Exercice de crise cyber : formats, durée et budget pour tester réellement votre plan
Exercice de crise cyber : formats, durée et budget pour tester réellement votre plan
Un exercice de crise cyber est le seul moyen de savoir si votre plan de continuité fonctionne. Tant qu’il n’a pas été joué, un PCA reste un document : une intention écrite, validée en comité, rangée dans un répertoire partagé que personne n’ouvrira le jour où les serveurs seront chiffrés.
La difficulté, quand on décide de franchir le pas, c’est que le marché reste flou. Combien de temps faut-il y consacrer ? Qui doit participer ? Quel budget prévoir ? Faut-il commencer par une simulation grandeur nature ou par quelque chose de plus modeste ?
Cet article répond à ces questions de façon concrète : les trois formats existants, ce qu’ils coûtent réellement, comment se déroule une session, et les erreurs qui transforment un exercice en perte de temps.
Table des matières
Pourquoi un plan non testé n’est pas un plan
La rédaction d’un plan de continuité suit une logique de bureau : on identifie les processus critiques, on fixe des objectifs de reprise, on documente des procédures. Tout cela se fait au calme, avec le temps de réfléchir et la possibilité de revenir en arrière.
Une crise ne ressemble à rien de tout cela. Les informations arrivent incomplètes et contradictoires. Les personnes désignées dans le plan sont en congés, en déplacement ou injoignables. La messagerie d’entreprise, qui devait servir à coordonner la réponse, fait partie des systèmes compromis. Et la direction réclame une estimation du délai de reprise alors que personne ne sait encore ce qui a été touché.
L’exercice de crise cyber existe précisément pour révéler cet écart. Il ne vérifie pas que le document est bien rédigé — il vérifie que les personnes savent quoi en faire sous pression.
À retenir
Un plan jamais éprouvé ne vous dit rien de votre capacité réelle à réagir. Il vous dit seulement ce que vous aviez imaginé faire, dans des conditions que la crise ne reproduira pas.
Ce que révèle systématiquement un premier exercice, ce ne sont pas des failles techniques. Ce sont des zones de flou humaines et organisationnelles : personne ne sait qui a autorité pour déconnecter un site du réseau, les coordonnées de l’assureur cyber datent de trois ans, le juriste découvre le délai de notification à la CNIL pendant la séance, ou deux directions se croient chacune responsable de la communication externe.
Ces angles morts n’apparaissent dans aucune relecture de document. Ils n’apparaissent que lorsqu’on met les gens en situation.
Les trois formats d’exercice de crise cyber
Les exercices se répartissent en trois familles, par ordre croissant de réalisme, de coût et de risque opérationnel. Elles ne s’opposent pas : elles se succèdent dans une progression de maturité.
L’exercice sur table
C’est le format d’entrée, et de loin le plus répandu. Les participants sont réunis dans une salle, autour d’une table. Un animateur déroule un scénario en injectant des événements successifs — la découverte de l’incident, la remontée d’un premier périmètre touché, l’appel d’un journaliste, la demande de rançon, la question d’un client sur la sécurité de ses données.
À chaque injection, le groupe doit décider. Aucun système n’est réellement touché, aucune bascule n’est effectuée : tout se joue dans la discussion et dans les décisions annoncées.
Durée : une demi-journée pour un premier exercice, une journée complète pour un scénario plus dense.
Participants : de six à quinze personnes. La direction générale, la DSI, la communication, le juridique, les métiers critiques.
Ce format convient aux organisations qui n’ont jamais testé leur dispositif, ou qui viennent de rédiger un plan et veulent en valider la logique avant d’aller plus loin.
Sa force est aussi sa limite : parce qu’il ne perturbe rien, il ne coûte presque rien en temps opérationnel — mais il ne prouve pas non plus que les procédures techniques fonctionnent.
L’exercice de simulation
Ici, le dispositif de crise est réellement activé. La cellule se réunit dans les conditions prévues par le plan, avec ses moyens de communication de secours. Les participants travaillent en temps réel, sur plusieurs heures, parfois avec des acteurs extérieurs qui jouent les rôles de la presse, des clients ou des autorités.
Les décisions ne sont plus seulement énoncées : elles sont exécutées jusqu’à leur terme documentaire. Le communiqué est rédigé. La notification est préparée. La main courante est tenue.
