Le matin où l’incident se déclare, la question n’est pas technique. Elle est beaucoup plus simple : qui est-ce que j’appelle, et dans quel ordre ?
La réponse dépend de ce qui s’est passé, mais la logique reste la même. Certains interlocuteurs vous aident à reprendre le contrôle. D’autres ne servent à rien dans l’urgence, mais tout se joue quand même dans les premiers jours, parce que des délais courent sans que personne vous prévienne.
Voici ce que chacun peut réellement faire pour vous, et ce qu’il ne fera pas.
Votre prestataire informatique, le premier appel
Dans la grande majorité des cas, c’est lui qu’on appelle en premier, et c’est la bonne décision. Il connaît votre installation, il a les accès, il peut isoler un poste, couper une connexion ou vérifier l’état de vos sauvegardes pendant que vous cherchez encore à comprendre.
Ce qu’il sait faire : constater l’ampleur, contenir la propagation, remettre en service ce qui peut l’être, et vous dire si vos sauvegardes sont exploitables. C’est déjà considérable.
Ce qu’il ne sait pas forcément faire : une réponse à incident au sens strict. Comprendre comment l’attaquant est entré, s’il est encore présent, ce qu’il a consulté ou copié, et préserver les traces techniques nécessaires à une enquête demande un autre métier. Un informaticien généraliste, même excellent, n’est pas un spécialiste de la réponse à incident, exactement comme un médecin généraliste n’est pas chirurgien.
La réaction spontanée consiste à tout réinstaller au plus vite pour reprendre le travail. C'est compréhensible, mais réinstaller un serveur efface les traces qui auraient permis de savoir comment l'attaquant est entré, et s'il possède encore un accès. Demandez à votre prestataire de conserver une copie des systèmes touchés avant toute remise en état.
Quand faut-il prévenir votre assurance ?
C’est le point que presque personne n’anticipe, et celui qui coûte le plus cher quand on l’ignore.
Les contrats d’assurance, qu’il s’agisse d’une cyberassurance dédiée ou d’une couverture intégrée à votre police responsabilité civile ou pertes d’exploitation, prévoient des délais de déclaration courts. Quelques jours, parfois moins. Passé ce délai, la prise en charge peut être refusée alors même que le sinistre était couvert.
Plus délicat encore : certaines polices exigent d’être prévenues avant toute intervention technique. L’assureur veut pouvoir envoyer son propre expert, constater l’état des systèmes et éviter que des manipulations ne rendent le dossier impossible à instruire. Si votre prestataire remet tout à zéro le samedi et que vous déclarez le lundi, vous risquez de vous voir opposer un refus.
Ne cherchez pas cette information le jour de l’attaque. Ouvrez votre contrat maintenant, repérez la clause de déclaration et notez le numéro d’urgence sur la liste que nous préparons plus bas. Si vous ignorez encore ce que votre police prend en charge, notre article sur ce que couvre vraiment une cyberassurance détaille les postes couverts, les exclusions habituelles et les obligations de l’assuré.
Faut-il annoncer l’incident à l’OFCS ?
L’Office fédéral de la cybersécurité met à disposition un formulaire d’annonce en ligne, accessible depuis son site officiel. L’annonce prend quelques minutes et se fait par écrit.
Soyons clairs sur ce qu’elle apporte. L’OFCS n’est pas un service d’intervention qui débarque chez vous pour réparer vos serveurs. Ce n’est pas une hotline de dépannage. En revanche, l’annonce alimente la vision nationale de la menace, peut vous valoir des recommandations techniques utiles, et permet à l’office de repérer qu’une même vague touche plusieurs entreprises en même temps.
Cette dimension collective n’est pas anecdotique. C’est parce que des dizaines de milliers d’organisations annoncent que l’on connaît l’état réel de la menace en Suisse : l’OFCS a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 en 2024.
Depuis le 1er avril 2025, une obligation d'annoncer certaines cyberattaques à l'OFCS existe bel et bien, assortie de sanctions depuis le 1er octobre 2025. Mais elle vise uniquement les exploitants d'infrastructures critiques : énergie, santé, transports, administrations et quelques autres catégories définies par la loi. Une PME ordinaire n'est pas concernée. Pour elle, l'annonce reste volontaire.
Faut-il porter plainte à la police cantonale ?
Beaucoup de dirigeants renoncent en se disant que l’auteur ne sera jamais retrouvé. C’est souvent exact, et pourtant la plainte garde trois utilités concrètes.
D’abord, elle produit un document officiel. Votre assurance le demandera, vos partenaires aussi parfois, et un conseil d’administration ou un réviseur apprécie de trouver une trace formelle au dossier.
Ensuite, elle nourrit les statistiques. Les moyens attribués aux brigades spécialisées dépendent du volume déclaré. Une attaque non déclarée n’existe pas dans les chiffres, et n’aura donc aucun effet sur les ressources futures.
