Le site ne répond plus, les commandes restent bloquées et une capture d’écran circule sur les réseaux sociaux. Dans la messagerie du service client, une question revient : « Mes données ont-elles été volées ? » L’entreprise ne le sait pas encore. C’est précisément là que commence son travail de communication. Informer sans compromettre l’enquête ne signifie ni tout révéler ni attendre de tout savoir. Il faut rendre publics les éléments qui permettent aux clients de comprendre la situation et de se protéger, sans exposer les opérations techniques. À l’horizon de septembre 2026, cet équilibre devrait rester un marqueur essentiel de confiance.
Le premier message ne doit pas résoudre toute l’affaire
Une cyberattaque produit deux crises simultanées : celle des systèmes informatiques et celle de l’information. Les techniciens travaillent avec des journaux incomplets, des machines isolées et des hypothèses concurrentes. Les clients veulent savoir s’ils peuvent payer, se connecter ou poursuivre leur activité. Leur imposer le rythme de l’analyse technique revient à laisser d’autres raconter l’incident à la place de l’entreprise.
Le premier communiqué peut donc être court. Il doit préciser le problème observé, les services affectés, les mesures de protection déjà prises et le rendez-vous de la prochaine actualisation. Si l’origine malveillante n’est pas confirmée, on parle d’incident informatique, sans présenter cette qualification provisoire comme une certitude rassurante. Si une intrusion est établie, mieux vaut la nommer que s’abriter derrière des « difficultés techniques ».
Une formulation illustrative serait : « Nous avons détecté un accès non autorisé à un environnement informatique. Certains services ont été suspendus par précaution. Nous vérifions actuellement si des données clients ont été consultées ou copiées. Une nouvelle information sera publiée demain à midi. » Ce texte ne promet ni rétablissement immédiat ni absence de fuite. Il donne des repères vérifiables.
Trois catégories pour éviter les contradictions
Avant chaque publication, la cellule de crise devrait classer les informations en trois catégories : faits confirmés, points encore inconnus et éléments non divulguables à ce stade. Cette grille simple évite qu’une hypothèse technique devienne une affirmation commerciale après quelques transferts de courriels.
- Confirmé : une indisponibilité, un accès illégitime établi, une catégorie de données effectivement compromise.
- Inconnu : le périmètre complet, la durée exacte de présence de l’attaquant ou l’existence d’une copie des données.
- Réservé : les comptes surveillés, les traces exploitées ou les détails d’une vulnérabilité encore utilisable.
La nuance décisive tient parfois à quelques mots. « Nous n’avons trouvé aucun indice d’exfiltration » décrit un état des investigations ; « aucune donnée n’a été volée » affirme un résultat. La première phrase mérite elle-même une précision sur le périmètre examiné. L’absence de trace n’est pas une preuve d’absence, notamment lorsque les journaux sont incomplets.
Protéger l’enquête, pas la réputation à court terme
Il existe de bonnes raisons de retenir certains détails. Publier une adresse technique surveillée peut alerter l’intrus. Décrire une faille non corrigée peut favoriser d’autres attaques. Exposer les méthodes d’investigation peut compromettre la collecte de preuves. Les informations publiques doivent donc être relues par les équipes de réponse à incident et, lorsque nécessaire, coordonnées avec les enquêteurs.
Mais « l’enquête est en cours » ne constitue pas une dispense générale d’explication. L’entreprise peut décrire les conséquences pour ses clients sans dévoiler son architecture. Elle peut annoncer qu’un accès a été neutralisé sans détailler comment. Elle peut expliquer qu’un point reste confidentiel pour préserver les investigations, tout en indiquant ce qu’elle sait déjà.
L’attaque subie par la British Library en 2023 offre un enseignement utile. Son retour d’expérience publié en 2024 a montré l’intérêt d’une transparence approfondie, une fois les conditions réunies. Ce niveau de détail n’appartient pas forcément au premier jour : la transparence se construit dans le temps, du message opérationnel au bilan documenté.
Les délais légaux n’attendent pas le rapport final
En France et dans l’Union européenne, le RGPD impose de notifier à l’autorité de contrôle une violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés. Cette notification doit intervenir, si possible, dans les 72 heures après en avoir pris connaissance. Le délai ne commence donc pas automatiquement au premier dysfonctionnement observé. Une notification peut être complétée progressivement lorsque toutes les informations ne sont pas encore disponibles.
Lorsque la violation est susceptible d’engendrer un risque élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais, sous réserve des exceptions prévues par le règlement. Leur communication doit notamment présenter clairement la nature de la violation, ses conséquences probables, les mesures prises et un contact. Notifier la CNIL et informer les clients sont deux démarches distinctes. Une publication générale ne remplace pas systématiquement une information individuelle.
D’autres exigences peuvent découler du secteur, des contrats ou du statut de l’organisation. Le cadre NIS2 prévoit notamment, pour les entités concernées et les incidents significatifs, une alerte précoce puis une notification selon des échéances spécifiques. Pour un incident en septembre 2026, il faudra vérifier les textes nationaux et sectoriels effectivement applicables. La bonne méthode reste de préparer une matrice des obligations avant la crise, avec le juridique et le délégué à la protection des données.
Donner des gestes utiles, pas une liste anxiogène
Les conseils doivent correspondre aux données et aux accès réellement exposés. Si des identifiants sont compromis, préciser quels mots de passe changer et rappeler le risque de réutilisation ailleurs. Si des coordonnées ont fuité, avertir surtout contre les messages frauduleux personnalisés. Si des informations financières sont concernées, expliquer les démarches pertinentes auprès de l’établissement bancaire, sans annoncer un risque identique pour tous.
Le canal compte autant que le contenu. Une page d’état indépendante du système touché, accessible sans connexion, réduit la dépendance à une infrastructure indisponible. Les messages individuels devraient éviter les pièces jointes et permettre de retrouver les mêmes consignes depuis le site officiel. Une communication de crise ne doit pas apprendre aux clients à cliquer précipitamment sur un lien reçu par courriel.
Une seule version des faits, plusieurs points de contact
Le service client, les commerciaux et les responsables de comptes doivent disposer d’une fiche horodatée : faits validés, réponses autorisées, questions à faire remonter. Sans ce socle commun, un conseiller promettra l’absence de fuite pendant qu’un autre recommandera de changer tous les mots de passe. Toute correction publique doit être visible et expliquée, plutôt qu’effacée discrètement.
Et maintenant ? À l’horizon de septembre 2026, les outils génératifs pourraient amplifier les faux messages d’assistance et les imitations de communiqués. Les entreprises gagneraient donc à établir dès aujourd’hui leurs canaux de référence, tester leurs notifications et simuler une crise avec leur service client. La confiance ne dépendra pas d’un discours parfaitement rassurant, mais d’une parole datée, cohérente et assez concrète pour aider chacun à agir.
