Pour organiser un exercice de crise sur table, réunissez la cellule de crise deux heures autour d'un scénario réaliste, envoyez des stimuli minutés, laissez les joueurs décider avec leurs plans réels, notez ce que vous observez selon des critères fixés, puis débriefez à chaud et rédigez un rapport de retour d'expérience avec responsables et échéances. Ce kit fournit chaque pièce, pour une PME ou une filiale de groupe.
Un exercice sur table est une simulation fondée sur la discussion : les décideurs déroulent un scénario de crise pas à pas, sans toucher aux systèmes de production. Il teste les rôles, les décisions, les plans et la communication, pas la technique. C'est en général la première marche d'un programme d'exercices, avant les tests fonctionnels, les tests de basculement et les simulations grandeur nature.
Un stimulus (en anglais « inject ») désigne une information scénarisée (appel, courriel, article de presse, message système) envoyée à une heure fixée pour faire avancer le scénario et obliger les joueurs à décider.
À télécharger, gratuitement et sans inscription : classeur Excel (.xlsx) · modèle de RETEX (.docx).
Que contient le kit ?
| Élément | À quoi il sert | Dans le fichier à télécharger |
|---|---|---|
| Déroulé et règles du jeu | Tenir la séance en 120 minutes | Onglet « Déroulé » |
| Fiches de rôle | Qui joue, qui anime, qui observe | Onglet « Rôles » |
| Scénario et 11 stimuli minutés | Rançongiciel sur l'ERP, avec un prestataire informatique et un fournisseur dans la boucle | Onglet « Stimuli », une ligne par stimulus |
| Grille d'observation | Noter 11 critères de 1 à 4, preuves à l'appui | Onglet « Observation » |
| Déclaration d'attente et carte des publics | Communication de crise d'une petite entreprise | Modèle de RETEX, annexe |
| Guide de débriefing et modèle de RETEX | Transformer les constats en actions suivies | Modèle de rapport (.docx) |
Comment organiser un exercice de crise sur table en deux heures ?
Tout se joue dans la préparation : des objectifs flous, un scénario qui ignore vos vrais systèmes ou des observateurs qui ne savent pas quoi regarder suffisent à vider l'exercice de son intérêt.
| Quand | Tâche | Qui |
|---|---|---|
| 6 semaines avant | Le commanditaire valide 2 ou 3 objectifs (par exemple : « réunir la cellule en moins de 20 minutes », « identifier nos obligations de notification », « tester le message aux clients ») | Responsable continuité |
| 4 semaines avant | Adapter le scénario : noms réels des systèmes, du prestataire et des fournisseurs, valeurs de votre BIA (durée maximale d'interruption admissible ou DMIA, RTO, RPO) | Animateur |
| 2 semaines avant | Convoquer les joueurs et leurs suppléants, former les observateurs à la grille | Animateur |
| 1 semaine avant | Répétition des stimuli avec la cellule d'animation | Animateur, cellule d'animation |
| Jour J | Salle, écran, fiches stimuli imprimées, main courante vierge, plans à jour sur papier | Animateur |
Déroulé de la séance (T = minutes depuis le début) :
| Heure de séance | Séquence | Contenu |
|---|---|---|
| T+0 à T+10 | Briefing | Objectifs, périmètre, règles du jeu, rôles, situation de départ |
| T+10 à T+92 | Jeu | 11 stimuli ; chaque décision est notée dans la main courante |
| T+92 à T+115 | Débriefing à chaud | Tour de table, premiers constats des observateurs |
| T+115 à T+120 | Clôture | Trois actions prioritaires, responsables, date du rapport |
Règles à lire à T+0 :
- Ni faute ni coupable : on teste les plans et l'organisation, pas les personnes.
- On joue avec les documents et les contacts réellement disponibles ; ce qui manque est un constat.
- Le temps du scénario va plus vite que le temps réel ; l'animateur annonce chaque saut.
- Ce qui n'est pas dans la main courante n'a pas eu lieu.
