Le TVH User Club, c’est notre rendez-vous annuel avec nos clients : une journée d’échanges francs autour des grands enjeux IT. Pour cette édition 2026 à Lyon, plus de 50 participants étaient réunis Deux tables rondes ontété consacrées à la cybersécurité et à la gestion de crise. Les échanges ont été d’une intensité particulière : retours d’expérience d’attaques vécues, exercice de crise simulé en conditions réelles, directive NIS2 en approche. Voici les enseignements à retenir.
Des attaques vécues, pas seulement théoriques
Ce qui frappe d’emblée dans ces échanges, c’est la densité des témoignages. Autour de la table, plusieurs participants avaient déjà traversé une cyberattaque dans leur propre organisation, avec les conséquences humaines, financières et opérationnelles qui vont avec.
Un DSI se souvient d’un matin de rentrée de septembre. 400 postes qui commencent à clignoter simultanément dans plusieurs pays. Le CODIR qui refuse d’abord de couper internet « parce qu’on ne recevra plus les emails ». Trois mois de travail pour tout remettre en état. « La pire journée de ma vie », confie-t-il. « Depuis, la sécurité, on ne joue plus avec. »
Une autre participante évoque une entreprise paralysée pendant plus d’un mois. Sans messagerie, sans accès aux systèmes, sans aucune structure pour gérer la crise. Pas de DSI dédié, une seule personne en charge de l’informatique, dépassée par les événements.
Ces témoignages ne sont pas des exceptions. Entre 60 et 70 % des entreprises qui ont subi une attaque et payé une rançon se font attaquer une seconde fois. Payer ne résout rien. Cela signale simplement que la cible est réactive, et donc rentable.
La préparation : le seul vrai levier
Un message est revenu avec une régularité frappante tout au long des deux sessions : la préparation, la préparation, la préparation.
Ce n’est pas un slogan. C’est une conclusion pratique tirée de l’expérience. Plus une organisation est préparée, moins elle perd de temps quand la crise survient. Et le temps, en situation de crise, c’est directement de l’argent. Une journée de production à l’arrêt, un ERP inaccessible, une chaîne logistique paralysée : les impacts se chiffrent très vite.
L’exemple de Jaguar Land Rover, cité lors des échanges, illustre l’ampleur possible des dégâts : cinq semaines d’arrêt de production total, 40 000 véhicules dont on avait perdu la trace en transit, plusieurs centaines de sous-traitants dans l’impossibilité de travailler. L’impact sur l’économie britannique a été estimé à plusieurs milliards d’euros. L’origine : un sous-traitant piraté, dont la compromission s’est propagée jusqu’au coeur du système d’information du constructeur.
Un exercice de crise grandeur nature
L’un des moments forts de la table ronde a été le témoignage d’une organisation ayant réalisé, quelques jours avant l’événement, son premier exercice de gestion de crise cyber. 18 personnes réunies : direction générale, directions métiers, directions support, DPO, juristes, responsables RH et communication.
Le scénario : une application métier en panne le matin, puis un poste chiffré détecté, puis un deuxième, puis une autre application indisponible. Comment les participants réagissent-ils ? Qui prend les décisions ? Dans quel ordre ?
Les enseignements ont été immédiats. Dès 9h45, le directeur général décide de couper l’ensemble du SI. Décision prise, actée. Mais cinq minutes plus tard, personne n’a prévenu les collaborateurs. Et le moyen habituel de les contacter, la messagerie d’entreprise, est précisément ce qui vient d’être coupé.
Deuxième problème identifié : les coordonnées des clients étaient stockées sur un SharePoint, lui aussi coupé. Comment communiquer vers l’extérieur dans ces conditions ?
Ce sont exactement ces failles que l’exercice permet d’identifier, avant qu’elles ne coûtent des semaines de récupération.
Le retour d’expérience Fidens sur les exercices de crise
Le format le plus courant chez Fidens : une demi-journée pour tester le modèle organisationnel. Plus l’exercice est répété, plus on peut ensuite aller vers des scénarios techniques. La préparation en amont s’appuie sur un interlocuteur interne qui aide à contextualiser l’exercice (bonnes applications, bons rôles à mobiliser), avant la construction d’un chronogramme précis. Le jour J, des stimuli sont envoyés en continu : emails, messages Teams, simulations d’appels internes et externes. Un débrief à chaud, puis un second à froid, permettent d’identifier les points positifs et les axes d’amélioration.
Les enseignements les plus fréquents rejoignent d’ailleurs ce qui vient d’être observé : la communication, interne comme externe, reste le point le plus délicat à orchestrer. Savoir ce qu’on coupe ou ce qu’on laisse actif, savoir qui contacter pour se faire aider, sont des réflexes qui doivent être travaillés. Les « points de situation », ces moments où l’on prend de la hauteur pour faire le point collectivement, sont également difficiles à installer naturellement, alors qu’ils sont essentiels pour garder le contrôle de la crise.