Enfin, votre cas peut compléter une enquête en cours. Les groupes criminels frappent en série, avec les mêmes outils et les mêmes adresses de portefeuille. Le détail insignifiant de votre dossier peut être la pièce manquante d’une procédure ouverte ailleurs, ce que vous n’avez aucun moyen de savoir.
Adressez-vous à la police de votre canton. Certains corps disposent d’unités dédiées à la criminalité informatique. Apportez tout ce que vous avez : messages, captures d’écran, journaux techniques, coordonnées bancaires utilisées, horodatages.
Quand faut-il informer le PFPDT ?
Le Préposé fédéral à la protection des données et à la transparence n’a pas à être informé de toutes les cyberattaques. Il l’est lorsque des données personnelles ont été touchées et que la violation entraîne vraisemblablement un risque élevé pour les personnes concernées.
Un serveur de production chiffré sans qu’aucune donnée personnelle ne fuite ne déclenche pas cette obligation. Un fichier clients avec coordonnées, données de santé ou informations financières exfiltré, en revanche, oui.
Le droit suisse demande une annonce dans les meilleurs délais. Il ne fixe aucun délai chiffré. Le fameux délai de 72 heures relève du règlement européen, pas de la loi suisse, et la confusion entre les deux régimes est très répandue. L’annonce se fait via le portail dédié du PFPDT. Les détails de la procédure sont traités dans notre article sur l’annonce d’une violation de données.
Vos clients, vos partenaires, votre banque
Si un paiement est en jeu, virement détourné, coordonnées bancaires modifiées, facture frauduleuse acquittée, appelez votre banque immédiatement, avant tout le reste. Un virement récent peut parfois être bloqué ou rappelé, mais cette fenêtre se compte en heures, pas en jours. C’est le seul cas où un appel passe avant votre prestataire informatique. Le mécanisme de ces fraudes est détaillé dans notre article sur la fraude au président.
Vos clients et partenaires viennent ensuite. Ils doivent être informés si leurs données sont concernées, si votre service est interrompu, ou si votre messagerie compromise a pu servir à leur envoyer des messages frauduleux en votre nom. Le moment, le canal et les mots employés méritent d’être préparés : c’est le sujet de notre article sur la communication de crise.
La liste à imprimer aujourd’hui
Le jour de l’attaque, votre messagerie est peut-être inaccessible, votre serveur de fichiers chiffré, et le carnet d’adresses de votre téléphone professionnel n’est pas forcément à jour. Une liste de contacts stockée uniquement sur le réseau est une liste que vous n’aurez pas.
| Qui | Quand l’appeler | Ce qu’il apporte |
|---|---|---|
| Prestataire informatique | Immédiatement | Constat, isolement, état des sauvegardes, remise en service |
| Assurance | Dans les premières heures, avant toute intervention technique si le contrat l’exige | Prise en charge des frais, expert, parfois assistance juridique |
| Banque | Immédiatement si un paiement est en cause | Blocage ou rappel éventuel d’un virement récent |
| Police cantonale | Dans les jours qui suivent | Plainte, document officiel, enquête, statistiques |
| OFCS | Dès que la situation est stabilisée | Recommandations, vision nationale de la menace |
| PFPDT | Dans les meilleurs délais, si données personnelles et risque élevé | Cadre légal respecté, conseils sur l’information des personnes |
Complétez ce tableau avec les coordonnées réelles : nom et numéro direct de votre contact chez le prestataire, numéro d'urgence et numéro de police de votre assurance, ligne de votre conseiller bancaire, poste de police de votre commune. Imprimez-la en deux exemplaires, un au bureau et un chez le dirigeant. Relisez-la une fois par an : les prestataires changent, les contrats aussi.
Savoir qui appeler ne dit pas quoi faire
Préparer cette liste demande une heure et vous fait gagner un temps considérable le jour venu. C’est un exercice que vous pouvez mener seul, sans budget, et il n’y a aucune raison de le repousser.
Mais une liste de numéros ne répond pas aux questions qui se posent réellement pendant que vous attendez le rappel de votre prestataire. Faut-il débrancher le serveur ou le laisser allumé ? Que dit-on aux collaborateurs qui arrivent au bureau ? Quelles données ont pu partir, et comment le vérifier ? Qui décide, si le dirigeant est injoignable ?
Ces réponses dépendent de votre installation, de vos flux et de vos obligations propres. Elles se préparent à froid, se testent, et se révisent. C’est exactement ce que fixe un plan de réponse aux incidents, un document d’une à deux pages qui prolonge votre liste téléphonique par les rôles, les décisions et les gestes attendus. Une entreprise qui a déroulé son scénario une fois à l’avance ne vit pas les mêmes premières heures qu’une entreprise qui improvise. C’est là que l’écart se creuse, bien plus que sur la qualité de la liste téléphonique.
Pour aller plus loin, consultez les bons réflexes des premières heures, l’ensemble du pilier Réagir à une attaque, et le check-up cyber pour situer votre niveau de préparation actuel.