Les TPE et PME françaises font face à une recrudescence d’attaques informatiques en 2026, avec une entreprise touchée toutes les quatre heures en moyenne. Les dirigeants doivent réagir vite pour limiter les pertes financières et préserver la confiance des partenaires. Ce kit de survie cyber détaille les gestes à adopter dès la détection d’une intrusion, dans le cadre des nouvelles règles de NIS2 et des outils disponibles.
À retenir
- Déconnecter immédiatement les appareils touchés sans les éteindre pour préserver la RAM et les preuves.
- Isoler les sauvegardes air-gap et désactiver les VPN et accès SaaS pour bloquer la propagation.
- Notifier la CNIL sous 72 heures en cas de violation de données personnelles (RGPD).
- Utiliser le guichet unique 17Cyber.gouv.fr pour déclarer l’incident et activer les garanties d’assurance.
- Ne jamais payer de rançon ni tenter de déchiffrer soi-même les fichiers.
- Restaurer uniquement après nettoyage complet via des sauvegardes immuables et activer la MFA partout.
- Le coût moyen d’un incident s’élève à 27 000 euros pour une PME.
Isoler rapidement le réseau pour limiter les dégâts
Dès qu’une anomalie est repérée, les premières minutes déterminent la suite de l’incident. Agir vite permet de contenir le ransomware ou sa propagation par la chaîne d’approvisionnement.
Déconnecter les machines sans les éteindre
La priorité consiste à couper le Wi-Fi et les câbles Ethernet sur tous les postes concernés. Il faut cependant laisser les ordinateurs allumés afin de conserver les données volatiles en mémoire vive, indispensables à l’analyse forensique ultérieure.
Protéger les sauvegardes et les environnements externalisés
Les sauvegardes encore saines doivent être physiquement déconnectées ou placées en mode air-gap. Les accès aux outils SaaS et les VPN sont à désactiver sans délai, car les attaques touchent désormais aussi le cloud et la chaîne d’approvisionnement.
Bloquer les canaux d’entrée potentiels
Toute session distante restante est fermée, y compris les accès oubliés sur les outils d’administration. Ces mesures simples créent une barrière temporaire qui empêche l’attaquant d’étendre son emprise avant l’arrivée d’un spécialiste EDR/XDR.
Documenter l’attaque sans effacer les indices
Une fois le système isolé, il faut comprendre comment l’intrus est entré. Cette phase doit se dérouler sans modifier les fichiers ni altérer les traces.
Collecter les logs avant qu’ils ne disparaissent
Les journaux de connexion et d’activité sont extraits et mis en sécurité. Ces éléments permettent de reconstituer le parcours de l’attaquant, souvent via un phishing ou un quishing.
Identifier le vecteur d’intrusion
Dans 80 % des cas, le phishing reste le point d’entrée principal en 2026. Les failles zero-day et les campagnes ciblant les collaborateurs via des QR codes malveillants progressent aussi. Les outils EDR/XDR facilitent cette cartographie rapide.
Éviter les erreurs qui aggravent le problème
Les équipes n’essaient ni de déchiffrer les fichiers ni de verser de rançon. Ces actions financent le crime organisé sans garantir la récupération des données et compliquent les investigations.
Respecter les obligations légales imposées par NIS2
Depuis l’application complète de la directive NIS2, de nombreuses PME ont des obligations de déclaration renforcées. Le non-respect expose le dirigeant à des responsabilités personnelles.
Signaler à la CNIL dans les 72 heures
Toute violation de données personnelles doit être notifiée à la CNIL dans ce délai strict. Le non-signalement peut entraîner des sanctions financières importantes.
Utiliser le guichet unique 17Cyber.gouv.fr
Le portail permet de déposer plainte et d’obtenir une assistance technique et juridique coordonnée. Cette déclaration est aussi nécessaire pour activer les contrats d’assurance cyber.
Informer les partenaires de la supply chain
Lorsque l’attaque risque d’impacter clients ou fournisseurs, ceux-ci doivent être prévenus rapidement. Cette transparence fait partie des exigences de NIS2 et protège la réputation de l’entreprise.
Communiquer avec contrôle et reconstruire un environnement sain
La gestion de crise passe aussi par la communication interne et externe. Une fois l’urgence passée, la restauration doit s’effectuer avec rigueur pour éviter une réinfection immédiate.
Avertir les collaborateurs par des canaux alternatifs
L’utilisation de téléphones mobiles ou de messageries chiffrées externes permet de contourner une messagerie d’entreprise compromise. Un porte-parole unique limite la propagation des rumeurs.
Coordonner avec l’assureur et le prestataire IT
L’assureur cyber est contacté dès les premières heures. Il fournit souvent une équipe d’experts et prend en charge une partie des coûts de restauration.
Restaurer depuis des sources saines et renforcer les accès
Les systèmes sont réinstallés uniquement à partir de sauvegardes immuables vérifiées. Tous les mots de passe sont changés et la MFA est activée sur l’ensemble des comptes, y compris les accès administrateurs. Ces mesures, associées à un plan de continuité d’activité (PCA) et à un plan de reprise d’activité (PRA) mis à jour, réduisent le risque de récidive.
