Cybersécurité en ESSMS : préparer la continuité de l’accompagnement.

1. Identifier ce qui doit continuer à fonctionner

Notre proposition : réunissez un représentant de la direction, des métiers et de l’informatique autour d’un scénario simple : les outils habituels sont inaccessibles pendant une journée. Quelles tâches deviennent difficiles ? Quelles informations sont indispensables à la sécurité et à la continuité de l’accompagnement ?

Pour chaque activité essentielle, notez les dépendances, un responsable et un mode de fonctionnement temporaire à préparer. Un plan de continuité d’activité (PCA) décrit les conditions de maintien des activités ; un plan de reprise d’activité (PRA) organise leur rétablissement. Les deux doivent être cohérents avec les moyens réels de la structure.

2. Vérifier les fondamentaux avec votre prestataire

Le guide d’hygiène informatique de l’ANSSI propose 42 mesures de référence. Le guide de sécurité de la CNIL complète ce travail pour la protection des données personnelles.

• Identifier les comptes, les habilitations et les accès d’administration.
• Vérifier la gestion des mises à jour et des équipements.
• Examiner les sauvegardes et les essais de restauration.
• Clarifier les responsabilités entre la structure et ses prestataires.

Pour chaque point, demandez une explication compréhensible, la dernière vérification réalisée et les éventuelles limites. Transformez les écarts identifiés en actions datées, avec un responsable et un ordre de priorité.

3. Préparer les décisions avant l’incident

Le guide ANSSI et CDSE sur la gestion de crise cyber aide à coordonner la préparation et la réponse aux niveaux stratégique et opérationnel.

Formalisez une fiche accessible même en cas de panne : contacts utiles, personnes pouvant déclencher la cellule de crise, modalités de décision et moyens de communication de secours. Définissez comment les équipes signalent une difficulté et reçoivent les consignes. Associez le DPO à l’examen des conséquences sur les données personnelles lorsque la situation le nécessite.

4. Préparer les messages, puis tester l’organisation

Le guide ANSSI de juin 2026 sur la communication de crise cyber fournit des repères pour préparer les rôles, les messages et les échanges internes et externes.

Identifiez qui valide l’information, qui la transmet et comment joindre les équipes, les personnes accompagnées et les partenaires si la messagerie est indisponible. Préparez une trame qui distingue les faits confirmés, les impacts connus et la prochaine mise à jour.

Un exercice sur table permet ensuite de vérifier votre organisation : présentez un scénario fictif, faites dérouler les décisions et relevez les points de blocage. Consignez les corrections, leur responsable et la date du prochain essai. Le résultat attendu est un dispositif que les équipes savent utiliser.