Durée : une journée complète, parfois deux, avec plusieurs semaines de préparation en amont.
Participants : la cellule de crise complète, plus une équipe d’animation distincte et des observateurs.
Ce format convient aux organisations qui ont déjà pratiqué l’exercice sur table et veulent éprouver leur coordination réelle, notamment lorsque plusieurs sites ou plusieurs entités sont concernés.
Le test technique de bascule
Le troisième format ne relève plus de la gestion de crise mais de la vérification technique. On restaure effectivement une sauvegarde. On bascule sur l’infrastructure de secours. On mesure le temps que cela prend réellement, et on le compare aux objectifs de reprise inscrits dans le plan.
C’est le seul format qui valide ou invalide vos RTO et RPO. Un plan qui annonce une reprise en quatre heures sans qu’aucune restauration n’ait jamais été chronométrée annonce un chiffre, pas un engagement.
Durée : variable, généralement programmée hors heures ouvrées.
Ce format convient aux organisations dont les objectifs de reprise sont contractuels ou réglementaires, et qui doivent pouvoir les démontrer.
À retenir
La progression naturelle est : exercice sur table la première année, simulation la deuxième, test technique en parallèle et en continu. Vouloir commencer par le format le plus lourd est le meilleur moyen de dégoûter les participants et de ne jamais recommencer.
Combien coûte un exercice de crise cyber
C’est la question que tout le monde se pose et à laquelle presque personne ne répond publiquement. Voici des repères concrets.
Un exercice de crise cyber sur table d’une demi-journée démarre à 1 900 € HT, scénario sur mesure et retour d’expérience compris. Ce montant couvre la conception du scénario à partir de votre contexte réel, l’animation de la séance et la restitution écrite.
Au-delà de ce socle, quatre paramètres font varier le budget :
Il faut ajouter à cela un coût que l’on oublie souvent de compter : le temps de vos propres équipes. Une demi-journée mobilisant huit cadres dirigeants représente en soi un investissement substantiel. C’est d’ailleurs le vrai frein à la fréquence des exercices — rarement le prix de la prestation.
Mis en regard du coût d’une crise mal gérée, l’arbitrage est simple. Mais la comparaison la plus parlante reste interne : le budget d’un exercice annuel représente en général une fraction infime de ce que l’organisation dépense chaque année en outils de sécurité — outils dont l’efficacité repose sur des procédures que personne n’a jamais testées.
Découvrez nos exercices de crise et le format adapté à votre niveau de maturité.
Le déroulé d’un exercice, étape par étape
Un exercice de crise réussi se joue davantage dans sa préparation que dans son animation. La méthodologie publiée par l’ANSSI structure la démarche en quatre temps.
1. Le cadrage
On définit ce que l’exercice doit vérifier. Tester la remontée d’alerte n’est pas la même chose que tester la communication de crise ou la capacité à décider d’un arrêt de production.
Un objectif clair et unique produit un exercice utile. Trois objectifs simultanés produisent une séance confuse dont personne ne tire de conclusion.
On fixe également le périmètre, la date, la liste des participants et le niveau d’information dont ils disposeront à l’avance.
2. La conception du scénario
Le scénario doit être plausible pour votre organisation. Un ransomware générique fonctionne mal ; un ransomware qui chiffre précisément l’application dont dépend votre production, un vendredi à 17h, produit un tout autre effet.
On construit ensuite le chronogramme : la succession des événements injectés, leur horaire, et ce qu’ils cherchent à provoquer chez les participants. Chaque injection doit avoir une raison d’être — révéler un manque, forcer un arbitrage, créer une contradiction.
3. L’animation
Le jour J, deux groupes coexistent. Les joueurs vivent la crise et prennent les décisions. La cellule d’animation injecte les événements, joue les interlocuteurs extérieurs et adapte le rythme si le groupe décroche ou prend de l’avance.
Des observateurs notent sans intervenir : qui prend la parole, quelles décisions sont prises et en combien de temps, quelles informations manquent, où le dispositif se grippe.
4. Le retour d’expérience
C’est la phase la plus importante, et celle que l’on bâcle le plus souvent.
Un premier échange à chaud, immédiatement après la séance, recueille les impressions avant qu’elles ne s’estompent. Un retour d’expérience formalisé, quelques jours plus tard, liste les constats et les traduit en actions datées et attribuées.
