Mois : mai 2026

Chaque mois, nous partons à la rencontre de professionnels dont le parcours et l’expertise permettent d’éclairer la crise sous un angle singulier. Avec Gaëlle Baldet Ladan, dirigeante de Geodesk, cabinet de courtage spécialisé. Depuis une position unique, à la jonction entre la prévention, la gestion de crise et l’indemnisation, elle dresse un constat lucide, parfois surprenant, sur la façon dont les organisations font face, ou ne font pas face, à la menace informatique.

Un samedi après-midi, une organisation est frappée par une cyberattaque. Les systèmes se bloquent et les données deviennent inaccessibles. Le bon réflexe serait d’appeler immédiatement le numéro d’urgence prévu dans son assurance : celui qui donne accès, à toute heure, aux experts capables de limiter les dégâts dès les premières minutes. Sauf que ce numéro, le responsable ne l’a pas sous la main. Il est en week-end et le document est resté au bureau. Il appelle alors Gaëlle Baldet Ladan qui le retrouve et lui transmet. Deux, peut-être trois heures se sont écoulées.

Cette scène, banale en apparence, dit l’essentiel. L’organisation n’était pas mal protégée sur le papier : l’assurance était en place, une équipe de crise avait été désignée, des procédures avaient été rédigées. Pourtant, un simple détail négligé a suffi à fragiliser l’ensemble du dispositif. C’est souvent ainsi que les crises révèlent leurs failles : non pas dans les grandes lacunes, mais dans les détails qu’on croyait accessoires. Et c’est précisément dans ces instants-là qu’avoir à ses côtés un interlocuteur qui connaît le dossier, et qui décroche le téléphone un samedi après-midi, change véritablement la donne.

Une spécialiste des risques que personne ne veut voir arriver

Docteure en droit international, Gaëlle Baldet Ladan a racheté Geodesk il y a une dizaine d’années pour une raison simple : « Ce qui m’intéressait, c’était d’aller dans un secteur où il n’y avait pas beaucoup d’acteurs, pour proposer des services qu’on n’a pas souvent sur le marché. » Geodesk travaille à l’international, auprès d’ONG, de fondations et d’entreprises opérant dans des zones de crise ou de conflit. En développant en parallèle une expertise sur les enlèvements et sur les cyberattaques, Gaëlle Baldet Ladan a compris que ces deux types de crise obéissent à la même logique : même urgence, même chaîne de décision, même nécessité d’avoir tout préparé avant que rien ne se passe. Anticiper, accompagner, indemniser : trois piliers valables quel que soit le risque couvert.

L’illusion d’être protégé

Sur le terrain de la cybermenace, Gaëlle Baldet Ladan fait le même constat depuis des années : beaucoup d’organisations savent qu’elles sont exposées, mais trop peu agissent en conséquence. Le raisonnement qu’elle entend le plus souvent ressemble à ceci : « Je suis trop petit pour intéresser les hackers. Mon secteur d’activité n’est pas une cible. J’ai un responsable informatique, j’ai un antivirus, je suis couvert. » Ce sentiment de protection, elle le décrit sans détour comme la première et la plus grande des vulnérabilités : non pas parce qu’il est absurde, il a une certaine logique apparente, mais parce qu’il empêche de passer de la prise de conscience à l’action concrète.

Or la réalité est sans nuance : « La question, ce n’est pas “est-ce que je vais être attaquée”. C’est “quand”. » Les exemples ne manquent pas. Des hôpitaux paralysés pendant des semaines. Des communes dont les services sont bloqués. Des sites de vente en ligne frappés en pleine période de soldes. Des cabinets, des agences, des associations de taille modeste, dont les données ont été volées sans que personne ne s’y soit attendu. Personne n’est hors de portée.

Ce décalage est particulièrement marqué dans deux types de structures. Les petites et moyennes entreprises, d’abord, qui restent souvent démunies face à ce type de crise. Les ONG et fondations, ensuite. Une organisation humanitaire qui collecte des dons en ligne détient des informations personnelles sur ses donateurs, parfois liées à des causes sensibles ou à des zones géographiques à risque. Pour certains acteurs malveillants, ces données ont une valeur réelle. Beaucoup d’ONG n’ont pas encore pleinement intégré cette réalité.

