Guide opérationnel d'exercice de simulation cyber : planifier, exécuter et documenter

Un guide opérationnel étape par étape pour planifier, animer et évaluer un exercice de simulation cyber, et transformer le rapport d'après-action en preuves pour NIS2, DORA et CyFun.

Ce guide opérationnel est destiné aux RSSI, aux responsables des risques et de la conformité, aux responsables informatiques et aux consultants ou prestataires de services gérés qui les soutiennent. Il suppose que vous disposez d'un plan de réponse aux incidents et d'un plan de continuité des activités sur papier, et que vous devez maintenant démontrer qu'ils fonctionnent et que l'organe de direction comprend son rôle. À la fin, vous aurez planifié, mené et documenté un exercice sur table de deux à trois heures, avec un dossier de preuves qu'une autorité de contrôle ou un auditeur peut suivre de l'objectif à la clôture de l'action.

Avant de commencer

Désignez un responsable d'exercice (généralement le RSSI ou le responsable de la gestion des incidents) et une petite équipe de planification de deux ou trois personnes qui ne participeront pas au jeu. Les participants qui aident à rédiger le scénario ne peuvent pas en être surpris. Rassemblez les documents que l'exercice testera : le plan de réponse aux incidents, les plans de continuité des activités et de reprise après sinistre, le plan de communication de crise, la liste des contacts et la procédure de notification des incidents auprès de votre autorité de contrôle. Accordez-vous avec le PDG ou le directeur général pour que les membres de l'organe de direction assistent au moins à une partie de la session. En vertu de l'article 20 de NIS2, l'organe de direction approuve les mesures de gestion des risques en matière de cybersécurité, supervise leur mise en œuvre et doit suivre une formation^[1], de sorte qu'un exercice limité à l'informatique passe à côté de l'essentiel.

Phase 1 : Définir les objectifs et le périmètre

Un exercice sans objectifs mesurables produit une conversation agréable et aucune preuve. Rédigez trois à cinq objectifs, chacun formulé de manière à ce qu'un observateur puisse dire ultérieurement s'il a été atteint. Liez chaque objectif à un plan, un contrôle ou une exigence légale spécifique.

• Exemple : « L'équipe de crise décide dans les 30 minutes suivant l'inject pertinent si l'incident est important, et rédige l'alerte précoce de 24 heures. »
• Exemple : « Le responsable métier de la plateforme de commandes confirme la priorité de récupération et accepte ou conteste l'objectif de temps de récupération documenté. »
• Exemple : « L'organe de direction prend une décision documentée sur la communication externe et sur l'implication des forces de l'ordre. »
• Définissez le périmètre : quels sites, services, fournisseurs et plans sont en jeu, et ce qui est explicitement hors du périmètre (par exemple, les étapes techniques de confinement).
• Choisissez le format : une table ronde basée sur la discussion pour ce guide opérationnel ; les simulations techniques ou hybrides peuvent suivre ultérieurement.

Phase 2 : Sélectionner les participants et les rôles

Gardez le groupe de joueurs assez petit pour discuter, généralement huit à quinze personnes. Chaque personne dans la salle doit avoir un rôle.

Rôle	Qui	Ce qu'ils font
Facilitateur	Responsable d'exercice ou facilitateur externe	Gère le chronomètre, délivre les injects, pose des questions pertinentes, maintient la discussion sur les objectifs
Joueurs	Équipe de crise : membre(s) de l'organe de direction, informatique, sécurité, juridique, DPD, communications, RH, responsables métier	Prennent des décisions comme ils le feraient lors d'un incident réel
Observateurs / évaluateurs	Une ou deux personnes de l'équipe de planification ou de l'audit interne	Enregistrez les horodatages, les décisions et les lacunes par rapport aux objectifs
Parties simulées	Équipe de planification	Jouez le rôle de l'autorité de contrôle, du CSIRT, d'un journaliste, d'un client clé ou du fournisseur de services managés

Lorsqu'un fournisseur critique (votre MSP, votre hôte cloud ou votre fournisseur de SOC) fait partie du scénario, envisagez de l'inviter.