- Tout message qui sort de la salle commence par « EXERCICE EXERCICE EXERCICE » ; aucun appel réel aux clients, médias ou autorités sans accord préalable.
Comment constituer une cellule de crise pour l'exercice ?
Gardez un noyau restreint : cinq à sept personnes qui ont le pouvoir de décider, chacune avec un suppléant nommé. Dans une PME, une personne peut cumuler deux rôles, mais chaque rôle doit être tenu. La cellule a besoin de critères d'activation écrits, d'un lieu de réunion et d'un canal de repli qui ne dépend pas des systèmes attaqués, et d'un secrétaire qui tient la main courante.
| Rôle | Pendant l'exercice | En crise réelle | Conseil PME |
|---|---|---|---|
| Animateur | Tient l'horloge, envoie les stimuli, ne joue pas | Sans objet | Une personne extérieure à la cellule, voire externe |
| Cellule d'animation (1 ou 2) | Joue le prestataire informatique, le client, le journaliste, les attaquants, les autorités | Sans objet | L'animateur peut la tenir seul en petit groupe |
| Observateurs (1 à 3) | Remplissent la grille, n'interviennent jamais | Audit interne, pairs | Choisir ceux qui porteront le suivi |
| Directeur de crise | Décide, fixe les priorités, arbitre | Idem | Le dirigeant ou son adjoint |
| Responsable opérations / métier | Solutions de contournement, priorités de commandes et de livraisons | Idem | Responsable production ou logistique |
| Responsable informatique | Réponse technique, lien avec le prestataire | Idem | Informatique interne ou chargé de compte du prestataire |
| Responsable communication | Messages internes et externes, appui au porte-parole | Idem | Souvent l'assistant de direction ou le marketing |
| Juridique / DPO / conformité | Notifications, contrats, preuves, assurance | Idem | Avocat joignable si pas de juriste interne |
| RH | Information du personnel, bien-être, rumeurs | Idem | |
| Finance / achats | Contrats fournisseurs, assureur, trésorerie | Idem | |
| Secrétaire | Main courante horodatée : faits, décisions, actions | Idem | Jamais le directeur de crise |
Composition détaillée, activation et 60 premières minutes : voir cellule de crise : composition et rôles.
Le scénario : un rançongiciel frappe l'ERP un lundi matin
Situation de départ (lue à T+10). L'Entreprise fabrique et distribue des pièces détachées : 180 salariés, une usine, un entrepôt, environ 400 clients professionnels. Son ERP (commandes, stocks, facturation, paie) est hébergé et infogéré par un prestataire informatique, qui y accède par une liaison d'accès à distance permanente. La messagerie et la téléphonie sont dans le cloud. Nous sommes lundi, 7 h 40.
| Heure de séance | Heure du scénario | Stimulus (ce que reçoivent les joueurs) | Envoyé par | Décisions et actions attendues | Pilote |
|---|---|---|---|---|---|
| T+10 | Lun. 7 h 40 | Le chef d'entrepôt appelle : les écrans de l'ERP affichent une demande de rançon ; préparation des commandes et impression des étiquettes à l'arrêt. | Cellule d'animation, téléphone | Qualifier l'événement, ouvrir la main courante, appliquer les critères d'activation, réunir la cellule, confirmer le directeur de crise | Directeur de crise, informatique |
| T+17 | 7 h 55 | Courriel du prestataire : chiffrement détecté chez plusieurs clients, dont vous ; investigation en cours ; il conseille de couper la liaison d'accès à distance. | Cellule d'animation, courriel | Isoler (couper la liaison), préserver les preuves, joindre le contact incident du prestataire, relire le contrat (niveaux de service, obligation de notification, obligations de sécurité) | Informatique, achats |
| T+25 | 8 h 30 | Point de situation : messagerie et téléphones fonctionnent ; ERP, facturation et étiquettes d'entrepôt à l'arrêt ; 140 commandes à livrer aujourd'hui. Votre BIA fixe à 48 heures la durée maximale d'interruption admissible du processus commande-livraison. | Animateur | Activer les solutions de contournement (prise de commande manuelle, bons de préparation papier), classer les clients, fixer le rythme des points de situation | Opérations |