Prévenir, gérer, indemniser : la nouvelle promesse de l’assurance

Il y a encore une quinzaine d’années, le risque cyber n’était qu’une ligne accessoire dans les contrats d’assurance classiques. Progressivement exclu de ceux-ci, il fait aujourd’hui l’objet de contrats entièrement dédiés, signe d’un changement plus profond : ce qu’on attend d’une assurance n’est plus simplement d’être remboursé après un sinistre. Les contrats que Gaëlle Baldet Ladan négocie pour ses clients, qu’il s’agisse de couvrir une cyberattaque ou un enlèvement, reposent tous sur la même architecture en trois temps.

D’abord, la prévention. Avant même qu’une crise survienne, il s’agit d’aider l’organisation à mieux se préparer. Pour le risque cyber, cela passe par la sensibilisation des équipes, la formation aux bons réflexes face aux tentatives de piratage, parfois via des outils de formation en ligne intégrés directement aux contrats. Pour les risques liés aux déplacements en zones sensibles, cela passe par des formations aux comportements à adopter dans des environnements hostiles.

Ensuite, l’accompagnement au moment de la crise. Dès qu’un incident survient, l’organisation dispose d’un numéro d’urgence joignable vingt-quatre heures sur vingt-quatre, sept jours sur sept. Ce sont des experts dont c’est le métier qui répondent : spécialistes techniques en cas d’attaque informatique, gestionnaires de crise spécialisés en cas d’enlèvement. Leur rôle est de guider l’organisation dans les premières décisions : celles qui conditionnent la suite, et qui doivent être prises vite.

Enfin, la prise en charge des coûts. Une crise génère des frais que beaucoup sous-estiment : intervention des experts, honoraires d’avocats, frais de communication, notamment pour informer les clients dont les données ont été exposées, et parfois le montant d’une rançon, que ce soit pour récupérer des données chiffrées ou pour libérer un collaborateur retenu en otage. Ces frais peuvent être couverts par le contrat, dans les limites définies.

Ce que cette approche révèle, c’est une vision de l’assurance comme partenaire de bout en bout, et non plus comme simple filet financier qu’on active après la catastrophe.

Ce qui se joue dans les premières heures

Au-delà du numéro introuvable évoqué en ouverture, ce que Gaëlle Baldet Ladan pointe, c’est une question plus large : qui, dans l’organisation, sait quoi faire, et avec qui ? En théorie, la chaîne est claire. L’organisation appelle le numéro d’urgence, les experts prennent la main, l’assureur et le courtier sont informés en parallèle. En pratique, cette chaîne ne fonctionne que si elle a été préparée, répétée, et si les personnes impliquées se connaissent avant que la crise n’éclate. « L’idée, c’est de pouvoir en amont organiser des échanges entre l’assureur, le gestionnaire de crise et le client, avant même qu’il y ait la crise, de manière à ce qu’ils se connaissent, qu’ils sachent mettre un visage sur un nom. »

Et la communication dans tout ça ? Elle ne vient pas après. Elle fait partie de ces premières décisions. Qui prévient les clients ? Que dit-on en interne avant de s’exprimer vers l’extérieur ? Gaëlle Baldet Ladan en est convaincue : ces arbitrages-là doivent être anticipés au même titre que les gestes techniques. Dans les contrats qu’elle négocie, elle veille à ce que les frais liés à la communication de crise soient inclus dans la couverture, y compris la possibilité de faire appel au cabinet avec lequel l’organisation travaille déjà plutôt qu’à celui que l’assureur recommande par défaut. En pleine crise, on ne change pas d’interlocuteur de confiance.

Ce qu’on apprend après, et pourquoi ça compte autant

Gaëlle Baldet Ladan accompagne systématiquement ses clients dans ce qu’on appelle le retour d’expérience : un bilan structuré mené après chaque incident pour comprendre ce qui a fonctionné et ce qui a failli. Les bons numéros étaient-ils disponibles ? L’information a-t-elle circulé au bon moment ? Le contrat a-t-il vraiment couvert ce qu’il était censé couvrir ?

