Stress-tests de résilience, trouver les limites avant l'attaquant

Un plan ne révèle sa valeur qu’au moment où il cède. Mieux vaut choisir ce moment que le subir.

Le 18 septembre 2025, près de 5 680 professionnels issus de 1 263 organisations ont vécu la même matinée. Une mise à jour d’un outil de sécurité très répandu avait été piégée une semaine plus tôt. À 5 heures, heure simulée, les données commençaient à s’effacer.

C’était un exercice : REMPAR25, organisé par l’ANSSI. Son retour d’expérience, publié en décembre, contient un constat que chaque comité des risques devrait relire. Les PCA existent, mais ils sont souvent méconnus des équipes, jamais éprouvés ou mal ajustés à la réalité d’une crise.

L’épisode 041 proposait de tenir le PCA comme un ensemble de paris explicites, consignés dans un registre d’hypothèses. Il manquait une étape. Un pari ne se vérifie pas en le relisant. Il se vérifie en le mettant à l’épreuve.

C’est le rôle du stress-test. Pas l’exercice annuel qui confirme que la cellule sait se réunir. L’épreuve qui cherche délibérément le point où l’organisation cesse de tenir.

L’épisode 028 l’avait posé pour l’automatisation : quand les outils tombent, seule une compétence entretenue permet de reprendre la main. La même règle s’applique à l’organisation entière, de la paie aux achats.

👉 La vraie question n’est pas « notre plan fonctionne-t-il ? ». C’est : « à partir de quand cesse-t-il de fonctionner, et qu’est-ce qui lâche en premier ? »

1. Exercice ou stress-test : la répétition et l’épreuve

Le terme vient de la supervision bancaire, où il s’est imposé après la crise de 2008. Les superviseurs ont cessé de demander aux banques si elles étaient solides. Ils leur ont demandé à partir de quel choc elles ne le seraient plus.

La question ne porte plus sur l’état normal. Elle porte sur la limite.

Transposée à la résilience opérationnelle, la nuance change tout. Un exercice vérifie qu’un plan se déroule. Un stress-test cherche l’endroit où il cède. Le premier se réussit. Le second n’est réussi que s’il trouve quelque chose.

Le NIST distingue depuis 2006 l’exercice sur table, où l’on discute d’un scénario, de l’exercice fonctionnel, où l’on exécute réellement rôles et procédures. Les deux formats sont utiles. Aucun n’est un stress-test par nature : tout dépend de la question posée en ouverture.

👉 Un exercice montre que le plan existe. Un stress-test montre où il s’arrête.

2. Postuler l’échec : la méthode de la BCE

En 2024, la Banque centrale européenne a soumis 109 banques à un stress-test de cyber-résilience. Le scénario partait d’un postulat inhabituel : toutes les mesures de prévention avaient échoué, et une cyberattaque avait gravement atteint les bases de données des systèmes cœur.

Ce choix est le plus instructif de l’exercice. Il évacue d’emblée le débat sur la qualité des défenses. La question n’est plus « pouvez-vous l’empêcher ? », mais « comment répondez-vous, et comment repartez-vous ? ».

Vingt-huit banques ont dû aller plus loin : conduire un véritable test de restauration informatique, en apporter la preuve et recevoir les superviseurs sur site. Un test de reprise qui doit être démontré, pas déclaré.

Les conclusions, publiées en juillet 2024, sont mesurées. Les dispositifs de réponse et de reprise existent, mais des marges de progrès demeurent. La BCE attend notamment des scénarios cyber plus variés, le respect par chaque banque de ses propres objectifs de reprise, une meilleure évaluation des dépendances aux prestataires critiques et une estimation sérieuse des pertes.

Relisez le deuxième point. Le superviseur demande à des établissements parmi les plus contrôlés d’Europe de tenir les délais qu’ils se sont eux-mêmes fixés. On peut en déduire que ce n’était pas acquis partout.

Le délai de reprise inscrit dans un PCA est une hypothèse. Le stress-test le transforme en mesure.

👉 Postuler que la prévention a échoué n’est pas du pessimisme. C’est la seule façon de tester ce qui vient après.

3. REMPAR25 : ce qu’un pays a appris en une journée

L’épisode 038 rappelait qu’en juillet 2024, une mise à jour défectueuse d’un éditeur de sécurité avait rendu indisponibles environ 8,5 millions de postes Windows. REMPAR25 a repris cette mécanique en lui ajoutant une intention.

Le scénario de l’ANSSI : un acteur étatique fictif compromet la mise à jour d’un antivirus ou d’un EDR massivement déployé. Exfiltration discrète, puis effacement destructif, puis divulgation progressive des données avec demandes de rançon. Huit rôles autour de la table, du juridique à la finance.

Le retour d’expérience dessine un paysage contrasté. Les réflexes techniques de confinement sont globalement maîtrisés. La communication de crise, l’anticipation et la continuité d’activité, beaucoup moins.

Trois constats méritent l’attention d’un comité de direction :

• La durée n’est pas pensée. La projection de la durée d’indisponibilité et de ses effets sur les modes dégradés est rarement menée.

