Exercice immersif de crise cyber prévu le 24 mars 2026 à l’initiative de la CCIR

Une attaque informatique qui bloque les outils, des messages qui s’accumulent, des décisions à prendre sous pression, c’est exactement ce que propose l’exercice immersif de gestion de crise cyber organisé à La Réunion. Le rendez-vous est fixé au 24 mars 2026, à l’Office de l’eau Réunion à Saint-Paul, avec un objectif simple, vous mettre en situation pour tester vos réflexes, pas vos intentions.

L’initiative est portée par la CCI Réunion, l’EDIH La Réunion et le CLUSIR ROI. Elle s’adresse aux entreprises, associations et collectivités qui veulent comprendre ce qui se passe vraiment pendant une crise cyber, apprendre à coordonner l’interne et la communication, puis identifier ce qui doit être corrigé pour gagner en résilience. L’inscription est requise et l’événement se déroule sur une journée.

CCI Réunion fixe le scénario le 24 mars 2026 à Saint-Paul

Le cadre est posé, une journée d’exercice immersif, le 24 mars 2026, dans les locaux de l’Office de l’eau Réunion à Saint-Paul. L’idée n’est pas de proposer une conférence de plus, mais une mise en situation structurée, avec des séquences qui obligent à décider, à arbitrer et à communiquer. Sur le terrain, ce type de format sert souvent de révélateur, les procédures existent parfois sur le papier, mais les réflexes, eux, ne s’improvisent pas.

Dans la pratique, une crise cyber ne se limite pas à un poste bloqué. Elle touche les accès, les mots de passe, les outils métiers, la messagerie, parfois la téléphonie, et surtout la capacité à continuer à produire un service. Si vous gérez une association avec des données d’adhérents, une mairie avec des démarches en ligne, ou une PME avec une facturation dématérialisée, le point commun reste le même, l’arrêt brutal fait perdre du temps, de l’argent, et de la crédibilité.

L’exercice est annoncé comme un entraînement à la gestion de crise, pas un audit technique. Cela change la focale, on parle d’organisation, de coordination, de priorités, de communication, et de points d’amélioration. Concrètement, les participants sont amenés à comprendre les mécanismes d’une crise, à coordonner l’organisation interne et la communication, puis à identifier ce qui doit évoluer pour renforcer la résilience cyber. Ce sont des compétences transverses, souvent les plus difficiles à installer.

Il y a un point qui mérite une nuance, un exercice d’une journée ne transforme pas une structure en forteresse numérique. Il peut déclencher une prise de conscience, clarifier les rôles, tester une chaîne de décision, mais il ne remplace ni la sécurisation des systèmes ni la mise à jour des procédures dans la durée. Le bénéfice dépendra de ce que vous ferez après, mise à jour des contacts, formalisation des décisions, exercices répétés, et suivi des actions correctives.

EDIH La Réunion vise la maturité numérique et la résilience des organisations

L’événement s’inscrit dans une logique de montée en compétence pilotée par l’EDIH, avec un axe clair, renforcer la maturité numérique et la résilience cyber des organisations réunionnaises. Ce positionnement est important, parce qu’une crise cyber n’est pas seulement un sujet informatique. Elle concerne la direction, les métiers, les ressources humaines, la communication, et parfois le juridique. Si l’exercice réussit, il doit faire parler tout le monde autour de la même table, au même moment.

Dans un scénario réaliste, la première heure est souvent la plus confuse. Qui a le droit de couper un service, qui décide de prévenir les clients, qui contacte les prestataires, qui conserve les preuves, qui s’assure que l’activité minimale continue. L’exercice immersif sert à tester ces points de friction. Un participant peut se retrouver à gérer un flux d’informations contradictoires, un autre à répondre aux demandes internes, pendant que la direction cherche une vision d’ensemble.

Pour illustrer, imaginez une collectivité dont le portail usagers devient inaccessible un matin, puis la messagerie interne se met à dysfonctionner. Les équipes techniques veulent isoler des segments réseau, mais les services métiers réclament le retour immédiat des outils, et la communication reçoit déjà des sollicitations externes. Le but n’est pas de jouer au héros, c’est de structurer, d’identifier le niveau de crise, de décider un mode dégradé, puis de garder une trace des décisions.

Un responsable informatique, présenté ici sous le prénom de Marc, résume souvent ce que ce type d’exercice met en lumière, on pensait avoir un plan, mais on n’avait pas la bonne liste de numéros, ni la bonne hiérarchie de décisions. Ce retour est banal, et c’est précisément l’intérêt, détecter les angles morts avant l’incident réel. Le risque, si l’organisation s’arrête à la journée d’exercice, est de retomber dans la routine, sans mise à jour des procédures ni entraînement régulier.

CLUSIR ROI met l’accent sur la coordination et la communication de crise

La présence du CLUSIR ROI donne une couleur très opérationnelle à l’exercice, avec un accent sur la coordination et la communication en situation dégradée. Dans une crise cyber, la technique ne suffit pas, parce que l’incident devient très vite une affaire de gestion de priorités, d’arbitrage, et de messages. Dire quoi, à qui, quand, et sur quel canal, ce sont des décisions qui engagent l’organisation, et qui peuvent limiter les dégâts ou les amplifier.