Ce bilan a aussi une portée contractuelle que beaucoup ignorent. Après une crise, l’assureur peut formuler des recommandations : former les équipes, mettre à jour certaines procédures, changer des habitudes numériques risquées. Si elles ne sont pas suivies et qu’une nouvelle attaque survient, il sera en droit de revoir les conditions du contrat, voire d’en rendre le renouvellement économiquement intenable. Ce n’est pas une sanction : c’est une logique qui aligne les intérêts dans le bon sens, le client a tout intérêt à ne pas subir une deuxième crise, et l’assureur à ce que son client soit mieux protégé.

Ce que l’assurance ne peut pas réparer : la confiance

Il existe pourtant un domaine où même les contrats les plus complets atteignent leurs limites : la confiance. Quand une organisation est victime d’une cyberattaque, elle ne fait pas seulement face à un problème technique : elle traverse aussi une crise de réputation. Ses clients, ses partenaires ou ses donateurs apprennent que leurs données ont peut-être été exposées. On peut évaluer une perte de chiffre d’affaires, chiffrer un arrêt d’activité, mais on ne peut pas mettre un prix sur la confiance perdue.

C’est pourtant là que se joue souvent l’impact le plus durable d’une cyberattaque. Gaëlle Baldet Ladan est directe : « Mieux vous allez communiquer, plus vous allez avoir d’actions de communication mises en place pour rassurer vos clients, moins vous allez avoir de perte de confiance. » La communication n’est pas un vernis qu’on applique après la crise. C’est un levier opérationnel à part entière, avec ses propres règles : parler en interne avant de parler à l’extérieur, choisir avec soin qui prend la parole, à qui et dans quel ordre. Ces choix peuvent transformer une crise en démonstration de sérieux. Mal faits, ils aggravent une situation déjà difficile.

Pour conclure : faire de l’assurance un réflexe de crise

Ce que le regard de Gaëlle Baldet Ladan invite à comprendre, c’est que la cybermenace n’est pas d’abord un problème informatique. C’est un problème de préparation humaine et organisationnelle, et à ce titre, elle obéit aux mêmes règles que n’importe quelle autre crise.

Pour les organisations qui travaillent à se préparer, l’enjeu est donc de ne pas traiter l’assurance cyber comme une formalité administrative réglée une fois pour toutes. C’est un dispositif vivant, qui suppose des relations construites en amont, des procédures testées, des équipes formées, et une communication pensée avant même que la crise n’éclate.

À rebours d’une vision encore trop répandue qui délègue la question à la direction informatique et s’arrête là, Gaëlle Baldet Ladan rappelle qu’une organisation ne traverse une crise cyber qu’à travers des individus qui doivent décider vite, coordonner des acteurs multiples et maintenir la confiance de ceux qui les regardent faire. Aucun contrat, aussi bien rédigé soit-il, ne peut remplacer cette préparation-là.

Un contexte qui accroît l’exigence des parties prenantes

En matière de cyber, le sujet n’est pas de convaincre que la menace existe. En 2024, la CNIL a reçu 5 629 notifications de violations de données personnelles, soit 20 % de plus qu’en 2023. Plus significatif encore, cette même année, le nombre de violations touchant plus d’un million de personnes a doublé en France. Dans le même temps, Cybermalveillance.gouv.fr a enregistré 5,4 millions de visiteurs uniques et plus de 420 000 demandes d’assistance en 2024, en forte hausse. À l’échelle internationale, 72 % des organisations interrogées par le World Economic Forum déclarent constater une augmentation de leurs risques cyber.

Le risque de cyber-attaque n’est donc plus un angle mort, et c’est précisément ce contexte qui change la nature de ces crises. Par exemple, à force de fuites de données et de campagnes d’hameçonnage, les victimes (clients, des salariés, des usagers, des partenaires, etc.) supportent de moins en moins les messages tardifs, flous ou purement formels. Parce qu’une fuite peut déboucher sur du phishing, de l’usurpation d’identité, de la fraude ou une perte de maîtrise des données, les organisations sont attendues sur leur capacité à expliquer la situation, à l’assumer, à accompagner les publics concernés et à leur donner rapidement des repères concrets.

En ce sens, la crise cyber est donc plus que jamais une affaire de perception. Elle se joue autant dans ce qui est techniquement arrivé que dans la manière dont cette réalité est perçue, comprise et jugée par les parties prenantes.