• Les fonctions support décrochent. Juridique, assurance, achats d’urgence et pilotage économique sont les volets les plus fragiles.

• Les hypothèses ne bougent pas. Même les organisations les plus matures peinent à faire évoluer leurs hypothèses initiales à mesure que la crise progresse.

Ce dernier point rejoint directement l’épisode 041. Une hypothèse posée au départ et jamais revisitée devient un angle mort au moment précis où elle compte.

Un autre constat mérite d’être retenu : les organisations qui s’étaient déjà exercées traitent mieux toutes les thématiques. L’ANSSI reconnaît aussi les limites de son format. La sortie de crise n’a pu être jouée de façon réaliste, faute de temps.

👉 Les organisations savent couper. Elles savent beaucoup moins durer.

4. « Sévère mais plausible » : régler la douleur

L’expression vient du Comité de Bâle. Ses principes de résilience opérationnelle, publiés en mars 2021, demandent aux banques d’éprouver leurs plans de continuité face à un éventail de scénarios sévères mais plausibles. Ils introduisent aussi une tolérance à la perturbation, fixée par la direction.

DORA a traduit cette logique en obligations. Les entités financières doivent tester au moins chaque année leurs plans de continuité TIC, en y incluant des scénarios de cyberattaque et de bascule vers les infrastructures redondantes. Les plus systémiques doivent conduire, au moins tous les trois ans, un test d’intrusion fondé sur la menace.

Hors secteur financier, rien n’impose ce niveau d’exigence. NIS 2 range la continuité et la gestion de crise parmi les mesures attendues, sans dire comment les éprouver. Rien n’interdit de s’inspirer de la finance.

Le calibrage se joue entre deux écueils. Le scénario trop sage rassure et n’apprend rien. Le scénario apocalyptique décourage : si tout tombe, rien ne sert à rien, et le fatalisme gagne la salle.

Quatre curseurs permettent de régler la sévérité sans perdre la plausibilité :

On ne pousse pas les quatre curseurs au maximum dès le premier test. On en pousse un, puis deux, et l’on observe ce qui lâche.

👉 Sévère, pour trouver la limite. Plausible, pour que personne ne puisse l’écarter d’un revers de main.

5. Chercher ce qui casse en premier

Ce qui cède en premier est rarement ce que l’on surveille. Les tableaux de bord suivent les serveurs. La crise, elle, bute sur un annuaire, une signature, une personne en congé.

La méthode tient en une question, répétée à chaque étape du scénario : sans quoi l’étape suivante devient-elle impossible ? On remonte ainsi la chaîne jusqu’au premier maillon qui ne tient pas.

L’épisode 028 demandait si les équipes savaient reprendre la main sur des outils automatisés. Le stress-test pose la même question à la paie, aux achats, au juridique et à la communication.

Huit points de rupture à éprouver en priorité :

• L’annuaire de crise est-il accessible si le système d’information est effacé ?

• La cellule dispose-t-elle d’un canal de communication indépendant de la messagerie habituelle ?

• Qui peut engager une dépense d’urgence, et selon quelle procédure ?

• Le contrat d’assurance cyber est-il connu : qui appeler, sous quel délai, avec quelles conditions ?

• L’ordre de redémarrage des applications est-il décidé avant la crise, ou négocié pendant ?

• Les salaires du mois peuvent-ils être versés sans l’outil de paie ?

• Les prestataires critiques ont-ils un interlocuteur de crise joignable hors heures ouvrées ?

• La personne qui connaît la procédure a-t-elle un suppléant qui l’a déjà pratiquée ?

Chaque « non » ou « je ne sais pas » est un résultat. Il ne s’agit pas de les corriger pendant l’exercice. Il s’agit de les consigner, puis de décider.

👉 Le premier point de rupture n’est presque jamais technique. C’est un numéro de téléphone, une signature, une personne absente.

6. Oser : un stress-test est une décision de direction

Pourquoi tant d’exercices sont-ils conçus pour être réussis ? Parce qu’ils servent souvent de preuve. Preuve pour l’auditeur, pour le régulateur, pour le comité. Un exercice qui échoue produit un rapport inconfortable, et personne ne commande volontiers un rapport inconfortable.

Ce mécanisme a un coût caché. Un stress-test réussi en apparence achète une confiance qui n’existe pas. Il retarde la découverte de la faiblesse jusqu’au jour où elle n’est plus un résultat de test, mais un incident.

C’est pourquoi le stress-test relève de la direction, pas de la seule fonction continuité. Quatre règles le rendent possible :

• Un commanditaire au comité de direction, qui annonce à l’avance que trouver des ruptures est l’objectif.

• Des observateurs indépendants de l’équipe qui a rédigé le plan.

• Aucune recherche de coupable. On cherche des points de rupture, pas des responsables.

• Un budget de remédiation réservé avant le test. L’épisode 038 le formulait pour les tiers : un plan de sortie financé n’est pas un plan seulement rédigé.

