.svg)
Votre plan de continuité est écrit. Reste à prouver qu'il fonctionne.
Votre auditeur, votre assureur ou votre donneur d'ordre peut vous demander la preuve que ce plan a été joué. Nous concevons et animons un exercice de crise cyber à partir de votre PCA et de votre analyse de risque, puis nous vous remettons le rapport et le procès-verbal qui en font la preuve.
Réserver un point de 20 minutesGratuit et sans engagement.
Ce que votre auditeur vérifie après un exercice
L'auditeur n'assiste pas à la séance. Il lit le rapport et le procès-verbal.
Un test daté
ISO 27001 demande un plan de continuité planifié, maintenu et testé. Pour les entités soumises à NIS2, la gestion de crise fait partie des mesures attendues. DORA impose aux entités financières de tester leurs plans de continuité informatique au moins une fois par an. L'auditeur cherche donc une date, un scénario et des constats.
Des scénarios tirés de vos risques
Un PCA qui ne couvre que la panne technique laisse de côté une partie des risques que vous avez vous-même identifiés. En 2026, un auditeur de certification a relevé exactement ce point chez l'un de nos clients. Le scénario de l'exercice part donc de votre analyse de risque.
Un plan d'actions avec un nom sur chaque ligne
Pendant la séance, la cellule bute sur ce que le document ne dit pas : qui décide, qui prévient l'assureur, où trouver le PCA quand le réseau est coupé. Le rapport classe ces écarts par gravité, et chaque action a une échéance et un responsable. Les temps mesurés en séance sont repris à l'exercice suivant pour comparer d'une année sur l'autre.
Ce que comprend le forfait
La méthode est alignée avec le guide de l'ANSSI « Organiser un exercice de gestion de crise cyber ». Comptez quatre semaines au minimum entre la signature et la séance. Les participants n'ont rien à préparer.
Un entretien de 60 minutes avec le RSSI ou le dirigeant : objectifs, composition de la cellule, observateurs, niveau de réalisme.
Le commanditaire remplit un gabarit de collecte avec l'informatique et les métiers : processus critiques, tiers, sauvegardes, PCA. Comptez 1 h 30 à 2 h.
À partir de ce gabarit, de votre PCA et de votre analyse de risque, nous repérons les points de rupture et vous proposons deux ou trois scénarios. Le commanditaire choisit celui qui sera joué à partir d'un résumé qui n'en dévoile pas le déroulé. Les participants ne le connaissent pas à l'avance.
Un pré-test discret : annuaire de crise, accès au PCA hors système d'information, contrat d'assurance, sauvegarde hors ligne.
3 h 30 d'exercice animé, où les événements arrivent au fil de l'eau, puis 30 minutes de débriefing à chaud. Nous ne touchons pas à votre système d'information.
Rapport d'exercice, procès-verbal signable et restitution de 30 minutes à la direction : verdict, constats, trois décisions à prendre.
(palier B)
Votre PCA et votre playbook de crise mis à jour avec les constats de l'exercice et les scénarios de votre analyse de risque.
Le prix
Palier A, exercice de crise : 3 900 € HT. Cadrage, scénario sur mesure, séance animée, rapport, procès-verbal et restitution à la direction.
Palier B, exercice et mise à niveau du PCA : 5 200 € HT. Le palier A, plus la mise à jour de votre PCA et de votre playbook avec ce que l'exercice a montré.
Exercice flash à six mois : 1 500 € HT, réservé aux entreprises qui ont fait un exercice complet. 60 à 90 minutes à distance sur les trois actions principales du plan, avec les mêmes mesures pour comparer.
Pour une séance hors Île-de-France, les frais de déplacement sont refacturés au réel.
Non compris : toute action technique sur votre système d'information (restauration, bascule), la correction des écarts constatés (sauf le PCA et le playbook en palier B), la logistique de la séance (salle, convocations).
Qui anime votre exercice
C'est Thomas Marthely, consultant certifié CISSP, OSCP et ISO 27001 Lead Implementer, qui animera votre séance.
Il a co-organisé et vécu de l'intérieur deux exercices de crise cyber dans une filiale d'un groupe du secteur de l'énergie. Un exercice de démonstration mené sur une entreprise fictive, avec son rapport et son procès-verbal, peut vous être présenté au premier échange.
Les tiers que la cellule doit contacter (assureur, prestataire, journaliste, attaquant) sont joués avec l'aide d'agents IA, et l'animateur relit chaque réponse avant de l'envoyer. La note de cadrage le précise et nous demandons votre accord écrit. Nous ne transmettons que le scénario et les rôles, sans aucune donnée personnelle réelle.
Questions fréquentes
Quelle différence entre un exercice de crise et un test de reprise ?
L'exercice de crise teste les décisions : mobilisation de la cellule, escalade, arbitrages, communication. Le test de reprise vérifie qu'une sauvegarde se restaure dans les délais prévus. Un exercice sur table ne prouve pas qu'une restauration fonctionne. Si vous en avez besoin, le test de reprise s'ajoute à l'exercice en module complémentaire, exécuté par votre équipe informatique et observé par nous.
Combien de temps mobilise la séance ?
Quatre heures pour les participants : 3 h 30 d'exercice et 30 minutes de débriefing. Le scénario reste confidentiel jusqu'au début, pour que l'exercice mesure leurs réactions réelles.
Nous l'avons déjà fait en interne. Qu'apporte un animateur externe ?
Vos équipes ne connaissent pas le déroulé, l'observateur n'est pas juge et partie, et le procès-verbal peut être présenté à un tiers.
Nos données sortent-elles de l'entreprise ?
Vous nous transmettez le gabarit de collecte et votre PCA. Le gabarit ne demande ni mot de passe, ni adresse IP, ni nom de personne. Les noms réels restent chez SecuredShift : les supports de séance, et ce qui est confié aux agents IA, utilisent des noms fictifs. Le rapport et le procès-verbal sont établis à votre nom, puisqu'ils servent de preuve. L'attaque est décrite par ses tactiques, sans aucun élément technique exploitable.
Peut-on rejouer l'exercice l'année suivante ?
Oui. L'exercice suivant change de scénario et reprend les mêmes mesures, ce qui permet de voir ce qui a progressé. Entre les deux, l'exercice flash à six mois vérifie les trois actions principales du plan.
Et si nous n'avons pas encore de PCA ?
L'exercice s'appuie sur votre plan et votre analyse de risque. Sans PCA, il faut d'abord l'écrire, et nous pouvons vous aider à le construire. Dites-le dès le premier échange : nous vous indiquerons ce que cela demande avant tout engagement.
Votre plan de continuité n'a jamais été joué ?
Le premier échange sert à cadrer l'exercice : vos objectifs, votre échéance d'audit, la taille de la cellule. Il est gratuit, et le prix vous est donné avant tout engagement.
Réserver un point de 20 minutesOu par email : contact@securedshift.com