Digital Business & Future 03.06.2026

Plan de crise plutôt que communication de crise : quatre décisions pour les PME

7 Min. de lecture

La plupart des PME ont un plan de communication de crise dans un dossier, mais aucun plan de crise en tête. Cela se voit dès qu’une fuite de données, une rupture d’approvisionnement ou un changement brutal de dirigeant survient. La différence entre une entreprise qui survit à une crise et une autre qui la perd ne réside rarement dans l’équipe communication.

Les points clés en bref

Les plans de crise sont opérationnels, pas communicationnels : Qui ajuste d’abord le discours PR avant d’avoir une vision opérationnelle claire repousse le problème. Les 48 premières heures déterminent la réputation, pas le communiqué de presse.
La responsabilité doit être claire le jour J : Trop de PME n’ont pas de cellule de crise définie. À la place, ce sont les disponibilités et les hiérarchies qui décident dans l’urgence, aggravant les dégâts.
Les exercices coûtent moins cher qu’un incident : Un scénario tabletop d’une demi-journée par trimestre apporte plus de sécurité qu’un concept de 50 pages. Qui ne s’entraîne pas n’a pas de plan, mais une annexe à sa demande d’assurance.

Ce qu’est un plan de crise – et ce qu’il n’est pas

Un plan de crise n’est pas un document. C’est une série de décisions prises à l’avance, car en situation d’urgence, il n’y a plus le temps de les prendre. Qui décide quoi, quand, avec quels pouvoirs, avec quel budget. Si ces quatre questions sont répondues par écrit et que l’équipe les connaît, une entreprise a un plan. Si un PDF de 80 pages traîne sur l’intranet sans que personne ne sache où le trouver, elle a simplement coché la case conformité.

Cela semble évident. Ça ne l’est pas. Ces dernières années, j’ai travaillé avec des PME qui, après un incident cyber, ont passé plusieurs heures à clarifier en interne qui pouvait mandater une expertise forensique externe. Plusieurs heures pendant lesquelles des données continuaient de fuir. Cette décision aurait pu être prise la veille, l’année précédente, ou cinq ans plus tôt. Mais elle ne l’a pas été.

La communication de crise intervient obligatoirement, mais plus tard. Un communiqué de presse sans vision opérationnelle claire n’est qu’une affirmation qui alimente la prochaine question des médias. Qui communique trop tôt sans savoir ce qui se passe réellement écrit lui-même son propre scandale.

Les quatre décisions à prendre en amont

Il n’existe pas de formule universelle. Mais quatre points doivent impérativement être clarifiés dans toute préparation à une crise pour une PME. Si l’un d’eux manque, la préparation est incomplète.

Qui convoque la cellule de crise ? Une personne désignée nommément, un suppléant, un second suppléant. Pas « la direction », car celle-ci peut être en déplacement, malade ou en réunion du conseil de surveillance. C’est la seule décision qui ne peut être déléguée.
Qui est habilité à mandater quoi ? Expertise judiciaire, avocats, forensic cloud, agence de communication, prestataire informatique. Avec des plafonds de dépenses et, si possible, des projets de contrats préétablis. Celui qui, en pleine crise, doit encore comparer des avocats a déjà perdu.
Quelles données sont critiques ? Toutes les données ne se valent pas. Dans la plupart des PME, trois catégories suffisent : données clients, données RH, données techniques d’exploitation. Chacune avec une tolérance de panne en heures, un délai de rétablissement et un plan B.
Qui parle en externe ? Une seule voix, avec un suppléant. Questions de presse, demandes des autorités, appels des clients. Laisser plusieurs interlocuteurs s’exprimer génère des contradictions qu’il faudra corriger plus tard. C’est la deuxième vague de la crise.

Ces quatre points tiennent sur une page. C’est tout ce qu’il faut. Davantage serait plutôt contre-productif.

Ce qui manque en cas d’urgence

62 pour cent des incidents cyber dans les PME de la zone DACH sont gérés sans cellule de crise clairement définie, selon une analyse Allianz 2024.
Les entreprises touchées perdent en moyenne 2 à 4 heures avant de mandater une expertise forensic externe, faute de clarification interne des habilitations.
L’absence de scénario tabletop préparé prolonge en moyenne la durée d’indisponibilité de 11 jours. Source : rapport BSI 2025.

Pourquoi le tabletop est plus important que le document

Un scénario tabletop est un exercice de deux à quatre heures simulant un incident réaliste. Aucune action informatique réelle, aucun communiqué de presse, aucune intervention externe. Juste des personnes autour d’une table qui doivent réagir à des cartes d’escalade. Celui qui passe une heure à chercher le bon annuaire des contacts a passé une demi-journée productive sans qu’un seul octet de données ne soit perdu.