La communication de crise cyber : point de jonction entre choc immédiat et temps long

Dans ce contexte, la communication joue un rôle très important : elle devient la traduction publique de la réponse opérationnelle, et parfois la condition même de sa crédibilité.

En cas de cyber-attaque, une organisation peut très bien enclencher les bons réflexes opérationnels, mobiliser ses équipes, isoler les systèmes touchés, lancer les investigations et renforcer ses contrôles ; si, dans le même temps, ses parties prenantes ont le sentiment de ne rien comprendre, de n’être ni informées ni accompagnées, la crise change immédiatement de nature. Elle devient aussi une crise de confiance.

Or, en cyber-attaque, la crise se joue sur deux temporalités qu’il faut réussir à articuler. D’un côté, les effets de l’attaque peuvent être immédiats : services indisponibles, outils perturbés, inquiétude des victimes, pression médiatique et multiplication des sollicitations. De l’autre, le temps de l’investigation puis de la remédiation est, lui, beaucoup plus long. Les analyses techniques ont des délais incompressibles, la compréhension de l’incident se construit progressivement, et le rétablissement complet peut prendre plusieurs semaines, voire plusieurs mois.

Toute la difficulté est là : répondre à une attente immédiate alors même que les certitudes techniques se stabilisent lentement. Dans ce cadre, la bonne communication ne consiste pas à prétendre tout savoir, mais à rendre lisible une organisation qui agit avec méthode, hiérarchise ses priorités et accompagne ses parties prenantes dans la durée, malgré l’incertitude.

Le cas du ministère néerlandais des Finances illustre bien cette tension. En mars 2026, le ministère néerlandais des Finances a révélé qu’un accès non autorisé avait visé plusieurs de ses systèmes internes. Dans son premier message public, le ministère a bien reconnu l’incident, indiqué qu’une enquête était en cours et précisé que les systèmes concernés avaient été bloqués. En cela, le premier message attestait d’une réaction opérationnelle réelle. Mais la séquence est ensuite restée suspendue à ce seul communiqué, sans mise à jour publique complémentaire, sans véritable explicitation du périmètre, sans accompagnement concret sur les conduites à tenir, ni effort visible pour répondre aux interrogations croissantes des parties prenantes.  En l’absence du lien entre ces deux temps, le message initial ne rassure pas ; il fige au contraire l’incertitude et ce vide devient vite un facteur aggravant à part entière.

À l’inverse, le cas d’ImmoJeune permet de montrer ce qu’une première prise de parole utile peut produire lorsqu’elle est pensée pour les utilisateurs potentiellement touchés. Le 5 mars 2026, des rumeurs de fuite ont commencé à circuler en ligne autour d’un piratage supposé de la plateforme spécialisée dans le logement étudiant, et c’est dans ce contexte qu’ImmoJeune a adressé, à la mi-avril 2026, soit environ un mois et demi plus tard, un mail à ses utilisateurs pour expliquer l’incident, préciser le périmètre des données potentiellement exposées et détailler les premières mesures engagées.

Sans prétendre lever d’emblée toutes les incertitudes, cette première prise de parole a le mérite de rendre la situation lisible : elle explique de manière pédagogique l’origine de l’incident, précise le périmètre des données potentiellement concernées, indique les premières mesures engagées, formule des recommandations concrètes et prévoit des dispositifs d’accompagnement.

Là où le ministère néerlandais a laissé l’incertitude s’installer, ImmoJeune a cherché d’emblée à donner des repères utiles aux victimes potentielles et à faire de sa communication la vitrine visible de la gestion de crise. Cet exemple montre donc qu’une bonne communication de crise cyber ne consiste pas à tout savoir d’emblée, mais à donner à voir, dès le premier message, une organisation qui informe, agit et prend ses responsabilités.

Pour autant, la qualité d’un premier message ne suffit pas à elle seule. Tout l’enjeu reste ensuite de tenir dans la durée et c’est précisément dans cet effort de continuité que réside le point névralgique d’une bonne communication de crise cyber : il s’agit de témoigner de sa présence tout au long des investigations, d’actualiser les repères à mesure qu’ils se stabilisent, d’accompagner les victimes ou les publics exposés, et de rendre lisible la posture de responsabilité de l’organisation.

