Un incident de sécurité devient une crise lorsqu'il dépasse le mandat de l'équipe d'intervention : panne à l'échelle de l'entreprise, publication réglementée, impact sur la sûreté ou menace réputationnelle. La gestion de crise réunit dirigeants, juridique, communication et opérations pour prendre des décisions — arrêt, publication, paiement, déclarations publiques — que les intervenants ne peuvent prendre seuls.
Points clés
Autorité de décision prédéfinieLes rôles de crise, les seuils d'escalade, l'autorité de décision et l'approbation des communications doivent figurer dans le plan avant la crise, pas être négociés pendant.
Exercice de la structure entièreJouer en exercice sur table le chemin exécutif et communicationnel, pas seulement la réponse technique — les crises échouent aux interfaces entre équipes, pas à l'intérieur d'elles.
Limite importanteLes plans chorégraphient la réponse ; ils ne prennent pas les décisions. Sous la pression réelle, les lacunes d'autorité, l'exposition juridique et l'information incomplète forcent néanmoins le jugement — la structure existe pour rendre ce jugement informé et responsable.