Oser ne veut pas dire improviser. Un stress-test ne doit jamais provoquer la crise qu’il simule. Périmètre, conditions d’arrêt et retour arrière se décident avant le premier inject, surtout lorsque des systèmes réels sont sollicités.

👉 Un stress-test qui ne fait pas mal n’est pas un stress-test. Un stress-test dont les résultats ne changent rien n’en est pas un non plus.

7. Se situer : la grille de maturité

La plupart des organisations se situent entre les deux premières colonnes. Ce n’est pas une faute : un exercice « Réactif » vaut mieux que pas d’exercice du tout. Le RETEX de REMPAR25 le confirme, puisque s’exercer, même imparfaitement, améliore tout le reste.

« Natif » ne signifie pas tester en permanence. Cela signifie tester pour apprendre, et non pour rassurer.

👉 Commencez par la ligne « Durée ». C’est la plus simple à faire progresser, et celle que presque personne ne joue.

L’ESSENTIEL POUR AGIR

1. Écrire le scénario que personne ne veut jouer —

Demandez séparément à un responsable métier, au DSI et à l’acheteur principal quel événement ils espèrent ne jamais vivre. Retenez celui qui revient, réglez-le avec les quatre curseurs de la section 4. Vous tenez votre prochain stress-test.

2. Jouer la durée, pas seulement le choc —

Prolongez le prochain exercice au-delà de la première journée, au moins sur table : J+3, J+10, J+21. Qui paie les salaires, qui achète en urgence, qui remplace les absents ? C’est précisément ce que le RETEX de REMPAR25 décrit comme le moins travaillé.

3. Transformer chaque rupture en décision —

Versez chaque point de rupture dans le registre d’hypothèses de l’épisode 041, puis présentez-le au comité des risques. Pour chacun, trois options seulement : corriger, financer, ou accepter explicitement. Une rupture découverte puis classée sans suite redevient un angle mort.

CONCLUSION

Le PCA écrit des promesses. Le stress-test vient les réclamer. Entre les deux se joue la différence entre une organisation qui croit tenir et une organisation qui sait jusqu’où elle tient.

Les superviseurs bancaires ont fait ce choix en postulant l’échec des défenses. L’ANSSI l’a montré à l’échelle d’un pays : les réflexes techniques sont acquis, la durée beaucoup moins.

Reste une limite que même le meilleur stress-test ne franchit pas. Il éprouve des scénarios que quelqu’un a su imaginer. Que se passe-t-il lorsque la faiblesse n’est encore connue de personne, sauf de celui qui l’exploite déjà ?

La résilience ne consiste pas à réussir ses exercices. Elle consiste à connaître son point de rupture avant que quelqu’un d’autre ne le découvre.

Bibliographie

« REMPAR25 — Retour d’expérience de l’exercice de crise d’origine cyber massifié » — ANSSI, version 1.0, décembre 2025

https://cyber.gouv.fr/securisation/gestion-de-crise/entrainement-crise/rempar/rempar25/

Page officielle regroupant le RETEX (PDF en français et en anglais) et le kit complet pour rejouer l’exercice en interne : chronogrammes, grille d’observation, main courante. Source des chiffres et constats de l’introduction et des sections 3, 5 et 7.

« ECB concludes cyber resilience stress test » — Banque centrale européenne, supervision bancaire, 26 juillet 2024

https://www.bankingsupervision.europa.eu/press/pr/date/2024/html/ssm.pr240726~06d5776a02.en.html

Communiqué présentant le scénario (échec de toutes les mesures préventives), le périmètre (109 banques, dont 28 soumises à un test de restauration réel) et les axes d’amélioration attendus. Fonde la section 2.

« Principles for operational resilience » — Comité de Bâle sur le contrôle bancaire (BCBS), 31 mars 2021

https://www.bis.org/bcbs/publ/d516.htm

Sept principes, dont l’exigence d’éprouver les plans de continuité face à des scénarios sévères mais plausibles et la notion de tolérance à la perturbation. Origine de la notion développée en section 4.

« Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) » — Journal officiel de l’Union européenne, 14 décembre 2022

https://eur-lex.europa.eu/eli/reg/2022/2554/oj

Texte officiel. L’article 11 impose des tests au moins annuels des plans de continuité TIC incluant cyberattaques et bascules ; l’article 26 fixe des tests d’intrusion fondés sur la menace au moins tous les trois ans pour les entités désignées. Appui de la section 4.

« Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities » (SP 800-84) — NIST, septembre 2006

https://csrc.nist.gov/pubs/sp/800/84/final

Référence méthodologique sur la conception, la conduite et l’évaluation des tests et exercices, avec la distinction entre exercice sur table et exercice fonctionnel. Appui de la section 1.

« Organiser un exercice de gestion de crise cyber » — ANSSI, 14 octobre 2020

https://messervices.cyber.gouv.fr/guides/organiser-un-exercice-de-gestion-de-crise-cyber

Guide pratique pour construire un exercice, de la définition des objectifs au retour d’expérience, complété par des kits sectoriels. Point de départ concret pour les actions proposées dans « L’essentiel pour agir ».