Une cellule de crise est l'équipe restreinte, désignée et entraînée à l'avance, qui prend la direction d'une organisation lorsqu'un événement dépasse les capacités de la gestion courante des incidents. Elle évalue la situation, arbitre les priorités, décide sous incertitude, coordonne les équipes de réponse et parle au nom de l'organisation, jusqu'au retour à la normale.
Presque toutes les organisations en ont une sur le papier. Le jour J, elle échoue sur des détails : un directeur de crise injoignable et sans suppléant, une convocation envoyée sur une messagerie que l'attaquant lit, une main courante que personne ne tient. Voici comment la composer, l'activer et la faire tenir, en s'appuyant sur ISO 22361, l'ANSSI, NIS2 et DORA.
L'essentiel en 30 secondes
- On active la cellule quand la gestion courante ne suffit plus, selon des critères écrits, par des personnes nommées.
- Deux niveaux : une cellule stratégique qui décide, des cellules opérationnelles qui exécutent.
- Chaque rôle critique a un titulaire et un suppléant ; la composition varie selon la crise (cyber : RSSI, DPO et juridique indispensables).
- La main courante horodate informations, décisions et actions : c'est l'outil de pilotage, de relève et de preuve.
- Prévoyez des canaux de repli hors du système d'information et entraînez la cellule au moins une fois par an.
Qu'est-ce qu'une cellule de crise ?
Une crise n'est pas un gros incident : c'est une situation instable, potentiellement grave, que les procédures habituelles ne suffisent pas à traiter. L'information est incomplète, le temps presse, les décisions engagent la direction. La cellule de crise ne répare pas les serveurs : elle décide ce qui compte (protéger les personnes, choisir les activités à maintenir, accepter des pertes pour en éviter de plus graves) et parle aux parties prenantes.
Trois références encadrent le sujet :
- ISO 22361:2022, publiée en octobre 2022, donne des lignes directrices pour une gestion de crise stratégique : leadership, décision en équipe, communication, entraînement. On s'en inspire ou on s'y aligne ; elle n'est pas certifiable.
- ISO 22301:2019 exige une structure de réponse (clause 8.4.2) : des équipes identifiées, avec leurs rôles, leurs compétences et des suppléants désignés.
- NIS2 inclut « la gestion des crises » dans les mesures de son article 21, et DORA impose aux entités financières, hors microentreprises, une fonction de gestion de crise (article 11, paragraphe 7).
La cellule de crise est le cœur décisionnel du plan de continuité d'activité.
Incident ou crise : quand activer la cellule de crise ?
Activer trop tard est l'erreur la plus fréquente ; activer pour rien use la crédibilité du dispositif. La parade : des seuils écrits et un niveau intermédiaire.
| Niveau | Déclencheur | Qui décide | Qui est mobilisé |
|---|---|---|---|
| Incident | Événement couvert par une procédure connue | Responsable de l'incident | Équipes opérationnelles, astreinte |
| Alerte | Un critère d'activation est atteint ou probable | Responsable d'astreinte ou membre habilité | Noyau : directeur de crise, coordinateur, expert concerné, communication |
| Crise | Critère confirmé, situation non maîtrisée | Directeur de crise | Cellule stratégique et cellules opérationnelles |
Un seul critère suffit pour passer en alerte : menace sur la sécurité des personnes ; interruption d'une activité critique qui approche la durée maximale admissible fixée par la BIA ; plusieurs sites ou activités critiques touchés ; notification probable à une autorité ; fuite de données ; exposition médiatique ; étendue encore inconnue.
Ces seuils portent sur l'impact métier, pas sur la cause technique. Le 19 juillet 2024, une mise à jour défectueuse de CrowdStrike a mis hors service environ 8,5 millions de postes Windows, selon Microsoft : pour beaucoup d'organisations, un incident informatique banal est devenu une crise en quelques heures.
Qui active ? Le directeur de crise ou l'un de ses suppléants, inscrits sur une liste nominative ; le responsable d'astreinte peut déclencher le niveau alerte sans attendre. L'ANSSI recommande les deux voies : par le bas, par effet de seuil, et par le haut, sur décision stratégique. Notez l'heure de prise de connaissance : elle fait courir les délais de notification.
Qui compose une cellule de crise ?
Deux niveaux : stratégique et opérationnel
La cellule stratégique fixe les objectifs, arbitre, valide la communication externe et dialogue avec les autorités. En pratique, six à dix personnes : au-delà, on débat au lieu de décider. Les cellules opérationnelles exécutent : informatique et cyber (investigation, confinement, restauration), métiers (procédures du PCA, modes dégradés), logistique ou RH. C'est l'architecture que décrit le guide de l'ANSSI et du CDSE Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique (2021).
