- Objet
- pilotage de l’entreprise le jour venu
- Composantes
- cellule de crise, communication, voies de décision
- Voisins
- BCMS, réponse à incident
- Lien avec NIS2
- mesure exigée par la directive
- Mise à jour
- juin 2026
- Rédaction
- Compliance Compass
Qu’est-ce que la gestion de crise ?
Gestion de crise est le pilotage de l’entreprise au niveau de la direction, lorsqu’un événement dépasse le fonctionnement quotidien et appelle des décisions rapides et de grande portée. Elle maintient l’organisation capable d’agir dans une situation grave : voies de décision claires, cellule de crise nommée, communication réglée vers l’intérieur comme vers l’extérieur. À la différence du traitement purement opérationnel de l’incident, la gestion de crise regarde l’ensemble du tableau — réputation, obligations juridiques, clients, personnel et poursuite de l’activité — et prend les décisions supérieures dont les équipes techniques ont besoin pour travailler utilement.
La technique rencontre la direction
Là où la Réponse à incident prend en charge le traitement technique de l’incident, la gestion de crise coordonne au niveau de la direction : elle arbitre les priorités, les ressources et les autorisations — arrêter des systèmes, faire appel à des prestataires externes, évacuer un site. Elle s’inscrit dans le BCMS, qui définit et entraîne l’organisation de crise en amont.
La communication est décisive
En crise, bien communiquer compte souvent autant que la technique : envers le personnel, les autorités, les clients, les partenaires et — point sensible sous NIS2 — envers l’autorité compétente. En France, ce rôle n’est pas encore attribué au titre de NIS2 et les incidents se signalent au CERT-FR. Des modèles de signalement préparés et des rôles de porte-parole clairs évitent les contradictions et les retards lorsqu’il faut parler à l’extérieur sous la pression du temps.
Un cas typique : chez un transporteur, des systèmes centraux sont chiffrés pendant la nuit. La cellule de crise se réunit selon le plan d’alerte, décide de l’arrêt d’autres systèmes, mandate un expert en investigation numérique et valide la communication concertée. En parallèle, elle veille au signalement : en France, il part au CERT-FR ; le jour où la loi de transposition sera promulguée, ce seront l’alerte précoce sous 24 heures, la notification d’incident sous 72 heures et le rapport final au bout d’un mois.
Gestion de crise et NIS2
La directive NIS2 cite expressément la gestion de crise parmi les mesures exigées à l’article 21. Elle intervient là où la Continuité d’activité et le traitement des incidents se rejoignent au niveau de la direction, et elle est étroitement liée au respect des délais de notification. En France, ces délais ne sont pas encore exigibles : la loi de transposition n’est pas promulguée.
Pour aller plus loin : ISO 22301 — management de la continuité d’activité et organisation de crise
Questions fréquentes
Qu’est-ce que la gestion de crise ?
La gestion de crise est l’organisation et le pilotage de l’entreprise au niveau de la direction le jour venu, pour que décisions, communication et mesures fonctionnent. Des voies de décision claires, une cellule de crise nommée et une communication réglée maintiennent l’organisation capable d’agir dans une situation grave. À la différence du traitement purement opérationnel de l’incident, elle regarde l’ensemble du tableau : réputation, obligations juridiques, clients, personnel et poursuite de l’activité.
La gestion de crise relève-t-elle de NIS2 ?
Oui. La directive NIS2 cite expressément la gestion de crise parmi les mesures de gestion des risques de l’article 21. Les entités concernées doivent préparer les rôles de crise ainsi que les voies d’escalade et de communication, puis s’y tenir. S’y ajoute la chaîne de notification de la directive — alerte précoce sous 24 heures, notification d’incident sous 72 heures, rapport final sous un mois — adressée à l’autorité compétente. En France, ces obligations ne sont pas encore exigibles, faute de loi de transposition promulguée ; les incidents se signalent aujourd’hui au CERT-FR.
En quoi diffère-t-elle de la réponse à incident ?
La réponse à incident est le traitement technique d’un incident précis, au niveau opérationnel : analyser, confiner et corriger une attaque. La gestion de crise est le pilotage supérieur, au niveau de la direction : elle arbitre les priorités, les ressources, les autorisations et la communication externe pendant que les équipes techniques traitent la situation aiguë. Les deux s’engrènent, car la technique a besoin des décisions supérieures pour travailler utilement.