Plan de réponse à incident

Le plan de réponse à incident est le document écrit qui dit qui fait quoi quand une alerte devient un incident. Il nomme le responsable de crise et son suppléant, la cellule de décision, et pose l'arbre de décision (isoler ou observer, couper Internet, payer ou non, notifier ou non). Il fixe aussi les seuils qui font basculer vers la notification de l'article 23 de la directive (UE) 2022/2555 ou de l'article 33 du règlement (UE) 2016/679, et les contacts. Le 3 avril 2025, le NIST (National Institute of Standards and Technology) publie la révision 3 de sa publication spéciale SP 800-61, qui remplace le guide de traitement des incidents de 2012 (révision 2). Elle rattache la réponse à incident aux six fonctions du Cybersecurity Framework 2.0. Les contacts sont le maillon faible. Un plan stocké sur le serveur de fichiers chiffré ne s'ouvre plus. Il doit exister imprimé et hors du domaine, avec le numéro de déclaration de l'assureur, celui du breach coach et du prestataire d'investigation sous contrat, et la marche à suivre pour la plainte. Le questionnaire de souscription cyber demande en général si un plan existe et s'il a été testé. Répondre oui sur un plan jamais exercé est une déclaration de risque inexacte, qui expose l'assuré aux sanctions de la fausse déclaration, de la réduction proportionnelle à la nullité selon sa bonne ou sa mauvaise foi. Au sinistre, l'effet est plus diffus qu'une exclusion. Sans plan, l'assuré appelle un prestataire hors panel, engage des frais sans accord préalable, restaure avant de préserver les journaux ; chacun de ces gestes donne à l'assureur un argument de réduction sur les frais de réponse à incident. Le souscripteur lit donc le plan comme un indice de la durée probable de l'arrêt, et le dernier exercice de crise comme la preuve qu'il tient. Une nuance : l'absence de plan ne fait pas tomber la garantie à elle seule quand le questionnaire n'en disait rien.