Phase 3 : Concevoir le scénario et les injects

Construisez le scénario à partir de votre propre registre des risques et de votre analyse des menaces, non pas à partir d'un titre d'actualité. Un scénario est une histoire en trois ou quatre étapes, et chaque étape est déclenchée par des injections : de courts messages, des courriels, des appels téléphoniques ou des captures d'écran qui apportent des informations et forcent une décision. Les packages publics peuvent vous aider à démarrer. L'agence américaine de cybersécurité et de sécurité des infrastructures (US Cybersecurity and Infrastructure Security Agency) publie plus de 100 packages gratuits d'exercices de simulation avec des scénarios, des questions de discussion, des formulaires de retour d'expérience et un modèle de rapport de bilan^[5]. L'ENISA a publié sa méthodologie d'exercice de cybersécurité avec une boîte à outils de soutien contenant des modèles le 16 février 2026^[4]. Adaptez l'un ou l'autre à votre organisation et à votre contexte juridique, car les packages américains ne couvrent pas les délais de NIS2 ou du RGPD.

• Choisissez un scénario principal. Les points de départ utiles sont un rançongiciel avec exfiltration de données, une compromission de votre fournisseur de services gérés, une compromission de messagerie professionnelle avec un paiement frauduleux, et une panne prolongée du cloud ou d'une application SaaS.
• Rédigez 8 à 14 injects, chacun avec un moment de déclenchement prévu, le rôle cible, la décision attendue et l'objectif qu'il teste.
• Incluez au moins un inject qui déclenche une décision de signalement (incident important NIS2, incident majeur lié aux TIC DORA ou une violation de données à caractère personnel RGPD).
• Incluez un élément imprévu, comme une personne clé injoignable ou une sauvegarde incomplète.

Phase 4 : Préparer la logistique et le script du facilitateur

Réservez une salle ou un appel vidéo pour deux à trois heures, plus 30 minutes pour le débriefing immédiat. Préparez un court diaporama ou des documents imprimés, et un script de facilitation qui énumère, pour chaque étape, le texte de l'injection et trois ou quatre questions de relance. Envoyez aux participants un court document de préparation une semaine avant : la date, les règles de base, les plans à apporter et un rappel que l'exercice se déroule « sans reproche ».

• Convenir des règles de base : décidez avec les informations dont vous disposez, supposez un effectif normal sauf indication contraire, et parlez comme vous le feriez en réalité.
• Utilisez une horloge d'exercice accélérée pour pouvoir couvrir les 72 premières heures.
• Donnez aux observateurs un modèle de journal structuré avec des colonnes pour l'heure, l'injection, la décision, le responsable et l'écart.

Phase 5 : Dérouler l'exercice

Ouvrez avec cinq minutes sur les objectifs et les règles de base, puis déclenchez les injects selon le script. Le rôle du facilitateur est de poser les questions « qui décide ? », « que devez-vous savoir ? » et « qui informez-vous, et quand ? », et non de donner des réponses.

• Étape 1, détection : une alerte ou un signalement d'utilisateur. Qui trie, qui est informé, quand l'équipe de crise est-elle convoquée ?
• Étape 2, escalade : impact sur un service critique. S'agit-il d'un incident important ? Qui rédige l'alerte précoce, et dans quel délai ?
• Étape 3, pression externe : plaintes de clients, une demande de presse, une note de rançon ou une déclaration de fournisseur. Que dites-vous, et qui l'approuve ?
• Étape 4, récupération : restaurer les priorités, les objectifs de temps de récupération, et quand revenir aux opérations normales.
• Terminez par un débriefing immédiat de 20 à 30 minutes : ce qui s'est bien passé, ce qui ne s'est pas bien passé, et ce qui vous a surpris.

Phase 6 : Évaluer par rapport aux objectifs

Dans la semaine, l'équipe de planification évalue chaque objectif en utilisant les journaux des observateurs. Une simple échelle à quatre niveaux fonctionne bien : atteint, partiellement atteint, non atteint, non testé. Pour chaque objectif, notez les points forts observés et les lacunes, avec les preuves qui soutiennent l'évaluation. Collectez les formulaires de retour d'expérience des participants la même semaine.

• Distinguez les écarts de plan (le document est incorrect ou manquant) des écarts de capacité (les personnes manquaient de connaissances, d'outils ou d'autorité).
• Vérifiez explicitement le respect des délais de signalement : l'alerte précoce de 24 heures, la notification de 72 heures et le rapport final d'un mois en vertu de l'article 23 de NIS2 auraient-ils pu être respectés^[1]?

Phase 7 : Rédiger le rapport d'après-action

Le rapport d'après-action est le document de preuve central. Restez concis : quatre à huit pages. Une personne qui n'y était pas doit pouvoir comprendre ce qui a été testé, constaté et modifié.

