``
Cyberattaque, ransomware : le DSI ou RSSI de transition qui reprend la main en 72 heures
Vendredi 17h32. Les fichiers se chiffrent les uns après les autres, l'ERP devient inaccessible, une note de rançon s'affiche sur les postes de travail. Aucun exercice n'a vraiment préparé le Comex à ce moment précis. Ce scénario n'a pourtant rien d'exceptionnel : selon le Baromètre CESIN 2026, 40 % des entreprises françaises ont subi au moins une cyberattaque significative au cours des douze derniers mois, et l'ANSSI a recensé 128 attaques par rançongiciel en 2025, dont près d'une sur deux a visé une TPE, une PME ou une ETI plutôt qu'un grand groupe.
Face à cette réalité, la question n'est plus « si » mais « quand ». Et le jour où l'attaque survient, un dirigeant n'a pas besoin d'un rapport d'audit : il a besoin d'un dirigeant opérationnel, capable de prendre le commandement de la cellule de crise dès les premières heures. C'est le rôle d'un DSI ou d'un RSSI de transition.
Le compte à rebours légal des 72 heures : CNIL et assurance cyber
Conformément à l’article 33 du RGPD, toute violation de données personnelles avérée ou suspectée doit obligatoirement faire l’objet d’une notification formelle auprès de la CNIL dans un délai maximal de 72 heures. En parallèle, la quasi-totalité des polices d’assurance contre le cyber-risque exigent un dépôt de plainte officiel auprès des services de gendarmerie ou de police sous ce même délai de 72h, sous peine de déchéance des garanties d’indemnisation pour perte d’exploitation. Chaque heure d’attente sans pilotage formel aggrave mécaniquement l’exposition juridique et financière des dirigeants.
Une menace qui a changé de nature
Le risque cyber n'est plus un sujet de spécialistes. Il concentre aujourd'hui l'attention de l'ensemble du Comex, pour trois raisons.
La sévérité augmente, même quand la fréquence baisse. Le Baromètre CESIN 2026 relève un paradoxe : le volume d'attaques significatives recule légèrement, mais leurs conséquences s'aggravent. Le vol de données touche 52 % des cas, l'exposition de données 27 % (36 % dans les grandes entreprises), et l'impact médiatique frappe plus d'un tiers des grands groupes contre 14 % des ETI.
Les PME et ETI sont devenues des cibles prioritaires. D'après le Panorama de la cybermenace 2025 de l'ANSSI, publié en mars 2026, les TPE, PME et ETI représentent la première catégorie de victimes de rançongiciel en France, devant les collectivités territoriales et les établissements de santé. Une entreprise n'est jamais « trop petite » pour intéresser un attaquant : elle est souvent, au contraire, moins bien défendue.
Le tiers de confiance devient le maillon faible. Le risque ne vient plus seulement de l'intérieur : 30 % des entreprises françaises interrogées par le CESIN citent un rançongiciel chez un prestataire comme vecteur d'une attaque majeure par effet domino, et 43 % des grands groupes évoquent une attaque indirecte via un tiers. Sous-traitant IT, éditeur logiciel, hébergeur : la surface de risque a débordé le périmètre de l'entreprise elle-même.
Le double compte à rebours qui démarre à la découverte de l'attaque
Ce que beaucoup de dirigeants découvrent en pleine crise, c'est que deux horloges tournent en même temps — une technique, une juridique — et qu'aucune n'attend que le système d'information soit restauré.
L'horloge du RGPD : 72 heures pour notifier la CNIL. Dès qu'une violation de données à caractère personnel présente un risque pour les personnes concernées, l'article 33 du RGPD impose sa notification à la CNIL dans les 72 heures suivant sa découverte — week-ends et jours fériés compris. La CNIL a enregistré 6 167 notifications de violations en 2025, en hausse de 9,5 % sur un an, et précise qu'une déclaration sur deux fait suite à un piratage. Elle a prononcé 83 sanctions en 2025, pour un montant cumulé de 487 millions d'euros, et retient systématiquement le retard de notification comme circonstance aggravante.