| T+33 | 9 h 00 | Les salariés s'écrivent entre eux ; l'un d'eux a publié une photo de la demande de rançon sur un réseau social. | Cellule d'animation, capture d'écran | Premier message à tout le personnel (ce qu'on sait, ce qu'il faut faire, ce qu'il ne faut pas publier), demander le retrait de la publication, briefer l'accueil | Communication, RH |
| T+40 | 9 h 30 | La console de sauvegarde, hébergée chez le prestataire, est chiffrée elle aussi. Une copie hors ligne de mercredi dernier existe. | Cellule d'animation | Mesurer la perte de données par rapport au RPO, choisir la voie de reprise, organiser la ressaisie des commandes depuis les courriels et le papier, conserver les preuves | Informatique, finance |
| T+48 | 10 h 00 | Les attaquants affirment avoir copié les fichiers de paie et de clients et menacent de les publier. | Cellule d'animation, courriel | Lancer l'analyse de violation de données personnelles et noter l'heure de prise de connaissance ; vérifier si NIS2 ou DORA s'appliquent ; désigner qui notifie et qui décide | Juridique / DPO, directeur de crise |
| T+55 | 10 h 30 | L'acheteur du plus gros client appelle le directeur commercial : la livraison de mardi sera-t-elle assurée, nos données sont-elles touchées ? Il veut une réponse écrite avant midi. | Cellule d'animation, téléphone | Utiliser le message client validé, ne rien promettre au hasard, vérifier les engagements contractuels, donner un interlocuteur unique | Communication, opérations |
| T+63 | 11 h 00 | Demande de rançon : paiement en cryptomonnaie sous 72 heures. | Cellule d'animation, courriel | Ne rien décider sous la pression : appliquer la politique, prévenir la police et l'assureur cyber, prendre un avis juridique et spécialisé, ne pas négocier seul | Directeur de crise, juridique, finance |
| T+70 | 11 h 30 | Un journaliste local appelle l'accueil : « On nous dit que vous êtes victimes d'une cyberattaque. Vous confirmez ? » | Cellule d'animation, téléphone | Renvoyer vers le porte-parole, utiliser la déclaration d'attente, consigner l'appel | Communication |
| T+78 | 14 h 00 | La cellule de crise du prestataire est débordée : votre environnement ne sera pas restauré avant jeudi. Un fournisseur de matières premières signale que vos commandes électroniques ne lui parviennent plus depuis lundi matin. | Cellule d'animation, courriel et téléphone | Escalader chez le prestataire au niveau direction, décider d'une alternative (reconstruction propre, autre prestataire), passer les commandes fournisseurs par courriel ou téléphone, revoir les options de sortie et de substitution | Informatique, achats |
| T+85 | 16 h 00 | Le dirigeant actionnaire (ou le siège du groupe) veut un point de situation d'une page pour 17 h et demande s'il faut communiquer au niveau du groupe. | Animateur | Rédiger le point de situation (faits, impacts, décisions, besoins, suite), appliquer les critères d'escalade vers le groupe, aligner les messages | Directeur de crise |
| T+92 | 17 h 00 | Fin du jeu : l'animateur gèle le scénario. | Animateur | Le directeur de crise énonce les décisions des 24 prochaines heures et l'heure du prochain point ; le secrétaire clôt la main courante | Directeur de crise, secrétaire |
Délais de notification à vérifier à T+48 (note pour l'animateur) : selon l'article 33 du RGPD, une violation de données personnelles est notifiée à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Les entités essentielles et importantes au sens de NIS2 envoient une alerte précoce dans les 24 heures et une notification d'incident dans les 72 heures (article 23, paragraphe 4). Les entités financières soumises à DORA suivent les délais du règlement délégué (UE) 2025/301 : notification initiale dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance. Les règles européennes de notification sont en cours de révision (« omnibus numérique ») : vérifiez les textes en vigueur le jour de l'exercice.
