Définir ce que l’exercice doit observer
Un exercice de crise permet de tester les décisions, les contacts et les procédures. Il ne doit pas être présenté comme une garantie de résistance à toute attaque. L’article 21 de la directive inclut la gestion de crise et la continuité dans les mesures de gestion des risques. Les ressources ANSSI proposent des méthodes de préparation et d’animation. Le scénario doit être relié aux besoins de l’organisation.
Commencez par définir les objectifs : vérifier le déclenchement de la cellule, l’arbitrage d’un service ou la préparation d’une communication. Les participants doivent correspondre à ces objectifs. Un exercice réservé à la DSI peut manquer les décisions de direction et les contraintes métier. La mission doit indiquer ce qui sera observé et ce qui restera hors périmètre.
Choisir le format et les participants
Un exercice sur table teste les raisonnements et les circuits de décision sans manipuler les systèmes. Un exercice technique observe d’autres capacités et nécessite des autorisations propres. Les deux formats ne sont pas interchangeables. Le devis doit préciser les moyens, les règles et les limites. Une simulation ne doit pas provoquer une alerte réelle auprès d’un client ou d’une autorité.
Associez direction, métiers, juridique et communication selon le scénario. Les prestataires peuvent être inclus si leurs contrats et disponibilités le permettent. Prévoyez des observateurs capables de noter les décisions et leurs fondements. Les participants doivent connaître les règles d’exercice, notamment les moyens de distinguer les messages simulés des communications réelles.
Concevoir un scénario utile
Le scénario peut examiner une indisponibilité d’annuaire, une perte d’application ou une dépendance à un fournisseur. Il doit permettre de discuter les impacts métier et les priorités. Les informations sont introduites progressivement pour observer la gestion de l’incertitude. Le prestataire ne doit pas inventer un cas client ni utiliser des détails sensibles sans autorisation.
Dans un exemple pédagogique, la cellule reçoit une information partielle sur un service indisponible. Elle doit déterminer qui qualifie l’impact, quelles activités sont prioritaires et quelle communication est possible. Une information ultérieure modifie l’hypothèse de départ. Les observateurs vérifient si la décision est réexaminée et tracée, plutôt que de noter seulement la rapidité des échanges.
| Élément de cadrage | Résultat attendu |
|---|---|
| Objectifs | Questions précises auxquelles l’exercice répond |
| Participants | Rôles, suppléants et responsabilités |
| Scénario | Services et dépendances étudiés |
| Règles | Limites, sécurité et distinction simulation/réalité |
| Observation | Journal de décisions et critères convenus |
| Retour | Actions attribuées et moyens de vérification |
Préparer l’animation et les limites de sécurité
Le déroulé doit être organisé avec un pilote et des personnes chargées d’introduire les informations. Les règles précisent la gestion des interruptions, des absences et des difficultés réelles. Un incident réel pendant l’exercice doit pouvoir interrompre la simulation. Les canaux utilisés doivent éviter toute confusion avec des demandes de notification ou d’assistance véritables.
Les documents remis peuvent contenir des informations sensibles. Définissez leur diffusion et leur conservation. Un scénario public peut être utilisé comme inspiration, mais son adaptation doit refléter votre organisation. REMPAR25, organisé par l’ANSSI le 18 septembre 2025, constitue un repère sur la préparation collective ; la participation à un exercice national n’est pas revendiquée par ce site.
Transformer le retour en actions
Le retour d’expérience distingue les faits observés, les causes possibles et les décisions de correction. Une difficulté doit être reliée à un responsable et à un moyen de constater l’amélioration. Les participants doivent pouvoir discuter les observations. Le rapport évite les jugements sur les personnes et se concentre sur l’organisation, les informations et les procédures.
Un exercice peut révéler un contact absent, une dépendance inconnue ou une décision non attribuée. Les actions doivent être intégrées au programme de préparation. Un nouvel exercice peut être utile après correction, avec des objectifs définis. La simple réalisation d’une session ne démontre pas que les écarts sont clos. Le dossier conserve le scénario, les observations et le suivi.
Cahier de mission et critères de réception
Le devis doit préciser la préparation, l’animation et la restitution. Demandez les objectifs proposés, les entretiens préalables et les participants attendus. Les conditions de personnalisation du scénario doivent être visibles. Le coût dépend du format et des travaux convenus ; ce site ne publie aucun tarif de prestataire ni durée garantie.
Les livrables attendus peuvent comprendre un dossier d’exercice, un journal de décisions et un plan d’actions. Demandez comment les informations sensibles seront traitées et comment les communications simulées seront identifiées. Une prestation d’exercice ne comprend pas implicitement un test d’intrusion ou une investigation technique. Les autorisations doivent être explicites si le périmètre dépasse la simulation sur table.
La réception examine les objectifs et les observations, pas une note de réussite abstraite. Vérifiez que les écarts sont compréhensibles et que les actions sont attribuées. Les limites du scénario doivent rester visibles. Les décisions de priorité métier doivent être validées par les responsables concernés. Le rapport doit permettre de préparer une correction et son contrôle, sans conclure que toute crise future sera maîtrisée.
Sources et portée réglementaire
- Directive (UE) 2022/2555 : texte européen
- Source institutionnelle du sujet
- Source institutionnelle du sujet
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- Choisir un prestataire NIS2 : comparer méthode et qualifications
- Prix d'un audit NIS2 : cadrer le budget et les livrables
Questions sur ce dossier
L’exercice peut-il envoyer de vraies notifications ?
La réception doit se faire en simulation, sans transmission réelle. Toute démarche auprès d’un tiers doit être explicitement autorisée et coordonnée.
Faut-il faire participer la direction ?
Le public dépend des objectifs. Si l’exercice porte sur les arbitrages et communications de crise, les décideurs et leurs relais doivent être associés.
Un compte rendu suffit-il à clore les écarts ?
Non. Les actions doivent être attribuées puis vérifiées. La preuve d’exercice et la preuve de correction sont deux éléments distincts.