Guide-Integration-risque-cyber_2025.pdf — page 16

Pôle d’excellence cyber
31
30
QUE FAIRE EN CAS DE CYBERATTAQUE ? 
(élus/dirigeants de collectivités)
Alertez immédiatement votre support informatique
si vous en disposez afin qu’il prenne en compte l’incident
(DSI, prestataire, personne en charge).
Identifiez l’origine de l’attaque et son étendue afin de
pouvoir corriger ce qui doit l’être et éviter un nouvel incident.
Constituez une équipe de gestion de crise afin de piloter
les actions des différentes composantes concernées 
(technique, RH, financière, communication, juridique…).
Notifiez l’incident à la CNIL (*) dans les 72h si des données 
personnelles ont pu être consultées, modifiées ou détruites 
par les cybercriminels.
(*) Le règlement général sur la protection des données européen (RGPD) oblige depuis mai 2018 à désigner 
un délégué à la protection des données (DPO en anglais) en charge notamment de ces notifications.
Tenez un registre des évènements et actions réalisées
pour pouvoir en conserver la trace à disposition des enquêteurs 
et tirer les enseignements de l’incident a posteriori.
Mettez en place des solutions de secours pour pouvoir continuer 
d’assurer les services indispensables. Activez vos plans de 
continuité et de reprise d’activité (PCA-PRA) si vous en disposez.
Isolez les systèmes attaqués afin d’éviter que l’attaque
ne puisse se propager à d’autres équipements en coupant 
toutes les connexions à Internet et au réseau local.
Déposez plainte avant toute action de remédiation en 
fournissant toutes les preuves en votre possession.
Préservez les preuves de l’attaque : messages reçus,
machines touchées, journaux de connexions…
Gérez votre communication afin d’informer avec le juste 
niveau de transparence vos administrés, agents, partenaires, 
fournisseurs, médias…
PREMIERS RÉFLEXES
PILOTER LA CRISE
Car vous encourageriez les 
cybercriminels à chercher 
à vous attaquer à nouveau 
et financeriez leur activité 
criminelle tout en n’ayant 
aucune garantie qu’ils 
tiendront leur parole.
NE PAYEZ PAS
LA RANÇON !
Une cyberattaque peut 
engendrer une surcharge 
exceptionnelle d’activité 
et un sentiment de 
sidération, d’humiliation, 
d’incompétence voire de 
culpabilité susceptible 
d’entacher l’efficacité de 
vos équipes durant la crise 
et même au-delà.
PRENEZ EN COMPTE
LES RISQUES
PSYCHOLOGIQUES 
1
2
É
L
U
É
L
U
É
L
U
É
L
U
É
L
U
É
L
U
T
E
C
H
N
I
C
I
E
N
T
E
C
H
N
I
C
I
E
N
T
E
C
H
N
I
C
I
E
N
T
E
C
H
N
I
C
I
E
N
Par des prestataires 
spécialisés en 
cybersécurité que vous 
pourrez trouver sur
www.cybermalveillance.
gouv.fr
FAITES-VOUS
ACCOMPAGNER
Annexe B : trames de fiches “réflexe”
Vous trouverez dans cette annexe quelques exemples de fiches réflexes dont vous pourrez, pour toute ou partie, vous inspirer :
•	
Fiche réflexe « consignes en cas de cyberattaque » de la MEL
•	
Fiche réflexe « que faire en cas de cyberattaque » pour les élus et dirigeants de collectivités réalisée par Cybermalveillance.
gou.fr
•	
Fiche réflexe à l’attention des collectivités locales « Que faire en cas de cyberattaque ? » élaborée par la préfecture 
d’Ille-Et-Vilaine ;
CONSIGNES EN CAS DE CYBERATTAQUE 
VOTRE MAIRIE DISPOSE D’UN SERVICE INFORMATIQUE ? 
OUI 
NON 
Alertez votre  service informatique  qui  
pourra prendre les mesures nécessaires  
pour contenir, voire réduire, les  
conséquences de la cyberattaque. 
Il  se rapprochera des experts utiles pour la  
prise en charge de l'incident (CSIRT, service  
mutualisé cybersécurité et protection de la  
donnée, prestataire en cybersécurité…). 
Prévenez le  DGS ou le secrétaire de mairie 
et/ou le  maire 
Contactez  en priorité le CSIRT Hauts - de - France : 
0 806 700 111
csirt-hdf.fr
Si vous adhérez à la Centrale d'Achat  
Métropolitaine (CAM), la société XXXXX peut  
vous accompagner dans la réponse à un incident  
de sécurité :  xxxxxxxxxx@prestataire.fr 
Prévenez le  DGS ou le secrétaire de mairie 
et/ou le  maire 
Prévenez le service mutualisé cybersécurité et  
protection de la donnée :  XX XX XX XX XX   
xxxxxxxxxx@lillemetropole.fr 
Juin 2023  - Sources et conseils complémentaires : cybermalveillance.gouv.fr 
DÉBRANCHER  LA MACHINE  DU  RÉSEAU INFORMATIQUE 
 Débranchez le câble réseau ou  désactivez la connexion Wi - Fi ou 4G/5G 
 N’éteignez pas l’appareil . Certains éléments de preuve contenus dans la mémoire de  
l’équipement et nécessaires aux investigations seront effacés s’il est éteint . 
ALERTER AU PLUS VITE 
EN ATTENDANT LES SECOURS 
 Ne  touchez plus à l’appareil pour éviter  d’altérer  des traces  utiles  pour les  investigations. 
 Prévenez  vos collègues  de  l’attaque en cours.  
Une  mauvaise manipulation de leur part pourrait aggraver la situation. 
 Gardez  toutes les preuves de l'incident  ( courriels,  photos d'écrans, etc.) 
 Ne plus utiliser les périphériques USB déjà utilisés (clés, disque dur…) 
LA SUITE… 
En fonction de l'incident et de ses  impacts : 
 Une plainte sera déposée auprès  du commissariat de police ou la brigade de gendarmerie  
dont dépend la  commune. 
 L’incident sera déclaré auprès  de CNIL par votre Délégué à la Protection des Données ( DPO) 
 L’incident sera déclaré auprès  de votre assureur (si vous disposez d’une assurance  Cyber)