Stimuli de réserve si l'équipe va trop vite : le directeur de crise suppléant est en congé et injoignable ; l'assureur cyber impose son propre prestataire de réponse à incident ; une deuxième filiale du groupe utilise le même prestataire. D'autres scénarios : 10 scénarios d'exercice de crise et un exercice sur table « crise énergétique ».
Grille d'observation
Échelle : 1 non démontré, 2 partiellement démontré (lacunes importantes), 3 démontré avec lacunes mineures, 4 pleinement démontré, N/O non observé. Chaque note s'appuie sur une preuve : une heure, une citation, un document.
| N° | Critère | Ce qu'on doit voir | Note | Preuve |
|---|---|---|---|---|
| 1 | Activation et escalade | Cellule réunie dans le délai visé, sur la base de critères écrits | ||
| 2 | Rôles et leadership | Chaque rôle tenu, suppléants connus, le directeur de crise arbitre | ||
| 3 | Vision partagée de la situation | Tableau de situation mis à jour à chaque point ; un point de situation produit | ||
| 4 | Utilisation des plans et de la BIA | Plan de continuité, valeurs de la BIA et annuaires ouverts et utilisés | ||
| 5 | Prise de décision | Décisions notées avec heure, responsable et justification ; aucune laissée en suspens | ||
| 6 | Gestion des fournisseurs | Contrat, niveaux de service et contacts d'escalade du prestataire retrouvés ; alternatives étudiées | ||
| 7 | Notifications réglementaires | Obligations identifiées, heure de prise de connaissance notée, responsable désigné | ||
| 8 | Communication interne | Premier message au personnel dans le délai visé, cohérent avec la ligne externe | ||
| 9 | Communication externe | Déclaration d'attente validée ; clients, fournisseurs et médias traités par des personnes nommées | ||
| 10 | Priorités de reprise | L'ordre de reprise suit les priorités de la BIA | ||
| 11 | Main courante | Assez complète pour reconstituer la chronologie |
Comment organiser la communication de crise dans une petite entreprise ?
Une seule voix à l'extérieur, un seul émetteur à l'intérieur. Le dirigeant est en général le porte-parole ; le responsable communication rédige ; l'accueil et les commerciaux reçoivent un court script et renvoient toute question. Personne d'autre ne parle aux médias.
| Public | Quand | Canal | Qui |
|---|---|---|---|
| Personnel | Dans la première heure, puis à chaque point | Courriel ou SMS si disponibles, chefs d'équipe, affichage | Communication, RH |
| Clients clés | Avant qu'ils ne l'apprennent ailleurs | Appel du chargé de compte, confirmation écrite | Opérations / commercial |
| Prestataire informatique et fournisseurs | Dès que les dépendances sont connues | Téléphone, puis courriel | Informatique, achats |
| Autorités (autorité de protection des données, CSIRT ou autorité compétente, police) | Dans les délais légaux | Canaux officiels | Juridique / DPO |
| Assureur cyber | Aussi tôt que le contrat l'exige | Ligne d'assistance de l'assureur | Finance |
| Médias | Sur sollicitation | Déclaration d'attente | Porte-parole |
| Actionnaire ou siège du groupe | Dès que les critères d'escalade sont remplis | Téléphone et point de situation | Directeur de crise |
Première déclaration d'attente (modèle) :
Le [date] à [heure], [Entreprise] a détecté un incident informatique touchant une partie de ses systèmes. Nous avons immédiatement activé notre dispositif de crise et travaillons avec [des spécialistes / nos partenaires informatiques] pour rétablir les opérations en toute sécurité. [Les livraisons / le service client] [se poursuivent / sont temporairement perturbés] ; les clients concernés sont contactés directement. Nous vérifions si des données personnelles sont touchées et informerons les personnes concernées et les autorités comme la loi l'exige. Prochain point : [heure]. Contact : [nom, courriel, téléphone].