Les exercices tabletop sont inconfortables. Ils révèlent que le porte-parole est joignable en vacances, mais pas le responsable informatique. Que le cabinet d’avocats a un service de permanence différent de celui prévu le week-end. Que le second suppléant du chef de la cellule de crise a changé de service depuis deux ans. Ce sont précisément ces enseignements que l’on recherche.

La plupart des PME que j’ai observées organisent deux exercices par an : un avant l’été, un autre en automne. Davantage est possible, mais deux constituent un minimum réaliste pour une entreprise qui prend au sérieux ce qui est écrit dans son plan de crise.

Trois erreurs présentes dans presque tous les plans

Hypothèses implicites sur la disponibilité : « Nous informons immédiatement la direction » ne fonctionne pas si celle-ci est en vol sans réseau. Les matrices de disponibilité avec créneaux horaires et niveaux d’escalade manquent souvent.
Mélange entre gestion de réputation et clarification des faits : Si l’équipe communication doit rédiger des textes dans la première heure au lieu d’écouter d’abord ce que sait l’expertise forensic, les déclarations devront être corrigées deux heures plus tard. Cela cause plus de dégâts que le silence.
Plans surchargés : 80 pages que personne ne connaît valent moins que deux pages que chaque membre de la cellule de crise a en tête. La conformité adore les documents épais. En situation de crise, ils sont inutiles.

Ce qui reste après une crise quand on était préparé

Les entreprises préparées se reconnaissent au fait qu’après un incident, elles n’ont pas besoin d’engager une réforme fondamentale. Elles corrigent des détails. Elles complètent le plan avec les observations tirées du cas réel. Elles s’entraînent au scénario suivant avec le matériel actualisé. Les entreprises non préparées, en revanche, se distinguent par la commande d’un rapport interne, l’intervention de consultants externes et, six mois plus tard, la présentation d’un nouveau concept qui finit, tout comme le précédent, inutilisé dans un tiroir.

La vérité est inconfortable : la gestion de crise n’est pas plus coûteuse que les autres disciplines dans les PME. Elle est simplement moins visible. Personne ne reçoit de distinction pour une crise bien gérée qui n’a jamais été rendue publique. Investir dans la préparation aux crises, c’est investir dans un bien qui reste invisible au quotidien. Cela facilite son abandon.

Si je pouvais donner un seul conseil aux dirigeants de PME : réduisez le plan à deux pages, exercez-vous deux fois par an, clarifiez à l’avance les quatre décisions clés. Le reste n’est que cosmétique.

Foire aux questions

Qui doit faire partie d’une cellule de crise dans une PME ?

La direction générale avec son suppléant, la direction informatique, le service juridique ou un avocat externe, la direction de la communication et, selon l’incident, un responsable opérationnel, par exemple issu de la production ou de la logistique. En pratique, plus de six personnes rendent rarement une cellule opérationnelle.

À quelle fréquence organiser des exercices sur table (tabletop) ?

Deux fois par an constitue un minimum réaliste, une au printemps et une à l’automne. Les entreprises évoluant dans un environnement réglementé devraient viser quatre exercices annuels et tester différents scénarios, allant de l’incident cyber à l’absence d’une personne clé.

Un accompagnement externe en gestion de crise est-il utile ?

Pour la mise en place initiale d’une cellule de crise et le premier exercice sur table, un accompagnement externe est judicieux, car il apporte des routines et révèle les angles morts. Ensuite, le savoir-faire doit rester en interne. Une entreprise qui dépend en permanence d’experts externes n’a pas de gestion de crise, mais un simple contrat-cadre.

Quelle est la différence entre la gestion de crise et la continuité d’activité ?

La continuité d’activité vise à rétablir les processus. La gestion de crise, elle, concerne la maîtrise de l’incident lui-même, y compris la communication et la prise de décision dans l’incertitude. Les deux sont complémentaires, mais distinctes, et doivent être régies par des plans séparés.

Combien coûte une gestion de crise raisonnable pour une PME ?

La mise en place initiale, avec accompagnement externe, se situe généralement entre 15 000 et 40 000 euros pour un site de PME, selon la complexité. En fonctionnement, il faut compter deux à quatre journées d’exercice par an, ainsi que des honoraires de disponibilité pour des prestataires comme des experts en forensic ou des cabinets d’avocats, souvent structurés sous forme de contrats d’option.