La valeur d’un accompagnement externe comme celui de Fidens tient à plusieurs facteurs : une posture extérieure pour construire l’exercice de façon objective, une connaissance fine des typologies d’incidents et de la menace pour garantir un scénario réaliste, une capacité à identifier des points d’amélioration pragmatiques, et, plus simplement, le fait qu’un interlocuteur externe est presque toujours mieux écouté qu’une voix interne sur ces sujets.
Ce que « se préparer » veut dire concrètement
La question « par où on commence ? » a été posée directement lors des échanges. La réponse, construite collectivement, s’articule autour de quelques étapes clés.
Identifier ce qui est critique. Avant tout dispositif de crise, il faut savoir ce qui doit absolument fonctionner pour que l’entreprise survive. L’ERP, la logistique, la facturation, la production ? À partir de là seulement, on peut construire les scénarios et les plans de continuité adaptés.
Définir à quel moment on est en crise. Tout incident n’est pas une crise. Mais 10 % des postes chiffrés, un ERP en panne depuis deux heures, un accès frauduleux détecté la nuit : ce sont des seuils à définir en amont, pas à improviser sous pression. À l’inverse, savoir à quel moment on n’est plus en crise est tout aussi important pour éviter de maintenir une mobilisation épuisante au-delà du nécessaire.
Identifier les personnes clés et leurs rôles. Qui prend les décisions ? Qui tient la main courante ? Qui gère la communication interne et externe ? Qui contacte l’ANSSI, les autorités, les clients, les actionnaires, les prestataires de réponse à incident… etc ? Ces rôles doivent être connus, formalisés et testés avant que la crise ne survienne.
Préparer la communication. C’est souvent le parent pauvre des dispositifs de crise. Pourtant, si le système d’information est coupé, comment prévient-on les collaborateurs ? Comment contacte-t-on les clients ? Les messages doivent être préparés à l’avance, avec les bons canaux de diffusion identifiés en dehors du SI. « C’est autant de temps gagné de ne pas avoir à se poser la question de la tournure exacte du message au moment où tout s’emballe. »
Tenir une main courante rigoureuse. Horodater chaque décision, chaque communication, chaque action : cela permet de garder le fil dans le chaos, mais aussi de constituer une trace précieuse pour d’éventuelles procédures judiciaires, des déclarations aux assureurs, ou des obligations réglementaires de notification d’incident.
Tester le dispositif. Un plan de crise qui n’a jamais été joué n’est qu’un document. Un exercice sur table, même partiel, permet d’identifier les failles organisationnelles avant qu’elles ne se révèlent en situation réelle. La bonne pratique : un exercice tous les 12 à 18 mois, avec une complexité croissante à chaque itération.
NIS2 : une obligation qui arrive
La directive européenne NIS2 concerne les entités de plus de 50 collaborateurs et 10 millions d’euros de chiffre d’affaires dans 18 secteurs identifiés comme essentiels ou importants : énergie, transport, alimentation, santé, fabrication industrielle, numérique, et d’autres encore.
Pour ces organisations, la gestion de crise, la continuité d’activité et les exercices réguliers ne seront plus optionnels. Entre 80 et 150 exigences selon le niveau de criticité de l’entité. Des sanctions significatives en cas de non-conformité : jusqu’à 2 % du chiffre d’affaires ou 10 millions d’euros. Et une responsabilité personnelle des dirigeants, pouvant aller jusqu’à l’interdiction d’exercer leurs fonctions.
La transposition en droit français est en cours. Le moment de se préparer, c’est maintenant.
Sur le terrain, le point de départ reste souvent le plus difficile à franchir : se lancer sur le sujet NIS2 est déjà, en soi, une première étape. Selon le point de départ, le niveau à atteindre peut sembler conséquent, mais le constat est finalement assez commun à la plupart des organisations accompagnées. Techniquement et opérationnellement, les entreprises font déjà de la cybersécurité. Ce qui leur manque, c’est de formaliser ces pratiques, de les suivre dans le temps, de les piloter et de vérifier qu’elles restent conformes. C’est précisément là qu’elles ont besoin d’aide, pour adopter des pratiques pragmatiques, calibrées au bon niveau, sans tomber dans l’usine à gaz qui finirait par freiner le fonctionnement de l’entreprise.
C’est tout l’enjeu de l’accompagnement à la mise en conformité NIS2 proposé par Fidens : structurer la démarche de bout en bout, avec l’appui d’APOS pour piloter ce chantier de conformité et, plus largement, la cybersécurité de l’organisation dans la durée.
Ce qu’on retient
Une cyberattaque n’est pas une fatalité qu’on subit passivement. C’est un risque qu’on peut anticiper, encadrer et traiter avec méthode. Les organisations qui s’en sortent le mieux ne sont pas nécessairement celles qui ont les meilleurs outils techniques. Ce sont celles qui savent quoi faire, qui appelle qui, et dans quel ordre, dès les premières minutes.
La préparation ne demande pas une usine à gaz. Elle demande de répondre à quelques questions simples avant que la crise ne les impose dans l’urgence.