À retenir
Un exercice sans plan d’action est un exercice perdu. La valeur ne réside pas dans la séance mais dans les corrections qu’elle déclenche — et dans leur vérification lors de l’exercice suivant.
Téléchargez notre checklist de résilience pour évaluer votre niveau de préparation avant de programmer un exercice.
Les cinq erreurs qui ruinent un exercice
Prévenir trop précisément. Si les participants connaissent le scénario, ils préparent leurs réponses. On teste alors leur mémoire, pas leur capacité de réaction. Annoncer la date sans dévoiler le contenu suffit largement.
Oublier la direction générale. Un exercice cantonné à la DSI teste la technique. Or les décisions les plus lourdes en situation de crise — arrêter la production, payer ou non, communiquer publiquement — ne relèvent pas de la DSI. Sans la direction autour de la table, l’exercice contourne l’essentiel.
Chercher à réussir. Un exercice où tout se passe bien n’apprend rien. L’objectif n’est pas de valider le dispositif mais de trouver où il casse. Un scénario qui met le groupe en difficulté est un bon scénario.
Négliger le retour d’expérience. Une séance sans restitution écrite ni actions assignées laisse un souvenir sympathique et rien d’autre. Six mois plus tard, aucune trace.
En faire un événement unique. Un exercice isolé donne une photographie. C’est la répétition annuelle qui construit des réflexes et permet de mesurer les progrès.
Ce qu’imposent NIS2 et DORA
Tester son dispositif n’est plus seulement une bonne pratique.
L’article 21 de la directive NIS2 inscrit la continuité d’activité et la gestion de crise parmi les mesures que doivent adopter les entités essentielles et importantes. Un plan que rien ne vient éprouver satisfait mal cette exigence.
Le règlement DORA, applicable au secteur financier depuis janvier 2025, va plus loin en imposant un programme de tests de résilience opérationnelle numérique structuré et documenté.
Dans les deux cas, la logique est la même : ce n’est pas l’existence du document qui compte, c’est la démonstration qu’il fonctionne. Face à un auditeur, un compte rendu d’exercice assorti d’un plan d’action suivi vaut infiniment plus qu’un classeur épais.
L’ANSSI recommande par ailleurs un exercice annuel au minimum. C’est un rythme réaliste, et c’est aussi la fréquence en dessous de laquelle les réflexes acquis se perdent.
Questions fréquentes
Combien coûte un exercice de crise cyber ?
À partir de 1 900 € HT pour un exercice sur table d’une demi-journée, scénario sur mesure et retour d’expérience inclus. Le tarif évolue ensuite selon la durée, le nombre de participants et le degré de réalisme recherché.
Qui doit participer à un exercice de crise cyber ?
La direction générale, la DSI, la communication, le juridique et les responsables des processus les plus critiques. Un exercice limité aux équipes techniques ne teste qu’une partie du dispositif — les décisions les plus structurantes se prennent ailleurs.
Faut-il déjà disposer d’un PCA pour organiser un exercice ?
Non. Un exercice mené sans plan formalisé constitue même un excellent point de départ : il fait apparaître les manques avant de commencer à rédiger, et le document qui en découle est ancré dans le réel plutôt que dans la théorie.
À quelle fréquence faut-il refaire un exercice ?
Une fois par an au minimum, conformément aux recommandations de l’ANSSI. Ce rythme permet de vérifier que les actions décidées lors du précédent exercice ont bien été mises en œuvre.
Un exercice perturbe-t-il la production ?
Pas dans le format sur table, qui ne touche à aucun système. Les tests techniques de bascule, eux, se programment généralement hors heures ouvrées ou sur un environnement dédié.
Passer à l’action
Un exercice de crise cyber est le moyen le plus rapide et le moins coûteux de savoir où vous en êtes réellement. Là où un audit documentaire examine ce qui est écrit, l’exercice révèle ce que vos équipes savent faire.
Trois principes suffisent pour démarrer : commencer par un format simple plutôt que d’attendre d’être prêt pour un dispositif ambitieux, associer la direction dès la première séance, et transformer chaque constat en action datée.
Prenez rendez-vous avec un expert pour un échange de 30 minutes sur votre niveau de préparation, ou consultez nos autres articles sur la continuité d’activité.