Règles : des faits, rien que des faits ; aucune hypothèse sur la cause ou les attaquants ; ne jamais mettre en cause le prestataire en public ; aucun chiffre non validé ; les mêmes faits à l'intérieur et à l'extérieur ; chaque message horodaté et archivé. Les entités financières doivent disposer de plans de communication de crise et d'au moins une personne chargée de l'information du public et des médias (article 14 de DORA). Un plan prêt à l'emploi : modèle de plan de communication de crise.
Quel cadre de gestion de crise à l'échelle d'un groupe ?
Dans un groupe, l'exercice teste aussi le lien entre la filiale et le siège. Un cadre simple compte trois niveaux et des critères d'escalade écrits.
| Niveau | Décide de | Membres types |
|---|---|---|
| Cellule de crise groupe (stratégique) | Réputation, communication du groupe, financement, décisions touchant plusieurs entités | Directeur général du groupe ou son délégué, communication groupe, juridique, finance, RSSI |
| Cellule de crise de l'entité (tactique) | Réponse locale, contournements, clients et personnel locaux | Directeur de l'entité et les rôles ci-dessus |
| Équipes spécialisées (opérationnel) | Reprise informatique, réponse cyber, urgence sur site | Informatique, prestataire, sûreté |
Escalader vers le groupe quand : plus d'une entité est touchée ; un prestataire informatique, un service ou un fournisseur partagé est en cause ; une notification réglementaire ou une exposition médiatique est probable ; l'impact dépasse un seuil financier fixé par le groupe ; une rançon est exigée. Partagez un format unique de main courante et de point de situation, laissez le groupe valider les déclarations externes et gardez le commandement local à l'entité, sauf transfert explicite. Pour l'exercer, ajoutez deux ou trois personnes du siège en « cellule groupe » à partir de T+78. La norme ISO 22361:2022 donne des lignes directrices sur la gestion de crise stratégique.
Débriefing à chaud et modèle de rapport de RETEX
Débriefing à chaud (20 minutes) : chaque joueur cite une chose qui a marché et une chose à corriger ; les observateurs donnent leurs trois principaux constats ; l'animateur dit si chaque objectif est atteint, partiellement atteint ou non atteint. Rédigez le rapport dans les deux semaines.
| Section | Contenu |
|---|---|
| 1. Identification | Date, scénario, objectifs, participants, périmètre |
| 2. Synthèse pour la direction | Une demi-page : objectifs atteints ou non, trois risques principaux révélés |
| 3. Chronologie | Faits et décisions clés, repris de la main courante |
| 4. Résultats de l'observation | Note par critère, avec preuves |
| 5. Points forts | Ce qu'on garde |
| 6. Constats et causes | Ce qui a échoué et pourquoi (plan, formation, outil, contrat) |
| 7. Plan d'action | Tableau ci-dessous |
| 8. Documents à mettre à jour | Plans, annuaires, contrats, modèles |
| 9. Prochain exercice | Type, date, scénario, ce qui sera plus difficile |
| N° | Constat | Action | Responsable | Échéance | Exigence | Statut |
|---|---|---|---|---|---|---|
| 1 | Contact incident du prestataire absent du plan | Ajouter le contact 24 h/24 et la voie d'escalade au plan et au contrat | Achats | [date] | ISO 22301, § 10.1 | Ouvert |
Quel lien avec ISO 22301, DORA et NIS2 ?
