En crise cyber, comment préserver sa capacité à décider ?

Imaginons une organisation au début d’une journée ordinaire. Plusieurs applications deviennent inaccessibles. Des collaborateurs signalent des messages inhabituels. Un prestataire cherche à joindre la direction, tandis qu’une capture d’écran circule déjà sur les réseaux sociaux. L’origine de l’incident reste incertaine. Pourtant, il faut décider : suspendre une activité, maintenir un service, prévenir les équipes, répondre à un partenaire. La crise impose son rythme avant même que le diagnostic technique soit complet.

Une interruption peut protéger certains systèmes tout en désorganisant une activité essentielle. Une reprise trop rapide peut exposer l’organisation à de nouvelles difficultés. Une communication prématurée peut engager sa crédibilité. L’enjeu dépasse donc la résolution de l’incident : il faut conserver la possibilité de comprendre, d’arbitrer et de coordonner l’action, alors même que les repères habituels se dérobent.

Fixer le cadre avant que l’urgence ne l’impose

Préserver cette capacité suppose d’abord de distinguer deux responsabilités complémentaires. La gouvernance définit les orientations, attribue les responsabilités et supervise les résultats ; le management organise leur mise en œuvre. En situation de crise, les équipes techniques apportent une expertise indispensable, mais elles ne peuvent porter seules des arbitrages qui engagent l’ensemble de l’organisation.

Avant l’incident, la direction doit donc avoir explicité les missions essentielles, donnes les moyens de les accomplir, les conséquences acceptables d’une interruption et le niveau de risque qu’elle est prête à assumer. L’analyse de risques permet de relier ces choix aux scénarios susceptibles de menacer l’activité et aux mesures nécessaires pour y répondre. Le risque accepté ne doit pas rester un implicite découvert au moment de l’urgence : il relève d’un choix de gouvernance.

La politique de sécurité des systèmes d’information, ou PSSI, donne un cadre à ces orientations. Elle n’est pas un simple recueil de prescriptions techniques : elle formalise l’engagement de la direction, les objectifs de sécurité, les responsabilités et les principes qui seront déclinés en politiques et en procédures. Son utilité tient autant à la clarté de son contenu qu’à sa diffusion et à sa révision.

Ce cadre doit ensuite vivre. Le système de management de la sécurité de l’information inscrit la préparation dans une démarche continue : planifier, mettre en œuvre, vérifier et améliorer. L’objectif n’est pas seulement de disposer de documents, mais de s’assurer que les règles restent adaptées à l’organisation et peuvent effectivement guider son action.

Raisonner à partir des activités et des dépendances

La préparation ne peut s’arrêter aux frontières du système d’information interne. Les accès accordés aux sous-traitants, les services externalisés et la concentration de certaines dépendances doivent entrer dans l’analyse. Une interruption majeure peut également résulter d’une mise à jour défectueuse, sans cyberattaque.

La question de gouvernance demeure alors la même : quelles activités faut-il préserver, de quelles ressources dépendent-elles et quelles solutions de repli sont réellement mobilisables ? Les équipes techniques doivent pouvoir traduire leurs constats en conséquences compréhensibles pour les décideurs. Les directions métiers doivent, de leur côté, rendre visibles leurs contraintes et leurs priorités. C’est dans ce dialogue que les options deviennent comparables et les arbitrages possibles.

Protéger le jugement collectif

En situation de tension, une hypothèse peut rapidement devenir une certitude partagée. Un message urgent peut concentrer l’attention au détriment d’un problème plus important. Une information répétée peut paraître fiable sans avoir été vérifiée.

Préserver le jugement collectif demande donc : distinguer ce qui est établi, ce qui reste à vérifier et ce que l’on ignore encore. Il ne s’agit pas d’attendre une certitude inaccessible, mais de décider en comprenant les incertitudes que chaque option comporte.

