Points clés
- La communication pendant un incident cyber est souvent aussi déterminante pour les conséquences finales que la résolution technique elle-même.
- Une mauvaise communication amplifie la perte de confiance, expose à des sanctions réglementaires supplémentaires et complique la récupération réputationnelle.
- Les erreurs de communication les plus fréquentes sont : le silence initial, la communication contradictoire, la sous-estimation publique, et la minimisation des impacts.
- Une stratégie de communication de crise préparée en amont est l'un des investissements les moins coûteux et les plus rentables en matière de gestion des risques.
Le silence : la pire des communications
Face à un incident, le silence initial semble la réponse la plus sûre — le temps d'avoir une image complète. En réalité, c'est souvent la plus coûteuse. En l'absence de communication officielle, les médias, les réseaux sociaux et les parties prenantes construisent leur propre récit — toujours moins favorable que la réalité. De plus, le RGPD et la directive NIS2 imposent des délais de notification précis : 72 heures pour le RGPD. Un silence qui dépasse ces délais ajoute une violation réglementaire à l'incident initial.
La communication contradictoire : pire que le silence
Quand différentes personnes ou différents canaux de l'organisation communiquent des informations contradictoires sur l'incident — périmètre différent selon les interlocuteurs, dates contradictoires, responsabilités floues — la confiance s'effondre. Ces contradictions signalent une organisation en perte de contrôle, incapable de maîtriser sa propre narration. Les journalistes et les analystes exploitent ces incohérences pour mettre en doute l'ensemble du discours de l'organisation, même ses éléments factuels.
La sous-estimation publique : une erreur structurelle
Communiquer une ampleur initiale de l'incident inférieure à la réalité — par précipitation ou par calcul — est presque toujours contre-productif. Quand le périmètre réel est révélé (par des tiers, des médias, ou l'investigation elle-même), la révision à la hausse est perçue comme une tentative de dissimulation. L'impact sur la confiance est alors bien supérieur à ce qu'aurait été une communication honnête dès le départ. La règle est de ne communiquer que ce qui est confirmé, en précisant explicitement que l'investigation est en cours.
Préparer la communication de crise avant l'incident
La communication de crise efficace ne s'improvise pas. Elle se prépare : messages clés pré-rédigés pour différents scénarios, porte-parole désigné et formé, processus de validation des communications sous délai court, contacts pré-établis avec les autorités réglementaires, et protocole de communication interne permettant d'aligner tous les collaborateurs sur le même message. Cette préparation peut être réalisée en quelques jours de travail — et change radicalement la qualité de la communication le jour de l'incident.
La communication de la résolution : un investissement réputationnel
La communication ne se limite pas à la phase aiguë de l'incident. La communication sur les mesures correctives prises, les investissements engagés, et les leçons tirées de l'incident est une opportunité de reconstruction de la confiance. Les organisations qui communiquent de manière transparente et structurée sur leur réponse post-incident récupèrent plus rapidement la confiance de leurs parties prenantes. Cette communication de la résolution est souvent négligée — alors qu'elle représente une part importante de la valeur de réputation récupérable.