D’autant plus qu’en matière de cyberattaque, une communication insuffisante ou trop formelle n’affaiblit pas seulement la confiance : elle peut aussi exposer l’organisation à un risque juridique et réglementaire supplémentaire. À cet égard, le cas de Free est particulièrement éclairant. En janvier 2026, la CNIL a sanctionné Free Mobile et Free à hauteur de 42 millions d’euros après une violation de données concernant 24 millions de contrats d’abonnés. Au-delà des manquements de sécurité relevés, l’autorité a estimé que l’information adressée aux personnes concernées ne leur permettait pas de comprendre directement les conséquences de la violation ni les mesures à mettre en place pour se protéger.

En cela, la communication de crise n’est pas un sujet secondaire de la crise cyber. Elle est l’un des lieux où se décide, très concrètement, sa portée réputationnelle et réglementaire.

Anticiper et préparer la communication pour mieux traverser l’incertitude

C’est précisément pour cette raison que la communication de crise cyber ne peut pas être improvisée. La capacité à parler juste, tôt et utilement se construit bien avant l’incident, car l’anticipation permet justement de réduire le risque de décrochage entre le temps immédiat du choc et le temps beaucoup plus long de l’investigation et de la remédiation.

Cela suppose d’avoir déjà identifié les parties prenantes prioritaires, les attentes spécifiques de chacune, les points d’attention réglementaires, les canaux mobilisables si les outils habituels sont dégradés, ainsi que les scénarios dans lesquels l’organisation devra choisir entre une posture plus proactive ou plus réactive.

En ce sens, l’anticipation constitue un levier de maîtrise de l’escalade, en limitant le risque que l’incertitude initiale se transforme en mise en cause réputationnelle, médiatique, voire juridique.

Mais cette préparation n’a de valeur que si elle est régulièrement éprouvée. L’entraînement est ici essentiel, car la difficulté d’une crise cyber ne tient pas seulement à la technicité des faits : elle tient aussi à la pression, à la fragmentation des informations, à la rapidité des sollicitations et à la charge émotionnelle qu’elle fait peser sur les équipes comme sur les victimes. Travailler des scénarios, tester des messages d’attente, simuler des sollicitations médias, anticiper des réactions sur les réseaux sociaux ou confronter les équipes techniques, juridiques, opérationnelles et communicationnelles à des évolutions défavorables permet, le jour venu, de réduire l’écart entre ce que l’organisation fait réellement et ce que ses parties prenantes en perçoivent.

L’intérêt est d’autant plus fort lorsqu’ils s’inscrivent dans une dynamique d’amélioration continue. Les retours d’expérience sont, à cet égard, indispensables : ils permettent d’identifier les angles morts, d’ajuster les postures, de faire évoluer les dispositifs et de maintenir les équipes en vigilance sur un risque dont les formes, les attentes et les effets évoluent rapidement.

Pour conclure : en cyber, la communication comme vitrine de la gestion de crise

Au fond, c’est probablement là que se situe aujourd’hui l’enjeu central. Dans un environnement où les cyber-attaques se répètent et où les attentes des parties prenantes se durcissent, la qualité de la réponse ne se mesure plus seulement à l’aune de la remédiation technique. Elle se juge aussi dans la capacité de l’organisation à rendre sa gestion de crise lisible, cohérente et crédible au moment même où l’incertitude est la plus forte.

Parce qu’elle reste la vitrine de la gestion de crise, la communication doit montrer non seulement qu’une réponse opérationnelle existe, mais qu’elle se poursuit, qu’elle protège et qu’elle prend en compte ceux qui en subissent les effets, au moment même où l’incertitude est la plus forte.

En cela, la communication est l’un des lieux où se joue la confiance, où se manifeste la responsabilité de l’organisation, et où peuvent se cristalliser ou se contenir les risques réputationnels et réglementaires.

C’est pourquoi elle doit être pensée comme une composante à part entière de la préparation à la crise cyber car, bien conduite, elle ne se contente pas de limiter la défiance ; elle peut aussi transformer la crise en opportunité.