L'horloge NIS2, bientôt obligatoire pour environ 15 000 entités françaises. La directive européenne NIS2 impose aux entités essentielles et importantes de signaler un incident important sous 24 heures, puis un rapport détaillé sous 72 heures, sous peine de sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Sa transposition française — la loi « Résilience » — accuse un retard tel que la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France en juillet 2026 ; l'examen du texte à l'Assemblée nationale a été reporté à la rentrée 2026. Ce retard législatif n'est pas une excuse pour attendre : l'ANSSI appelle les entreprises concernées à se mettre en ordre de marche dès maintenant, la loi étant appelée à s'appliquer avec effet quasi immédiat une fois votée.
Pendant ce temps, l'horloge business tourne aussi. Selon l'étude Sophos « State of Ransomware in France 2025 », 58 % des attaques ayant touché des entreprises françaises se sont soldées par un chiffrement effectif des données, pour un coût moyen de rétablissement de 232 000 dollars. L'institut Asterès chiffre le coût direct moyen d'une cyberattaque réussie en France à environ 59 000 euros, rançon éventuelle comprise — une moyenne qui masque de très fortes disparités selon la taille de l'entreprise et la criticité du système touché.
Pourquoi l'organisation en place ne suffit pas toujours, seule, en pleine crise
Ce constat n'est en rien une critique des équipes IT internes : c'est une question de dimensionnement et de posture.
Quand la remédiation technique ne suffit plus : piloter la cellule de crise au Comex
Face à un parc informatique chiffré, le premier réflexe d'une entreprise est de solliciter son infogérant ou des experts en investigation numérique (DFIR). Si leur travail de déconnexion et de restauration des sauvegardes est vital, ils ne sont ni mandatés ni outillés pour assumer les arbitrages stratégiques au niveau du Comité de Direction.
Qui assume la responsabilité d’interrompre les flux EDI avec les clients et fournisseurs ? Qui arbitre le refus catégorique ou les échanges avec les rançonneurs selon la doctrine officielle de l’ANSSI ? Qui calcule l'impact de trésorerie avec les banques et prépare la communication de crise pour préserver l'image de marque ? C’est précisément à ce niveau d’autorité que s’impose le directeur de transition (RSSI ou DSI), investi d’une délégation de pouvoir immédiate pour coordonner la cellule de crise.
En premier lieu, beaucoup de PME et d'ETI n'ont pas de RSSI dédié : la fonction est portée à temps partiel par le DSI, voire externalisée, sans mandat ni autorité pour piloter une cellule de crise impliquant le Codir, le juridique, la communication et les assureurs.
Ensuite, l'équipe IT en place doit continuer à faire tourner ce qui fonctionne encore, pendant qu'elle gère l'urgence : elle est à la fois juge et partie, sous une pression qu'elle ne peut objectivement pas absorber seule dans la durée.
Enfin, une cellule de crise cyber exige des réflexes rarement acquis en interne : arbitrer entre restauration et préservation des preuves forensiques, structurer la relation avec l'assureur cyber et les experts judiciaires, décider de la communication envers les clients et les actionnaires sans céder à la panique ni sous-communiquer.
Le rôle du DSI ou RSSI de transition : une Task Force opérationnelle sous 72 heures
C'est précisément dans ce contexte que Belmont Management déploie un dirigeant de transition — DSI, RSSI ou Directeur de crise cyber selon la configuration — présenté sous 72 heures et intégré directement au Comex ou au Codir, avec un mandat clair d'exécution.
J0 à J+3 : prendre le commandement. Le manager de transition structure la cellule de crise, centralise la remontée d'informations, sécurise en priorité ce qui peut encore l'être (isolement des systèmes compromis, coupure des accès à risque), et déclenche en parallèle les obligations réglementaires : préparation de la notification CNIL, dépôt de plainte, mobilisation de l'assureur cyber et des prestataires de réponse à incident.