| Référence | Ce qu'elle demande, en bref | Ce que couvre le kit |
|---|---|---|
| ISO 22301:2019, § 8.5 (programme d'exercices) | Un programme d'exercices et de tests sur des scénarios appropriés aux objectifs clairs, suivis de rapports et d'actions d'amélioration | Un exercice de la cellule et des plans fondé sur un scénario, avec rapport et actions ; le programme pluriannuel reste à planifier |
| ISO 22301:2019, § 8.6 et § 10.1 | Évaluation de la documentation et des capacités de continuité ; actions correctives | Grille d'observation, RETEX, plan d'action |
| ISO 22398:2013 | Lignes directrices pour planifier, conduire et améliorer des exercices | Structure : objectifs, rôles, scénario, évaluation, rapport |
| DORA, art. 11, par. 6, point a) | Tester au moins une fois par an les plans de continuité des activités de TIC et les plans de réponse et de rétablissement des TIC ; hors microentreprises, inclure des scénarios de cyberattaque et de basculement | Scénario de cyberattaque au niveau décisionnel. Un exercice sur table ne teste pas le basculement : prévoyez aussi un test technique |
| DORA, art. 11, par. 6, point b) | Tester les plans de communication en situation de crise (art. 14) | Stimuli de communication, déclaration d'attente, carte des publics |
| DORA, art. 24 et 25 | Programme de tests pour les entités autres que les microentreprises, dont des « tests fondés sur des scénarios », testeurs indépendants et correction des problèmes | Test fondé sur un scénario, animateur indépendant des joueurs, actions suivies |
| Règlement délégué (UE) 2024/1774, art. 25 | Tests de continuité TIC sur des scénarios graves mais plausibles, y compris les services des prestataires tiers, en éprouvant la gouvernance et la communication de crise | Angle prestataire, stimuli d'escalade et de communication |
| NIS2, art. 21, par. 2, point c) | Continuité des activités (gestion des sauvegardes, reprise des activités) et gestion des crises | Stimulus sauvegarde, cellule de crise, communication |
| Règlement d'exécution (UE) 2024/2690, annexe, points 4.1.4 et 4.3.4 | Pour les fournisseurs de cloud, de centres de données, de services gérés et les autres prestataires numériques visés : tester les plans de continuité, de rétablissement et de gestion des crises | Même kit, le prestataire passant côté joueurs |
Pour dérouler les stimuli et tenir la main courante dans un outil, ResiPlan propose un module de crisis gaming.
Questions fréquentes
Combien de temps doit durer un exercice sur table ?
Deux heures conviennent pour un premier exercice : environ 80 minutes de jeu et 20 minutes de débriefing. Au-delà de trois heures, l'attention baisse ; mieux vaut deux séances.
À quelle fréquence l'organiser ?
Les entités financières soumises à DORA doivent tester leurs plans de continuité des activités de TIC au moins une fois par an (art. 11, par. 6). ISO 22301 demande un programme planifié. Un exercice sur table par an, plus un après chaque changement important, constitue une base raisonnable pour une PME.
Un exercice sur table suffit-il pour DORA ou NIS2 ?
Non. Il teste les décisions et la communication. Les basculements, les restaurations de sauvegarde et les délais de reprise demandent des tests techniques.
Faut-il inviter le prestataire informatique ?
Oui, si possible. Un prestataire autour de la table montre vite si les contrats, les contacts et les promesses de reprise correspondent à la réalité.
Qui doit animer ?
Une personne dont on n'aura pas besoin comme joueur et qui sait tenir l'horloge. Un animateur externe aide pour le premier exercice.
Sources
- Règlement (UE) 2022/2554 (DORA), articles 5, 11, 14, 24 et 25, EUR-Lex
- Règlement délégué (UE) 2024/1774 de la Commission, article 25, EUR-Lex
- Règlement délégué (UE) 2025/301 de la Commission, article 5, EUR-Lex
- Directive (UE) 2022/2555 (NIS2), articles 21 et 23, EUR-Lex
- Règlement d'exécution (UE) 2024/2690 de la Commission, annexe, section 4, EUR-Lex
- Règlement (UE) 2016/679 (RGPD), article 33, EUR-Lex
- ENISA, NIS2 Technical Implementation Guidance (en anglais)
- ISO 22301:2019, Business continuity management systems — Requirements (fiche ISO)
- ISO 22398:2013, Societal security — Guidelines for exercises (fiche ISO)
- ISO 22361:2022, Crisis management — Guidelines (fiche ISO)