Comment rédiger une politique de réponse aux incidents

Pourquoi c'est important

Quand un incident survient, l'improvisation coûte cher en argent et en confiance. Une politique de réponse aux incidents définit à l'avance les rôles, les décisions et les délais, pour que votre équipe agisse au lieu de paniquer — et pour prouver aux auditeurs et régulateurs que vous étiez préparé.

Quoi inclure

Définitions et gravité — ce qui constitue un incident, et une échelle de gravité qui pilote la réponse.
Rôles — qui pilote, qui communique, qui décide du confinement ; une chaîne d'astreinte.
Cycle de vie — détection, tri, confinement, éradication, rétablissement, et revue post-incident.
Communication — escalade interne et notification externe, y compris le décompte de notification de violation.
Délais réglementaires — la notification RGPD sous 72 h à l'autorité de contrôle ; les obligations NIS2 et DORA le cas échéant.
Preuves et investigation — préservation des logs et chaîne de possession.
Retour d'expérience — une revue sans blâme qui réalimente les contrôles.

Erreurs fréquentes

Un plan que personne n'a répété ; réalisez au moins un exercice sur table par an.
Ignorer les délais de notification — sous RGPD, le décompte démarre à la prise de connaissance, pas à la fin de l'investigation.
Aucune échelle de gravité définie, transformant chaque alerte en branle-bas général.

Alignement référentiels

Correspond à l'Annexe A 5.24–5.28 d'ISO 27001:2022 (gestion des incidents), aux critères incidents SOC 2, et aux fonctions Répondre et Rétablir du NIST CSF.

Sources de référence

NIST SP 800-61 — Computer Security Incident Handling Guide (csrc.nist.gov/pubs/sp/800/61/r2/final).
ISO/IEC 27001:2022 — contrôles 5.24–5.26 de l'Annexe A (planification, évaluation, réponse aux incidents) (iso.org/standard/27001).
ENISA — ressources sur la réponse aux incidents et les CSIRT (enisa.europa.eu).

Générez-la en quelques minutes

Voir un exemple de politique de réponse aux incidents ou générez la vôtre gratuitement.

Questions fréquentes

Quand démarre le décompte de 72 h du RGPD ?

Il démarre dès la prise de connaissance d’une violation de données personnelles, pas à la fin de l’investigation. L’article 33 impose de notifier l’autorité de contrôle sans retard injustifié et, si possible, sous 72 heures. Votre politique doit rendre ce déclencheur explicite pour que l’équipe escalade immédiatement.

Que doit contenir une politique de réponse aux incidents ?

Définissez les catégories d’incidents et une échelle de gravité, les rôles (qui pilote, communique, décide du confinement), le cycle de vie (détection, tri, confinement, éradication, rétablissement, revue), la communication et les délais réglementaires, la gestion des preuves, et une revue sans blâme qui réalimente les contrôles.

À quelle fréquence tester le plan de réponse aux incidents ?

Au moins une fois par an avec un exercice sur table. Un plan jamais répété échoue sous pression. Les tests révèlent les lacunes des rôles, des escalades et des délais de notification quand les enjeux sont faibles, et les auditeurs cherchent la preuve que ces exercices ont réellement lieu.