J+3 à J+30 : diagnostiquer et restaurer, dans l'ordre des priorités métier. À partir d'une cartographie des fonctions critiques — la même logique que celle d'un plan de continuité d'activité — le manager hiérarchise la reprise : ce qui doit revenir en premier pour facturer, produire et livrer, avant le reste. Sur la question du paiement d'une éventuelle rançon, sa valeur ajoutée est justement de sortir la décision de l'émotion : il objective les options (efficacité réelle des sauvegardes, alternatives techniques, position des autorités) pour que la décision finale reste, comme il se doit, celle de la direction.
M+1 à M+6 : sécuriser durablement et transmettre. Une fois la crise stabilisée, le manager de transition structure une feuille de route de sécurisation pérenne — durcissement du système d'information, mise en conformité progressive avec les référentiels ANSSI et, le cas échéant, avec les exigences NIS2 — et prépare le recrutement ou la montée en compétence d'un RSSI permanent. Cette phase de capitalisation des acquis fait partie intégrante de notre méthodologie : notre objectif n'est pas de rester indispensables, mais de rendre votre organisation autonome et résiliente.
Restaurer la confiance : l'enjeu qui dépasse la technique
Une cyberattaque bien gérée sur le plan technique peut rester un échec si la confiance des clients, des partenaires bancaires et des actionnaires n'est pas activement reconstruite. Le Baromètre CESIN 2026 le montre : l'impact médiatique touche 36 % des grandes entreprises victimes, contre seulement 14 % des structures de taille intermédiaire — mais ce différentiel s'explique surtout par une exposition publique moindre, pas par une confiance intacte auprès des clients directs et des donneurs d'ordre.
Le manager de transition porte ce volet en direct : il coordonne avec la direction générale une communication de crise transparente et maîtrisée, rassure les partenaires financiers sur la solidité du plan de reprise, et documente chaque étape pour que les assureurs, les commissaires aux comptes et, le cas échéant, les autorités de contrôle disposent d'un dossier rigoureux. C'est ce même principe de pilotage tripartite — dirigeant, manager, associé Belmont — qui garantit qu'aucun sujet stratégique n'échappe au Comex pendant que le manager gère l'opérationnel.
Manager de transition, prestataire de cybersécurité ou consultant : une différence de posture
Un prestataire de réponse à incident intervient sur la remédiation technique. Un cabinet de conseil peut auditer et recommander un plan d'action. Le manager de transition, lui, s'intègre à votre gouvernance et exécute : il porte la responsabilité opérationnelle de la crise au quotidien, arbitre avec vous plutôt que de vous remettre un rapport, et reste engagé jusqu'à ce que la situation soit durablement stabilisée. C'est la même logique que nous détaillons dans notre article Manager de transition ou consultant ? — une distinction qui prend tout son sens lorsque chaque heure de flottement a un coût direct sur votre activité.
📍 Cyber-résilience en Auvergne-Rhône-Alpes : un RSSI sur site depuis Lyon en moins de 48h
Face à la recrudescence des attaques par rançongiciel ciblant les fleurons industriels et les sociétés de services de la région lyonnaise, Belmont Management assure une astreinte opérationnelle C-Level dédiée :
- Proximité immédiate : Équipe basée à Lyon Part-Dieu (129 Rue Servient), intervention physique sur site sous 24h à 48h en région AURA (Lyon, Grenoble, Saint-Étienne, Annecy, Chambéry, Clermont-Ferrand).
- Articulation avec l'écosystème régional : Coordination directe avec les protocoles du CSIRT Auvergne-Rhône-Alpes, les délégations locales de l'ANSSI et les cyber-assureurs.