Un point de situation utile doit permettre de savoir quelles activités sont affectées, quelles décisions ne peuvent attendre et quels éléments pourraient conduire à les réviser. Consigner les arbitrages, leurs motifs et les conditions de leur réexamen aide à maintenir une continuité lorsque les interlocuteurs se relaient. Une décision peut ainsi être révisée sans que l’organisation perde la compréhension de ce qui l’avait initialement justifiée.

Cette articulation entre information, comportement et décision est au cœur des travaux de Christine Dugoin-Clément. Professeure affiliée à l’IAE Paris–Sorbonne Business School, elle étudie notamment les stratégies d’influence, le cyber et l’IA. Sa thèse porte sur la prise de décision en situations extrêmes sous l’effet des stratégies informationnelles, à partir du cas des équipes militaires. Ce parcours éclaire les conditions humaines et organisationnelles du jugement : à quelle information accorde-t-on sa confiance ? Comment les perceptions influencent-elles les choix ? Comment maintenir une compréhension partagée sous pression ?

Faire de la communication un appui à l’action

La communication participe pleinement à la réponse. Collaborateurs, clients, usagers, partenaires et autorités n’ont pas les mêmes besoins d’information. Chacun doit pouvoir comprendre ce qui le concerne, les consignes à suivre et les prochaines échéances d’information.

Cela exige une coordination étroite entre ceux qui établissent les faits, ceux qui décident et ceux qui prennent la parole. Annoncer une mesure ou un délai suppose de savoir sur quels éléments cette annonce repose. Une parole crédible n’efface pas l’incertitude : elle précise ce qui est connu, ce qui est entrepris et ce qui reste à confirmer.

Éprouver l’organisation, pas seulement ses procédures

L’entraînement permet de confronter ce cadre à une situation concrète. Une simulation peut introduire des informations contradictoires, l’indisponibilité d’un responsable ou une sollicitation extérieure inattendue. Elle révèle alors la manière dont les priorités sont établies, les désaccords traités et les responsabilités exercées.

L’enjeu n’est pas seulement de vérifier qu’une procédure existe, mais d’observer si elle permet réellement d’agir. Qui peut arbitrer en l’absence du décideur habituel ? Comment communiquer lorsque les outils ordinaires sont indisponibles ? À quel moment une difficulté technique doit-elle devenir une décision de direction ?

Le débriefing transforme ces observations en améliorations : clarifier une délégation, adapter un circuit d’alerte, prévoir un canal de secours ou revoir une priorité de continuité. Ce travail gagne à être suivi par des indicateurs présentés à la direction, associant sensibilisation, gestion des risques et résilience. Ceux-ci peuvent, par exemple, porter sur le délai de mobilisation de la cellule de crise, la disponibilité effective des moyens de secours ou la mise en œuvre des corrections décidées après un exercice.

L’exercice prend ainsi tout son sens lorsqu’il modifie les pratiques, et pas seulement lorsqu’il produit un compte rendu.

Apprendre à décider ensemble sous contrainte

C’est cette ambition que porte la formation « Cybergouvernance sous contrainte », proposée par L8.19 Académie du 25 au 27 novembre 2026 et co-construite avec Christine Dugoin-Clément.

Elle réunit les fonctions de décision, les équipes cyber et les acteurs de la communication autour d’une même situation. Compréhension des menaces, ateliers de qualification et de coordination, puis simulation de crise cyber et informationnelle composent le parcours. Les participants construisent des outils de réponse et une feuille de route à 90 jours pour prolonger les apprentissages dans leur organisation.

Préparer sa cybergouvernance, ce n’est pas prétendre supprimer toute incertitude. C’est se donner les moyens de décider malgré elle, de rendre les arbitrages compréhensibles et de les réviser sans perdre la cohérence de l’action.

Face à une crise cyber, votre organisation sait-elle déjà ce qu’elle doit préserver, qui peut arbitrer et comment décider ensemble ?

Retrouvez toutes les informations de la formation sur : https://www.l8-19.com/formation