• Résumé d'une page pour l'organe de direction, incluant les décisions qu'il a prises.
• Objectifs, champ d'application, scénario et participants.
• Conclusions par objectif avec évaluations et preuves.
• Plan d'amélioration : chaque action avec un responsable, une date d'échéance et le plan ou le contrôle qu'elle modifie.
• Approbation : le rapport est présenté à, et noté par, l'organe de direction.

Phase 8 : Suivre les améliorations et fermer la boucle

Les autorités de contrôle et les auditeurs recherchent le lien entre le test, le constat et la correction. Transférez chaque action du rapport dans votre registre normal des risques ou des actions, examinez la progression mensuellement, et testez à nouveau les lacunes les plus risquées lors du prochain exercice. Dans Secrato, un exercice est enregistré comme une évaluation, et chaque action devient une tâche liée aux contrôles qu'elle affecte, de sorte que les preuves de clôture comptent pour chaque référentiel qui repose sur ces contrôles.

• Mettez à jour les plans et versionnez-les, en notant l'exercice comme raison du changement.
• Signalez les actions ouvertes à l'organe de direction jusqu'à leur fermeture.

Le modèle d'accompagnement comprend une feuille de planification, quatre scénarios détaillés avec des listes complètes d'injects, un script pour l'animateur, un formulaire d'évaluation et une structure de rapport d'après-action que vous pouvez remplir directement.

Comment un exercice sert de preuve

L'article 21(2) de NIS2 exige des mesures pour la gestion des incidents, la continuité des activités et la gestion de crise, ainsi que des politiques pour évaluer l'efficacité de vos mesures^[1]. Pour les fournisseurs d'infrastructure numérique et de services qu'elle couvre, le règlement d'exécution 2024/2690 rend cela concret : les plans de continuité des activités et de reprise après sinistre doivent être testés et mis à jour à intervalles planifiés et après des incidents ou des changements importants (point 4.1 de l'annexe), le processus de gestion de crise doit être testé et examiné (point 4.3), et les enseignements tirés doivent être réinjectés après les incidents (point 3.6)^[2]. Pour les entités financières, DORA exige que les plans de continuité des activités TIC et les plans de réponse et de rétablissement soient testés au moins une fois par an, y compris des scénarios de cyberattaque et des plans de communication de crise (article 11), et énumère les tests basés sur des scénarios parmi les outils du programme de tests de résilience opérationnelle numérique (articles 24 et 25)^[3]. Une simulation sur table ne remplace pas les tests techniques, mais c'est le moyen le plus direct de tester les personnes, les décisions et la communication.

Comment cela se connecte à d'autres référentiels

Les contrôles de l'annexe A de la norme ISO/IEC 27001:2022 sur la gestion des incidents et la préparation TIC pour la continuité des activités attendent des réponses planifiées et testées ; un rapport d'après-action est une preuve directe pour les deux et pour la revue de direction. Dans CyFun et le NIST CSF 2.0, les exercices soutiennent les fonctions Répondre et Récupérer. En vertu de DORA, le même rapport alimente les preuves de tests annuels.

Questions fréquemment posées

À quelle fréquence devons-nous mener un exercice de simulation ?

Ni NIS2 ni le Règlement d'exécution ne fixent un nombre ; ils exigent des tests à intervalles réguliers et après des incidents ou des changements importants. DORA exige des tests annuels des plans de continuité et de réponse. Une fois par an pour l'équipe de crise complète, plus des sessions techniques plus réduites entre les deux, constitue une base défendable pour la plupart des organisations.

L'organe de direction doit-il vraiment participer ?

C'est fortement recommandé. L'article 20 de NIS2 rend l'organe de direction responsable de l'approbation et de la supervision des mesures de cybersécurité. Leur participation, et les décisions qu'ils prennent lors de l'exercice, constituent certaines des preuves les plus claires de cette supervision.

Un exercice de simulation suffit-il pour satisfaire aux exigences de test de DORA ?

Non. Il couvre les tests basés sur des scénarios de décisions et de communication, mais le programme de tests de DORA attend également des tests techniques tels que les évaluations de vulnérabilité, les tests de restauration et de basculement et, pour certaines entités, les tests de pénétration pilotés par la menace.

Quels outils aident à préparer un exercice de simulation NIS2 ?

Notre kit d'exercice de simulation de cybersécurité gratuit comprend un scénario, des injects et les modèles pour enregistrer le résultat. Pour montrer aux autorités de contrôle que les constats font l'objet d'un suivi, une plateforme GRC telle que Secrato relie les preuves d'exercice et les actions d'amélioration aux contrôles et aux risques auxquels ils se rapportent.