Un point revient dans les retours d’expérience, la communication interne est souvent le premier maillon fragile. Si les salariés apprennent la crise par des rumeurs, ou si les consignes changent toutes les vingt minutes, la perte de contrôle s’installe. L’exercice doit donc tester des messages simples, des points de situation réguliers, et une chaîne de validation. Dans une PME, cela peut passer par un canal alternatif, dans une collectivité, par une cellule dédiée.

La communication externe est tout aussi délicate. Il faut informer sans paniquer, reconnaître sans surpromettre, et éviter de diffuser des détails qui compliquent la remédiation. Dans un scénario d’exercice, on peut vous pousser à gérer une demande de presse, des appels de partenaires, ou des interrogations d’usagers. L’intérêt est de travailler une posture, factuelle, cohérente, et alignée avec les décisions techniques. Une parole mal calibrée peut générer une crise réputationnelle qui dépasse l’incident initial.

Marc, qui intervient parfois dans des ateliers de sensibilisation, insiste sur un point concret, si tu ne sais pas qui parle au nom de l’organisation, tu perds une heure, et cette heure coûte cher. C’est une critique simple, mais utile, beaucoup de structures n’ont pas de porte-parole identifié en cas de cyberattaque, ni de trame de messages prête. L’exercice peut faire émerger ce besoin, à condition de le transformer ensuite en procédure et en entraînement.

REMPAR25 coordonné à La Réunion illustre l’intérêt des cellules de crise

La dynamique locale ne sort pas de nulle part. À La Réunion, l’exercice national REMPAR25, d’origine ANSSI, a déjà montré l’intérêt de tester des réflexes collectifs en situation de crise fictive mais réaliste. Ce type de scénario met sous tension la continuité d’activité, et révèle une réalité, la réponse ne se joue pas uniquement dans la salle serveur. Elle se joue dans la capacité à activer une cellule de crise, à partager l’information et à décider vite.

Lors de REMPAR25, plusieurs cellules de crise locales ont été activées, mobilisant des profils variés, décision, numérique, juridique, finances, ressources humaines, communication. Ce mélange est essentiel, parce que chaque fonction porte une partie de la solution. Le numérique isole et restaure, le juridique encadre, les finances évaluent l’impact, les RH gèrent l’organisation du travail, la communication structure le discours. Si une seule brique manque, la réponse se déséquilibre.

La comparaison entre REMPAR25 et l’exercice organisé avec la CCIR est intéressante, l’un s’inscrit dans un cadre national, l’autre vise un public territorial large, entreprises, associations, collectivités. Dans les deux cas, l’objectif est de confronter les organisations à la complexité réelle. Une crise cyber, c’est une succession d’injections, une information partielle, des décisions à impact, et une fatigue qui s’installe. L’exercice immersif cherche précisément à reproduire ce stress sans les dommages.

Un autre enseignement mis en avant dans ce type de journée, c’est la coopération. Le message est clair, aucune organisation n’est seule face au risque, et l’écosystème local peut aider à structurer une réponse. La nuance, c’est que la coopération ne fonctionne que si les contacts existent avant la crise. Si vous découvrez vos interlocuteurs le jour J, vous perdez du temps. L’exercice est donc utile comme point de départ, mais il doit déboucher sur des liens concrets et maintenus.

Les exercices type Bureau Veritas et kits santé montrent une montée en puissance

Au-delà de La Réunion, la montée en puissance des exercices de crise cyber est visible dans plusieurs secteurs. Des acteurs comme Bureau Veritas Cybersecurity structurent des ateliers interactifs et des scénarios simulés, avec des formats adaptés au niveau de maturité des organisations. L’approche est pragmatique, il faut savoir qui contacte qui, qui décide, quels rôles sont attribués, et comment l’équipe de crise fonctionne. Ce type de méthode a le mérite de rendre la préparation mesurable.

Le secteur de la santé illustre aussi cette accélération. Une campagne d’exercices de crise cyber a été déployée en 2023-2024 à grande échelle, avec une enveloppe de 10M et des kits dédiés. Le chiffre donne un ordre de grandeur, plus de 2250 exercices réalisés, couvrant 80% des établissements de santé concernés. Ce volume montre que l’exercice devient un outil de politique publique, pas un simple bonus. L’objectif est la continuité, ici, des soins.

Ce parallèle éclaire l’exercice de la CCI Réunion. Même si les contextes diffèrent, les mécanismes se ressemblent, activation d’une cellule, décisions rapides, communication, continuité d’activité. Une entreprise peut viser la continuité de production, une association la protection des données de ses membres, une collectivité la disponibilité des services aux habitants. Dans tous les cas, le scénario doit forcer à prioriser, ce qu’on restaure d’abord, ce qu’on coupe, ce qu’on reporte, et ce qu’on annonce.

La critique à garder en tête, c’est le risque d’exercice vitrine. Une journée réussie sur le papier ne vaut rien si elle ne s’accompagne pas d’actions, mise à jour des procédures, clarification des responsabilités, tests réguliers, et entraînement des nouveaux arrivants. Marc le dit sans détour, le vrai test, c’est trois mois après, quand tu dois refaire un exercice et que tu vois si les corrections ont été appliquées. C’est là que se joue la crédibilité de la démarche.