Un relais par cellule opérationnelle remonte la situation à chaque point ; les décisions redescendent par la main courante, avec un responsable et une échéance. La cellule stratégique ne pilote pas la restauration serveur par serveur ; aucune cellule opérationnelle ne communique à l'extérieur sans validation. Quand deux métiers réclament les mêmes ressources, la cellule stratégique tranche selon les priorités de la BIA.
Les rôles clés d'une cellule de crise
| Rôle | Mission en crise |
|---|---|
| Directeur de crise | Fixe les objectifs, tranche, engage l'organisation (directeur général ou membre mandaté du comité de direction) |
| Coordinateur | Anime les points de situation, suit les actions (souvent le responsable du PCA) |
| Secrétaire | Tient la main courante |
| Communication et porte-parole | Messages internes et externes ; le porte-parole est la seule voix publique |
| Juridique | Obligations légales et contractuelles, plainte, préservation des preuves |
| Ressources humaines | Sécurité et information des salariés, organisation du travail, relève |
| DSI | État du système d'information, options et délais réalistes de restauration |
| RSSI | Qualification de l'attaque, confinement, lien avec le CSIRT et les experts de réponse à incident |
| DPO | Violations de données personnelles, notification à la CNIL |
| Finance | Trésorerie, paiements critiques, déclaration à l'assureur |
| Représentants métier | Impacts réels, activation des modes dégradés |
| Référent DORA (entités financières) | Classification des incidents TIC majeurs, notifications à l'autorité de supervision |
Trois fonctions ne se cumulent jamais : celui qui décide, celui qui anime, celui qui écrit.
Un titulaire et un suppléant par rôle critique
Les crises surviennent la nuit, le week-end, pendant que le directeur est dans un avion. Chaque rôle critique a donc un suppléant nommé, formé, invité aux exercices et doté des mêmes accès que le titulaire. Il ne partage ni son site ni ses déplacements, et ne supplée jamais deux rôles critiques à la fois. L'annuaire de crise, avec les numéros personnels, est conservé hors ligne.
Une composition qui varie selon le type de crise
| Type de crise | Rôles à mobiliser en priorité | Appuis externes |
|---|---|---|
| Cyberattaque | RSSI, DSI, DPO, juridique, communication ; référent DORA pour une entité financière | Prestataire de réponse à incident, assureur cyber, CSIRT, avocat |
| Sinistre physique (incendie, inondation) | Sûreté, services généraux, RH, responsables de site | Services de secours, assureur, autorités locales |
| Défaillance d'un fournisseur critique | Achats, juridique, métiers, DSI pour un prestataire informatique | Fournisseur de repli, conseil juridique |
| Crise de réputation | Communication, juridique, direction générale | Conseil en communication de crise |
Les 60 premières minutes après l'activation
La première heure ne résout pas la crise : elle sert à reprendre l'initiative.
| Moment | Objectif | Ce qui doit être fait |
|---|---|---|
| T+0 à T+10 | Alerter | Qualifier l'événement, convoquer par le canal principal et un canal de repli, ouvrir la main courante (heures de détection et de prise de connaissance) |
| T+10 à T+20 | Faire l'appel | Qui a confirmé, qui est injoignable ? Appeler les suppléants, démarrer sans attendre le quorum |
| T+20 à T+35 | Premier point de situation | Ce que l'on sait (avec les sources), ce que l'on ignore, le pire scénario plausible, les impacts, les actions déjà engagées |
| T+35 à T+50 | Premières décisions | Protéger les personnes, valider les confinements qui touchent l'activité, activer les plans, lancer les notifications, désigner le porte-parole |
| T+50 à T+60 | Premier message | Informer les salariés (ce qui se passe, quoi faire, heure du prochain point), préparer une déclaration d'attente, fixer le rythme |
« Nous ne savons pas encore » est une réponse acceptable. Le silence ne l'est pas.
Piloter la crise : rythme de bataille, main courante et relève
Le rythme de bataille
Le rythme de bataille est la cadence des points de situation : courts (20 à 30 minutes), à heures fixes, avec un ordre du jour immuable (situation, impacts, actions, décisions à prendre, communication, prochain point). À titre indicatif, toutes les une à deux heures au début, puis deux ou trois fois par jour. Entre deux points, on laisse travailler les équipes. Qui recommande, qui tranche : voir le framework RAPID appliqué à la gestion de crise.
