Communication de criseUne seule voix, des faits vérifiés.
Communication de crise pour l’entreprise touchée par un incident, une cyberattaque ou une violation de données personnelles.
Aller à la section suivante
01Les premières heures
Avant de communiquer, il faut maîtriser le message.
Lorsqu’une cyberattaque, une fuite de données ou un incident grave menace l’entreprise, chaque déclaration peut engager sa réputation et ses relations avec les clients, les salariés et les partenaires. Dans une PME sans responsable de la communication, la rédaction des messages est souvent confiée aux avocats. Leur rôle est essentiel pour sécuriser les déclarations sur le plan juridique, mais une communication de crise exige aussi de savoir quoi dire, à qui, quand et comment.
Interlude accompagne la direction dans ces décisions. Nous coordonnons le travail avec les interlocuteurs juridiques et techniques, distinguons les faits établis des informations encore incertaines et préparons les messages adaptés à chaque public : communiqué de presse, déclaration pour le site, réponses aux clients et aux journalistes, information des salariés. L’objectif est de communiquer avec précision, de préserver la confiance et d’éviter les contradictions au fil de la crise.
-
Qui parle
La direction désigne un porte-parole et définit les personnes habilitées à répondre aux différents publics. Les salariés, les clients, les partenaires et les médias reçoivent des informations adaptées à leurs questions, selon une ligne de communication cohérente.
-
Ce qui est dit
Chaque message repose sur des faits vérifiés et un vocabulaire compréhensible. Les points encore inconnus sont clairement identifiés, sans spéculation ni promesse prématurée. Les messages sont actualisés à mesure que la situation évolue, en coordination avec les équipes techniques et les conseils juridiques.
02L’ordre des décisions
-
Établir les faits
Avec la direction et les responsables techniques, nous distinguons les faits confirmés, les informations encore incertaines et les éléments qui doivent être vérifiés. Cette base commune évite les contradictions et les déclarations prématurées.
-
Identifier les publics
Salariés, clients, partenaires, autorités et médias n’ont ni les mêmes questions ni les mêmes besoins. Nous définissons pour chacun les informations à transmettre, le moment opportun et le canal adapté, en tenant compte des obligations applicables.
-
Construire une communication cohérente
Nous préparons un socle de messages commun, puis adaptons chaque prise de parole à son destinataire. Les faits restent cohérents d’un support à l’autre, tandis que le niveau de détail et le ton varient selon le public. Lorsque des données personnelles sont concernées, la communication est coordonnée avec notre juriste-conseil afin d’articuler les impératifs de clarté, de confidentialité et de conformité.
-
Coordonner avec les équipes techniques
Une communication crédible repose sur une compréhension précise de l’incident. Pour les sites WordPress et les applications sur lesquels notre équipe intervient, nos développeurs contribuent à établir les éléments techniques utiles. Pour les autres systèmes, nous travaillons avec les administrateurs et les spécialistes concernés. La communication s’appuie ainsi sur les informations disponibles, sans se substituer à l’analyse technique ni à la gestion de l’incident.
03Cyberattaque
Violation de données : maîtriser les obligations et la communication
Une cyberattaque peut entraîner une violation de données personnelles et déclencher des obligations précises au titre du RGPD. Pour une PME, il faut alors coordonner rapidement les analyses techniques, les décisions juridiques et les messages adressés aux personnes concernées. Chaque déclaration doit être exacte, compréhensible et cohérente avec les faits établis.
Interlude a accompagné pendant plusieurs années une entreprise spécialisée en cybersécurité et en conformité, notamment en matière de protection des données personnelles, de RGPD et de cookies. Cette expérience nous a confrontés à de nombreuses situations de crise rencontrées par les clients de cette entreprise. Nous savons combien il est essentiel d’articuler les contraintes techniques et réglementaires avec une communication claire, adaptée à chaque public.
- Notifier la CNIL
- Lorsqu’une violation de données personnelles présente un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où il en a pris connaissance. Un retard doit être justifié.¹
- Informer les personnes concernées
- Lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, les personnes concernées doivent également être informées dans les meilleurs délais, sous réserve des exceptions prévues par le RGPD. Le message doit expliquer la nature de l’incident, ses conséquences probables et les mesures prises.²
- Documenter l’incident
- Toute violation doit être documentée en interne, y compris lorsqu’elle ne nécessite pas de notification à la CNIL. Cette traçabilité permet de justifier les décisions prises et les mesures adoptées.³
Interlude accompagne la préparation des messages et leur coordination avec la direction, les équipes techniques et les conseils juridiques. Les obligations de notification et les décisions de conformité restent sous la responsabilité des acteurs légalement compétents.
