Modèle de plan de réponse à incident gratuit

Présentation

Le plan de réponse à incident est un document organisationnel qui décrit, avant même qu'un incident de sécurité ne survienne, les rôles, les étapes et les délais à respecter pour le détecter, le qualifier, le contenir et le documenter. Il constitue un prérequis pratique à la capacité d'une organisation à respecter, le cas échéant, l'obligation de notification d'une violation de données personnelles prévue par le RGPD. Cadre juridique : lorsqu'un incident de sécurité affecte des données personnelles (violation de données au sens de l'article 4.12 du RGPD — destruction, perte, altération, divulgation ou accès non autorisé), le responsable de traitement doit, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes, la notifier à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du RGPD). Si le risque est élevé pour les personnes concernées, celles-ci doivent également être informées directement, sans délai injustifié (article 34 du RGPD). Le délai de 72 heures court dès la connaissance de l'incident et non depuis sa survenance réelle, ce qui rend indispensable une procédure de détection et de qualification rapide en interne. Contenu du plan : un plan de réponse à incident opérationnel définit généralement une organisation de crise (qui alerte, qui décide, qui documente), une classification de gravité des incidents, une procédure de confinement technique immédiat, un circuit de qualification juridique pour déterminer si l'incident constitue une violation de données au sens du RGPD, un modèle de fiche de notification à la CNIL, une procédure d'information des personnes concernées lorsque requise, et une phase de retour d'expérience après clôture de l'incident. Quand l'utiliser : toute organisation traitant des données personnelles dans le cadre de son activité (site web, application, service SaaS, systèmes d'information internes) devrait disposer d'un plan de réponse à incident écrit et testé, indépendamment de sa taille — les petites structures sont souvent les moins préparées alors que les conséquences d'un délai de notification dépassé sont les mêmes qu'elles soient une PME ou un grand groupe. Erreurs à éviter : rédiger un plan théorique jamais testé en conditions réelles (un exercice de simulation annuel permet de vérifier que les délais sont tenables) ; ne pas désigner nommément les responsables de chaque étape, ce qui retarde la prise de décision en situation de crise ; confondre incident de sécurité (au sens large, touchant la disponibilité, l'intégrité ou la confidentialité d'un système) et violation de données personnelles (sous-catégorie soumise à notification RGPD) ; et négliger la phase de documentation, alors que l'article 33.5 du RGPD impose de conserver une trace de toute violation, même celles non notifiées, avec les faits, les effets et les mesures prises.

Informations à personnaliser

• Nom de l'organisation

• Contact du responsable de traitement / RSSI

• Contact du délégué à la protection des données (DPO)

  À renseigner si un DPO a été désigné.

• Composition de l'équipe de gestion de crise

  Ex. : RSSI, DPO, direction générale, responsable communication, prestataire infogérance.

• Canal d'alerte interne en cas d'incident

  Ex. : adresse email dédiée, numéro d'astreinte, outil de ticketing.

• Critères de classification de la gravité d'un incident

• Procédure de confinement technique immédiat

  Ex. : isolement des systèmes affectés, révocation des accès, coupure réseau ciblée.

• URL du téléservice de notification de la CNIL

• Délai interne cible pour qualifier un incident

  Ex. : 4 heures ouvrées après détection.

• Lieu de tenue du registre des incidents/violations

Personnalisez votre modèle

Questions fréquentes

Un plan de réponse à incident est-il obligatoire ?

Le RGPD n'impose pas explicitement de rédiger un plan de réponse à incident formalisé, mais il impose des délais de notification très courts (72 heures) qui sont, en pratique, impossibles à tenir sans procédure préétablie. Disposer d'un plan écrit et testé est donc une mesure de mise en conformité fortement recommandée, et attendue par la CNIL en cas de contrôle.

Quelle différence entre un incident de sécurité et une violation de données au sens du RGPD ?

Un incident de sécurité peut affecter un système sans toucher de données personnelles (une panne, une indisponibilité technique). Une violation de données personnelles, au sens de l'article 4.12 du RGPD, est une sous-catégorie spécifique impliquant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles. Seule cette dernière est soumise à l'obligation de notification.

Le délai de 72 heures court-il à partir de la survenance de l'incident ?

Non, il court à partir du moment où le responsable de traitement a effectivement pris connaissance de la violation, et non de sa survenance réelle qui peut être antérieure. Cela souligne l'importance d'une détection et d'une qualification rapides pour ne pas retarder le point de départ du délai en interne.

Faut-il toujours notifier la CNIL en cas de violation de données ?

Non, la notification n'est pas requise si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Cette appréciation doit être documentée dans le registre des incidents, même en l'absence de notification.

Quand faut-il informer directement les personnes concernées ?

Lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, par exemple en cas de divulgation de données sensibles ou de données permettant une usurpation d'identité. L'information doit intervenir sans délai injustifié, sauf si des mesures comme le chiffrement rendent les données inexploitables.

Que risque une organisation qui ne notifie pas une violation dans les délais ?

Le non-respect de l'obligation de notification constitue un manquement autonome au RGPD, susceptible de sanctions par la CNIL, indépendamment de la gravité de l'incident lui-même. La documentation des motifs de retard, lorsque le délai de 72 heures n'a pas pu être tenu, est un élément d'atténuation important.

Le plan doit-il être testé régulièrement ?

Un plan jamais exercé en conditions simulées révèle souvent, lors d'un véritable incident, des délais irréalistes ou des rôles mal définis. Un exercice de simulation périodique (par exemple annuel) permet de vérifier que l'organisation peut effectivement qualifier et, si nécessaire, notifier un incident dans les délais impartis.

Modèles associés