliorer la préparation. L’entraînement ne vise donc pas uniquement à vérifier les connaissances des dirigeants. Il contribue à transformer leurs pratiques collectives.

6. Comment organiser une formation à la gestion de crise cyber pour son COMEX ?

Pour être efficace, une formation destinée aux dirigeants doit être adaptée à leurs responsabilités et aux caractéristiques de leur organisation. Elle peut s’articuler autour de trois temps.

Premier temps : comprendre les mécanismes d’une crise cyber

Les participants identifient les principales conséquences d’une cyberattaque sur l’activité, les responsabilités de la direction générale et les principes d’organisation d’une cellule de crise. L’objectif est de partager un socle commun de connaissances.

Deuxième temps : expérimenter une situation de crise

Les membres du COMEX participent à une simulation. À partir d’un scénario évolutif, ils doivent prendre des décisions, coordonner leurs actions et préparer leur communication. L’exercice mobilise les différentes fonctions représentées dans le groupe.

Troisième temps : analyser les pratiques et identifier les améliorations

Un débriefing permet de revenir sur le déroulement de la simulation. Les participants analysent leurs décisions, les difficultés rencontrées et les mécanismes de coopération observés. Ce travail permet d’identifier les ajustements à apporter aux procédures, aux responsabilités et aux circuits de décision. L’exercice devient ainsi un outil d’apprentissage organisationnel.

7. À quelle fréquence entraîner son COMEX à la gestion de crise cyber ?

Il n’existe pas de fréquence unique adaptée à toutes les organisations. Elle dépend notamment de l’exposition aux risques, de la taille de l’entreprise, de ses obligations réglementaires et de la maturité de son dispositif de gestion de crise. Un premier exercice peut servir à tester l’organisation existante.

Des entraînements ultérieurs peuvent ensuite porter sur des situations plus spécifiques : fuite de données, indisponibilité prolongée du système d’information, compromission d’un prestataire ou crise de communication. L’entraînement est également pertinent lorsque l’organisation connaît des changements importants : nouvelle équipe dirigeante, transformation informatique, acquisition, réorganisation ou évolution des activités. L’essentiel est d’inscrire les exercices dans une démarche de préparation continue.

Une cellule de crise ne devient pas opérationnelle simplement parce que ses membres ont été désignés. Elle doit apprendre à fonctionner collectivement.

---

Formation COMEX à la gestion de crise cyber à Toulon et en région PACA

Organisez votre exercice de crise cyber avec [La boîte à mots]

[La boîte à mots], organisme de formation certifié Qualiopi, propose des ateliers d’entraînement à la gestion de crise cyber en partenariat avec le CSIRT Urgence Cyber Région Sud. Ces formations s’adressent aux dirigeants, membres de COMEX, directions générales et responsables susceptibles d’intervenir dans une cellule de crise. Elles reposent sur une approche opérationnelle : confronter les participants à une situation de cyberattaque pour entraîner leur capacité à décider, coordonner et communiquer.

Une formation en petit groupe

Format : atelier de simulation de crise cyber.
Participants : jusqu’à 10 personnes.
Public concerné : dirigeants, membres de COMEX, DSI, RSSI, directeurs de la communication, responsables des risques et directions opérationnelles.

Objectifs de la formation :

• Comprendre les responsabilités du COMEX face à une cyberattaque.
• Expérimenter le fonctionnement d’une cellule de crise.
• Entraîner la prise de décision dans l’incertitude.
• Améliorer la coordination entre les différentes directions.
• Préparer les réflexes de communication de crise.
• Identifier les points d’amélioration du dispositif de gestion de crise.

Formation gestion de crise cyber à Toulon, Marseille, Aix-en-Provence et Nice

Basée à Toulon, [La boîte à mots] intervient auprès des entreprises, collectivités et organisations de la région Provence-Alpes-Côte d’Azur.

Villes desservies : Toulon, La Seyne-sur-Mer, Six-Fours-les-Plages, Sanary-sur-Mer, Bandol, Ollioules, La Garde, La Valette-du-Var, Hyères, La Crau, Solliès-Pont, Cuers, Signes, Brignoles, Saint-Maximin-la-Sainte-Baume, Draguignan, Fréjus, Saint-Raphaël, Marseille, Aubagne, La Ciotat, Aix-en-Provence, Gardanne, Vitrolles, Marignane, Martigues, Salon-de-Provence, Nice, Antibes, Cannes, Grasse, Sophia Antipolis, Avignon, Manosque et Gap.

Zone d’intervention : Var (83), Bouches-du-Rhône (13), Alpes-Maritimes (06), Vaucluse (84), Alpes-de-Haute-Provence (04) et Hautes-Alpes (05).