Repères juridiques :
¹ RGPD, article 33, notification à l’autorité de contrôle.
² RGPD, article 34, communication aux personnes concernées.
³ RGPD, article 33, paragraphe 5, documentation des violations. La définition d’une violation figure à l’article 4, point 12. La directive NIS 2 prévoit par ailleurs des obligations distinctes de signalement des incidents importants pour les entités entrant dans son champ d’application.
04Questions fréquentes
Qu’est-ce que la communication de crise ?
C’est l’organisation des prises de parole lorsqu’un incident menace l’entreprise, sa réputation ou la confiance de ses publics. Il faut établir les faits, désigner les porte-parole, définir les messages et choisir les canaux de diffusion. Interlude accompagne la direction dans ces décisions et prépare les contenus nécessaires, en coordination avec les équipes techniques et les conseils juridiques.
Pourquoi faire appel à Interlude en cas de cyberattaque ?
Dans de nombreuses PME, la communication de crise est confiée à la direction ou aux avocats, faute de responsable de la communication. Les conseils juridiques sécurisent les déclarations, mais la rédaction des messages, leur adaptation aux différents publics et la cohérence des prises de parole nécessitent aussi une expertise en communication. Interlude a accompagné pendant plusieurs années une entreprise spécialisée en cybersécurité et en conformité, notamment sur les enjeux de protection des données et de cookies, et a été confronté à de nombreuses situations de crise rencontrées par ses clients.
Sous quel délai faut-il notifier une violation de données à la CNIL ?
Le responsable du traitement doit notifier la violation dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes. Si toutes les informations ne sont pas disponibles, une notification initiale peut être complétée ultérieurement. Tout retard au-delà de 72 heures doit être justifié.¹
Faut-il informer les personnes concernées ?
Oui, lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, sauf exceptions prévues par le RGPD. L’information doit être formulée en termes clairs et préciser la nature de la violation, ses conséquences probables, un point de contact et les mesures prises ou envisagées.²
Une cyberattaque peut-elle déclencher d’autres obligations que celles du RGPD ?
Oui. Pour les entités entrant dans son champ d’application, la directive NIS 2 prévoit notamment, en cas d’incident important, une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois suivant la notification. Le régime applicable dépend du statut de l’entité et des règles nationales en vigueur. Le conseil juridique doit vérifier les obligations propres à l’entreprise.³
Qui décide des informations à communiquer ?
La direction valide les prises de parole, en s’appuyant sur les informations vérifiées par les équipes techniques et sur les conseils juridiques. Interlude prépare les messages, organise leur cohérence et les adapte aux destinataires. Cette coordination permet d’éviter les déclarations contradictoires, les spéculations et les promesses prématurées.
Comment communiquer lorsque certains faits restent inconnus ?
Il faut distinguer les faits confirmés des éléments encore en cours de vérification. Les messages peuvent préciser ce qui est connu, les mesures engagées et le moment prévu pour une nouvelle information. Ils sont actualisés à mesure que l’enquête technique progresse, sans présenter une hypothèse comme un fait établi.
Interlude intervient-il aussi auprès des clients, des salariés et des médias ?
Oui. Selon les besoins, Interlude prépare les communications destinées aux salariés, aux clients, aux partenaires et aux journalistes : communiqué de presse, message aux clients, information interne, déclaration pour le site ou réponses aux demandes des médias. Chaque contenu est adapté à son public tout en respectant une ligne de communication commune.
Repères juridiques :
¹ RGPD, article 33.
² RGPD, article 34.
³ Directive (UE) 2022/2555, article 23, sous réserve du champ d’application et du régime national applicable.
05Pages liées
- Conseil Un regard extérieur sur votre marketing et votre communication, dans un document écrit avec priorités et plan d’action.
- Accompagnement des dirigeants Dirigeants accompagnés sur les messages, les prises de parole, LinkedIn et la communication interne.
- Marketing cybersécurité Marketing et communication pour qui vend de la sécurité informatique ou exerce dans un secteur régulé.
Une crise est en cours ? Agissons sans attendre.
Cyberattaque, fuite de données ou incident sensible : expliquez-nous brièvement la situation et les publics concernés. Pour une demande classique, nous organiserons un premier échange en visioconférence. En cas d’urgence, contactez-nous directement sur WhatsApp.