- Spécialisation Industrie & OT : Sécurisation des réseaux d'usines, automates industriels et plans de reprise d'activité (PCA/PRA).
Focus Lyon & région Auvergne-Rhône-Alpes : urgence cyber locale
De la métallurgie stéphanoise à la plasturgie d’Oyonnax, du couloir de la chimie lyonnais au décolletage de la Vallée de l’Arve, les PME et ETI d’Auvergne-Rhône-Alpes constituent une cible de prédilection pour les cybercriminels. Dans un environnement industriel interconnecté, le blocage d'un serveur par ransomware paralyse en quelques minutes les chaînes de production et les expéditions logistiques.
Si le CSIRT régional (Cyber Assistance Auvergne-Rhône-Alpes), piloté avec la Région et la CCI Lyon Métropole, et le Campus Cyber territorial de Charbonnières-les-Bains offrent un premier aiguillage d’urgence précieux, ils n'ont pas vocation à s'installer physiquement au sein de votre entreprise pour diriger la crise.
Implanté au cœur du quartier d'affaires de la Tour Part-Dieu, Belmont Management de transition à Lyon détache des RSSI et DSI de transition immédiatement projetables sur vos sites dans le Rhône, l'Isère, l'Ain, la Loire ou les Pays de Savoie sous 24h à 48h. Présents physiquement à vos côtés, ils coordonnent la cellule de crise avec vos équipes, dialoguent avec les enquêteurs et l'ANSSI, et restaurent la continuité de vos opérations industrielles sans délai.
Questions fréquentes
Combien de temps faut-il pour déployer un DSI ou RSSI de transition en cas de cyberattaque ? Belmont Management présente un dirigeant opérationnel sous 72 heures. Le manager s'intègre immédiatement à la cellule de crise, sans période d'observation préalable.
Faut-il payer la rançon demandée par les attaquants ? Les autorités françaises (ANSSI, gendarmerie, CNIL) déconseillent le paiement, qui ne garantit ni la récupération des données ni l'absence de nouvelle extorsion. Le rôle du manager de transition est d'objectiver la décision avec la direction : état réel des sauvegardes, alternatives de restauration, position de l'assureur, plutôt que de l'imposer.
Quelles sont les obligations légales après une cyberattaque touchant des données personnelles ? Toute violation présentant un risque pour les personnes concernées doit être notifiée à la CNIL sous 72 heures (article 33 du RGPD), et les personnes concernées informées sans délai en cas de risque élevé (article 34). Les entités entrant dans le champ de la future réglementation NIS2 devront, une fois le texte définitivement transposé en France, signaler tout incident important sous 24 heures puis 72 heures à l'ANSSI.
Quelle différence entre un DSI de transition et un RSSI de transition ? Le DSI de transition pilote l'ensemble du système d'information et sa remise en état opérationnel (infrastructures, applications, continuité). Le RSSI de transition se concentre sur la sécurité, la gestion de crise cyber et la mise en conformité. Sur une crise majeure, Belmont Management peut mobiliser les deux profils en tandem, ou un DSI expérimenté couvrant les deux dimensions selon la taille de votre organisation.
Combien coûte un manager de transition pour une crise cyber ? Le tarif journalier moyen (TJM) d'un manager de transition en France se situe généralement entre 800 et 2 500 euros HT selon la fonction et la criticité de la mission — voir notre article Coût d'un manager de transition, quel TJM ? À mettre en regard du coût moyen de rétablissement après une attaque par rançongiciel, estimé à 232 000 dollars par l'étude Sophos 2025.
Ne subissez pas la crise, reprenez la main
Une cyberattaque ne prévient pas. Belmont Management se tient prêt à mobiliser, sous 72 heures, un DSI, un RSSI ou un Directeur de crise cyber expérimenté, intégré à votre Comex, pour sécuriser votre système d'information, respecter vos obligations légales et restaurer durablement la confiance de vos clients et de vos actionnaires.