Une entreprise piratée ne répond pas seulement à ses clients. Ses fournisseurs, connectés à ses systèmes, et ses partenaires commerciaux surveillent aussi sa réaction, et jugent moins l’incident que la façon dont elle en parle.
Vous venez de découvrir qu’un pirate a accédé aux systèmes de votre entreprise. Si vos équipes techniques colmatent déjà la brèche, vos clients, fournisseurs, partenaires commerciaux et collaborateurs n’en savent encore rien. Mais surtout, ils attendent chacun une réponse différente de votre part.
En publiant un message avant la confirmation des faits, vous prenez le même risque que si vous passez l’incident sous silence, rappelle notre guide consacré à la communication de crise en PME, que vous pouvez consulter ci-dessous. La loi encadre aussi une partie de cette communication, surtout en termes de délai de publication.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Minimiser un incident met en doute votre crédibilité
Si vous avez eu vent de la cyberattaque que Free a annoncée, le 25 octobre 2024, alors vous vous souvenez que l'opérateur avait envoyé un e-mail à ses abonnés pour les prévenir, mais pas un mot sur les IBAN de ses abonnés. Trois jours plus tard, un pirate a publié cent mille de ces IBAN sur le darknet pour prouver le contraire, après avoir fait grimper sa demande de rançon de 10 000 à 65 000 euros, et Free a dû reconnaître que 5,11 millions de comptes étaient en réalité concernés. Les clients de l’opérateur ont retenu de cet épisode moins l’ampleur de la fuite que l’impression d’avoir été trompés dès le premier jour.
Plus largement, le doute s’installe entre une entreprise et ses clients dès qu’elle garde le silence plusieurs jours, laisse ses équipes diffuser des messages contradictoires selon le canal faute de coordination, ou promet un correctif puis le repousse sans explication.
Le 1er janvier dernier, La Banque Postale s'est contentée dans son premier message d’une phrase factuelle sur une indisponibilité temporaire de son application mobile et de sa banque en ligne, sans détail technique inutile ni promesse de délai intenable, exactement la sobriété que recommande le guide que vous pouvez consulter dans l’encadré ci-dessous, en conseillant de nommer les faits survenus, les personnes concernées, les mesures prises et la date de la prochaine mise à jour plutôt que de multiplier les formules vagues.
Les réponses aux fournisseurs et partenaires ne sont pas les mêmes que celles apportées aux clients
Si vous devez décrire les faits de la même manière quel que soit votre destinataire, il convient de ne pas faire un simple « copier-coller » des formules.
Votre client a surtout besoin d’une consigne immédiate, comme changer un mot de passe, surveiller un relevé bancaire, livrée en une ou deux phrases par e-mail ou notification.
Quant à votre fournisseur, il attend de savoir si l’accès technique qu’il partage avec vous, un compte de service ou une interface de facturation, peut aussi servir de porte d’entrée dans l’autre sens. Oui, si l’on en tient au RGPD. En effet, le règlement qualifie ce fournisseur de sous-traitant dès qu'il traite des données pour votre compte, au sens de son article 28. Ce fournisseur, devenu sous-traitant, doit alors vérifier si ses propres clients doivent à leur tour être prévenus. Passez par votre interlocuteur technique habituel chez lui pour le lui expliquer, plutôt que par un message automatisé, d’autant que tout doit être détaillé, pas juste signalé.
Enfin, vos différents partenaires commerciaux, distributeurs ou revendeurs, se soucient plus de la date de la reprise des activités que des détails. Et là encore, rien de tel qu’un coup de téléphone pour expliquer brièvement la situation, les rassurer sur les mesures mises en place mais surtout, sur les plannings des livraisons et commandes. Tout ce qui leur importe, c'est de savoir si leur commande partira à la date prévue, pas comment l’attaque a eu lieu.
La pression supplémentaire du délai légal de la communication
Mais le temps presse. Le RGPD fixe, à son article 33, un délai de 72 heures pour notifier la CNIL d’une violation de données présentant un risque pour les personnes concernées. Passé ce délai, une PME s’expose à une amende pouvant atteindre 10 millions d’euros ou 2 % de son chiffre d’affaires mondial, et jusqu’à 20 millions d'euros ou 4 % si le manquement porte sur la sécurisation des données. La CNIL ajuste toutefois ce montant selon la rapidité et la coopération de l’entreprise, avec un simple rappel à l’ordre pour les dossiers les plus réactifs.
Quand la violation ne présente pas un tel risque pour les personnes concernées, vous n’êtes pas tenu de notifier la CNIL, mais vous devez malgré tout consigner l’intrusion dans un registre interne, avec sa nature, les catégories de personnes concernées et les mesures prises pour la corriger.
Sachez qu’en tant que dirigeant vous êtes personnellement responsable d’un défaut de notification et risquez en plus jusqu'à cinq ans de prison et 300 000 euros d’amende au titre du code pénal, sans parler de la responsabilité de l’entreprise. En plus, depuis 2023, une contrainte supplémentaire, des assureurs, conditionne votre indemnisation au dépôt d'une plainte dans ce délai de 72 heures, sous peine de refuser toute prise en charge des pertes d’exploitation.
Concrètement, c’est ce que France Travail a fait. L’ancienne Agence nationale pour l’emploi a respecté toutes ces étapes après la cyberattaque révélée le 13 mars 2024 contre ses systèmes, en notifiant la CNIL, en déposant plainte, puis en prévenant individuellement chaque personne concernée par mail ou via son espace personnel, avec une ligne téléphonique dédiée ouverte dans les heures suivantes et un formulaire de plainte simplifié mis à disposition via cybermalveillance.gouv.fr.
Préparez votre communication de crise avant d’en avoir besoin
Avant d’être au pied du mur et d’agir dans l’urgence, désignez déjà une seule personne responsable de la communication externe pendant une crise cyber, une autre en charge du volet technique, et rédigez avec elle un document partagé entre la direction, le service technique et un conseil juridique, mis à jour au fil de l’incident plutôt que réécrit à chaque fois depuis zéro.
Préparez à l’avance des messages-types différenciés pour vos clients, vos fournisseurs et vos partenaires, à partir des fiches pratiques du nouveau guide de l’ANSSI consacré à la communication de crise cyber, puis entraînez votre équipe de direction à un exercice de simulation, comme le recommande l’ANSSI, pour que chacun connaisse son rôle avant la survenue d’une vraie crise.
Communiquez par étapes plutôt qu’en un seul message suivi du silence, avec une mise à jour en l’absence d’avancée majeure, faute de quoi vos interlocuteurs risquent d’aller chercher l’information ailleurs, ou de fonder des rumeurs inutiles et dangereuses à votre sujet ou celui de votre entreprise.
Déclarez l'incident à la CNIL et déposez plainte dans les 72 heures, sans attendre d’avoir résolu tous les aspects techniques, car un signalement partiel dans les temps vaut mieux qu’un dossier complet envoyé en retard.
Informez enfin individuellement les personnes dont les données présentent un risque élevé, par un canal direct comme l’e-mail ou l’espace client, plutôt que par un simple communiqué public.
