Un tableau d'une page donne à chaque décision de crise un titulaire et un suppléant. Il s'écrit et s'exerce à froid, pour qu'au premier appel personne ne cherche qui décide pendant que le délai de notification court.
Tant que personne n'ose isoler, le chiffrement gagne d'autres serveurs. Le délai de l'alerte précoce court dès que l'entité a eu connaissance de l'incident important (NIS2, art. 23.4). Ce moment suit une première évaluation qui le rend raisonnablement certain, pas la fin de l'analyse.
Comptez-le avec votre CISO. Un ordre de grandeur suffit pour décider d'essayer.
Pour l'incident courant, un poste infecté par exemple : l'équipe de sécurité de garde le traite selon sa procédure. Le tableau sert quand la décision la dépasse.
Chaque décision des premières heures porte un nom écrit à froid. Deux chantiers partent ensemble : contenir, et préparer la notification.
La qualification de l'entité, vérifiée par un juriste. Une entité financière soumise à DORA déclare ses incidents majeurs liés aux TIC selon DORA, et non selon NIS2 (DORA, art. 1.2 et 19). En Belgique : incident significatif au CCB, sur notif.safeonweb.be (guide v1.3, août 2025) ; données personnelles à l'APD ; DORA : à la BNB, ou à la FSMA pour les entités qu'elle seule contrôle.
À l'exercice, le suppléant décide l'isolement sans chercher le titulaire.
Au lancementUn plan que personne n'ouvre
Quarante pages écrites pour l'audit. Le soir de l'incident, personne ne les cherche.
Une page, une ligne par décision, un seul titulaire par ligne (fiche O-30).
Au lancementLes contacts dans la messagerie
L'annuaire est chiffré avec le reste. On cherche le numéro du prestataire sur son site.
Une liste papier chez chaque titulaire, et les numéros dans les téléphones personnels.
PendantUn exercice réservé à l'informatique
L'équipe répète la restauration. Personne n'a décidé d'informer les clients.
Les titulaires métier autour de la table, et chaque écart traité en A3 (fiche O-10).
PendantCompter le délai depuis la fin de l'analyse
On attend d'avoir tout compris pour notifier. Le délai, lui, court dès qu'une première évaluation rend l'incident important raisonnablement certain.
Noter l'heure de la découverte et de la première évaluation, et préparer l'alerte.
Dans la duréeUn tableau qui vieillit
Le suppléant est parti il y a six mois. Son numéro sonne dans le vide.
Revoir le tableau à chaque départ d'un titulaire et à chaque exercice.
Un prestataire de services informatiques gérés de 160 personnes, qualifié d'entité importante NIS2 par son juriste (hypothèse du cas).
Un vendredi à 19 h 40, un technicien voit des fichiers chiffrés. Personne ne sait qui peut couper l'outil qui relie l'entreprise à ses 140 clients.
Le taux de réussite des sauvegardes, à 99 % chaque mois. Il ne disait pas qui déciderait de couper.
Le délai avant l'isolement : de 19 h 40 à 0 h 30 le jour de l'incident, de 19 h 40 à 20 h 25 au rejeu.
À rythme constant : 39 en 4,83 h, soit 8 par heure ; au rejeu, 0,75 h × 8 = 6. Soit 33 × 5 h = 165 h de restauration évitables.
La marge sur l'alerte précoce de 24 h (hypothèse prudente : délai compté dès 19 h 40) : 24 h − 21 h 20, puis 24 h − 3 h 30. Au rejeu, la notification s'ouvre à 20 h 05, avec la crise.
Ce que ça a coûté : deux réunions de 2 h à quatre (16 h), un exercice de 3 h à neuf (27 h).
Refaites-le avec votre scénario : un vendredi soir, vos vrais titulaires, l'heure de chaque décision notée. Posez l'écart à 24 h sous le tableau.
À gauche le tableau, les deux chantiers et l'horloge NIS2. À droite les six premières heures du cas, le jour de l'incident puis au rejeu, et la marge restante sur l'alerte précoce.