La main courante : que consigner, et pourquoi elle vous protège
La main courante est le registre chronologique de la crise. Chaque entrée porte un horodatage, sa source et son type : information, décision, action, communication ou notification. Une décision y figure avec les options envisagées, la justification et son auteur ; une action, avec un responsable et une échéance ; une notification, avec l'heure d'envoi et la référence de dépôt. Un secrétaire dédié la tient, on n'efface jamais (une correction est une nouvelle entrée) et on en garde une copie hors ligne.
Elle sert à piloter, à passer la relève, à nourrir le retour d'expérience et à prouver. DORA impose aux entités financières un registre facile d'accès des activités menées avant et pendant les perturbations (article 11, paragraphe 8). Devant un assureur, un régulateur ou un juge, elle montre que chaque décision était raisonnable au vu des informations disponibles. Une décision non consignée ne se défend pas.
Fatigue et relève dans les crises longues
Une crise d'origine cyber peut durer plusieurs semaines, rappelle l'ANSSI, et personne ne décide bien après vingt heures sans sommeil. La relève s'organise dès les premières heures : des quarts aux changements décalés, une passation formelle à partir de la main courante, un directeur de crise qui passe la main à son suppléant, et une personne dédiée au suivi des heures et à la logistique (repas, hébergement, transport, accès aux locaux).
Salle de crise : physique, virtuelle et canaux de repli
La salle de crise physique doit fonctionner quand tout le reste tombe : une salle de repli sur un autre site, une alimentation secourue, une connexion indépendante du réseau de l'entreprise, des plans et un annuaire imprimés, des tableaux pour la chronologie et les décisions. La salle virtuelle (pont de visioconférence permanent) réunit les membres dispersés, mais dépend souvent de l'annuaire et de la messagerie de l'entreprise.
Si une compromission est possible, on ne discute pas de la réponse sur la messagerie de l'entreprise : l'attaquant peut la lire. Préparez avant la crise les numéros personnels des membres, un espace de messagerie et de visioconférence hors de l'environnement de l'entreprise avec des comptes déjà créés, et un annuaire stocké hors ligne, comme le recommande l'ANSSI. Ces canaux se testent en exercice.
Communication et notifications : les obligations de la cellule de crise
Trois principes : les salariés apprennent la nouvelle avant la presse, une seule voix s'exprime, chaque message annonce l'heure du suivant. DORA exige qu'au moins une personne soit chargée de la communication sur les incidents TIC et de l'information du public et des médias (article 14, paragraphe 3).
| Régime | Destinataire | Échéances | Rôle porteur |
|---|---|---|---|
| NIS2 (incident important) | CSIRT ou autorité compétente | Alerte précoce sous 24 h, notification sous 72 h, rapport final un mois au plus tard après la notification | RSSI, juridique |
| DORA (incident majeur lié aux TIC) | Autorité compétente | Notification initiale 4 h au plus tard après la classification comme majeur (et 24 h après la prise de connaissance) ; rapport intermédiaire 72 h au plus tard après la notification initiale ; rapport final un mois au plus tard après le dernier rapport intermédiaire | Référent DORA |
| RGPD (violation de données personnelles) | CNIL | Si possible 72 h au plus tard après la prise de connaissance | DPO |
| Contrats et assurance | Clients, partenaires, assureur | Selon les clauses, à relever avant la crise | Juridique, finance |
Les délais DORA viennent du règlement délégué (UE) 2025/301 ; pour NIS2, voir notification d'incident en 24 h, 72 h et 1 mois. Trames prêtes à l'emploi : modèle de plan de communication de crise et générateur de rapport d'incident.
Sortir de crise, tirer les leçons, s'entraîner
Les critères de sortie de crise
Les critères de sortie se posent dès l'activation et se réévaluent : personnes en sécurité, activités critiques au-dessus du niveau minimal défini, menace confinée et surveillée, notifications faites, plus aucune décision qui relève de la direction. La démobilisation est progressive (crise, alerte, gestion courante) et annoncée à tous ; on régularise les heures et les repos, et l'on remercie les équipes.
Le retour d'expérience
L'ANSSI le décrit en deux temps : à chaud, par entretiens dans les jours qui suivent, puis à froid, avec une synthèse et un plan d'action. Ce n'est pas un audit et l'on n'y cherche pas de coupable. Chaque constat devient une action corrective datée, puis une mise à jour du plan, de l'annuaire et des critères d'activation.
S'entraîner
Un test d'alerte deux fois par an, un exercice sur table au moins annuel pour la cellule stratégique, chaque suppléant dans le rôle principal une fois par an, et des contraintes réalistes : messagerie coupée, directeur injoignable, journaliste au téléphone dès la première heure. DORA impose déjà de tester les plans de continuité TIC au moins une fois par an, et de tester les plans de communication de crise. Idées de scénarios : 10 scénarios d'exercice de crise.
Outiller la cellule de crise
Un outil ne remplace pas l'entraînement, et il doit rester utile quand le système d'information tombe : gardez des exports hors ligne de l'organisation de crise et de l'annuaire.
Ce que fait ResiPlan, concrètement
- Cellule de crise dans le plan de gestion de crise : une bibliothèque de 16 rôles de direction, un titulaire et un suppléant par rôle.
- Contrôle automatique des manques : rôles critiques sans suppléant et, pour un plan de crise cyber, absence du RSSI, du DPO ou du référent DORA.
- Cockpit de commandement : déroulé en 6 phases, appel nominal (non contacté, contacté, confirmé, injoignable), actions par phase à acquitter, démarrer, terminer ou réaffecter.
- Notifications par e-mail et Slack, Teams ou Discord, et un mode exercice clairement signalé.
- Journal des décisions et, en option, captation des séances : la transcription pré-remplit des décisions en brouillon qu'une personne valide (consentement requis, intervenants anonymisés).
- Registre d'incidents unique : une crise est un incident escaladé. Exercices sur table et crisis gaming.
- Un module de gestion de crise aligné sur les lignes directrices ISO 22361:2022.
Une précision honnête : un logiciel ne rend personne « conforme » et ne certifie personne. ResiPlan structure, relie et garde la trace du travail de vos équipes. Essai gratuit de 7 jours, sans carte bancaire.
Checklist : votre cellule de crise est-elle prête ?
- Les critères d'activation sont écrits, et les personnes habilitées à activer la cellule sont nommées.
- Les niveaux stratégique et opérationnel sont définis, avec un relais par cellule.
- Chaque rôle critique a un titulaire et un suppléant formés.
- Un secrétaire et un modèle de main courante sont prêts.
- L'annuaire de crise est conservé hors ligne et testé deux fois par an.
- Une salle de crise et une salle de repli sont équipées.
- Des canaux de repli hors du système d'information sont créés et testés.
- Les trames de notification NIS2, DORA et RGPD sont rédigées.
- Un plan de relève existe pour les crises de plus de 24 heures.
- Un exercice sur table a eu lieu dans l'année, avec actions correctives suivies.
FAQ
Qui doit faire partie d'une cellule de crise ?
Au minimum : un directeur de crise, un coordinateur, un secrétaire pour la main courante, la communication, le juridique, les RH, la DSI et les métiers touchés. Selon la crise s'ajoutent le RSSI et le DPO (cyber), la sûreté (sinistre physique) ou le référent DORA (entité financière). Chaque rôle critique a un suppléant.
Qui décide d'activer la cellule de crise ?
Le directeur de crise ou l'un de ses suppléants nommés décide de l'état de crise. Le responsable d'astreinte peut déclencher le niveau alerte dès qu'un critère est atteint, pour réunir le noyau sans attendre.
Qu'est-ce qu'une main courante de crise ?
C'est le registre chronologique et horodaté de ce que la cellule reçoit, décide, fait et communique. Elle sert à piloter, à passer la relève, à préparer le retour d'expérience et à justifier les décisions devant un régulateur, un assureur ou un juge.
La cellule de crise est-elle obligatoire ?
NIS2 inclut la gestion des crises dans les mesures de l'article 21, et DORA impose aux entités financières, hors microentreprises, une fonction de gestion de crise. ISO 22301 demande une structure de réponse avec des équipes et des suppléants identifiés. Sans obligation légale, clients et assureurs l'attendent de plus en plus.
Peut-on être certifié ISO 22361 ?
Non. ISO 22361:2022 contient des lignes directrices, pas des exigences certifiables. On peut aligner son dispositif sur elle ; la certification d'un système de management de la continuité se fait sur ISO 22301.
Pour aller plus loin
- Plan de gestion de crise et framework RAPID
- 10 scénarios d'exercice de crise
- Notification d'incident NIS2 : 24 h, 72 h, 1 mois
- Modèle de plan de réponse aux incidents
- Gestion de crise avec ResiPlan
Une cellule de crise ne se juge pas à son organigramme, mais à la qualité de ses décisions à trois heures du matin, avec la moitié des informations : c'est cela qu'il faut préparer.