Fuite de données : comment communiquer dans les premières heures de la crise

Intermarché, la DGFiP, les infrastructures numériques de l’État… Les fuites de données se sont multipliées en France durant l’été 2026, posant à chaque fois les mêmes questions côté communication. Faut-il attendre de connaître l’ampleur exacte d’un incident avant de s’adresser à ses clients, ou vaut-il mieux communiquer sur des faits établis, quitte à rester dans l’incertitude ? Pour y répondre, nous avons interrogé Asmaa Nesbane, consultante indépendante en cybersécurité, gestion de crise et résilience. Elle détaille pour BDM les bonnes pratiques à adopter, et les actions à éviter, après la découverte d’une fuite de données.

Asmaa Nesbane, Consultante indépendante en cybersécurité

Asmaa Nesbane est consultante indépendante en cybersécurité, gestion de crise et résilience. Elle accompagne les organisations dans leur préparation aux crises cyber, la continuité d’activité et la sensibilisation, et intervient également dans l’enseignement supérieur.

Comment une entreprise doit-elle aborder les premières heures qui suivent la découverte d’une fuite de données ? Quel est le premier réflexe à avoir côté communication ?

La communication doit être intégrée à la cellule de crise.

En parallèle, une communication interne doit donner des consignes claires :

• Rappeler la confidentialité,
• Préciser que seules les personnes habilitées peuvent communiquer à l’extérieur,
• Indiquer que les collaborateurs seront informés au fur et à mesure.

Enfin, il faut préparer la communication externe en distinguant ce qui est confirmé de ce qu’il reste à vérifier.

Est-il judicieux de communiquer auprès de ses clients avant d’avoir connaissance de tous les faits, ou vaut-il mieux attendre de connaître le périmètre exact, quitte à véhiculer un certain manque de réactivité ?

Il ne faut ni attendre de tout savoir ni communiquer des informations non vérifiées.

L’entreprise peut communiquer sur les faits établis, préciser que les investigations se poursuivent et actualiser ensuite ses informations.

Mieux vaut assumer la position « nous ne le savons pas encore », que de donner une information qui devra être démentie.

Quels sont les éléments à partager, ou à taire, tant que l’enquête technique est en cours ?

Il faut partager les faits confirmés, les conséquences pour les personnes concernées et les mesures à prendre pour se protéger.

À l’inverse, il faut éviter les hypothèses sur l’origine, l’auteur ou le périmètre de l’attaque, ainsi que les détails techniques pouvant compromettre l’investigation.

Comment s’adresser aux clients concernés, sans jargon technique ni ton alarmiste ? Avez-vous des conseils à partager ?

Les recommandations doivent être adaptées à la situation réelle. Inutile de demander un changement de mot de passe si les identifiants ne sont pas concernés.

Le ton doit être factuel, sans minimiser ni dramatiser.

Selon vous, quelle est la personne la plus pertinente pour prendre la parole lorsqu’une fuite de données est avérée ?

Cela dépend de la gravité et du message. Dirigeant, responsable cyber ou DPO (Délégué à la protection des données) peuvent intervenir selon le sujet.

L’essentiel est que les prises de parole soient coordonnées par la cellule de crise et qu’un porte-parole soit clairement identifié.

Quelles sont les erreurs de communication les plus fréquentes que vous avez pu observer après une fuite de données ?

La minimisation trop rapide est une erreur fréquente : annoncer un périmètre limité, puis devoir se corriger quelques jours plus tard.

Le silence prolongé est également risqué, notamment si les clients découvrent l’incident par les médias. Il faut aussi éviter le jargon et les certitudes impossibles à garantir.

Une information incomplète assumée vaut mieux qu’une fausse certitude.

Au-delà du communiqué initial, comment restaurer durablement la confiance de ses clients dans les semaines qui suivent ? Quelles actions sont à privilégier, et lesquelles sont à éviter, d’après vous ?

La confiance ne se restaure pas avec un communiqué, mais par les actions qui suivent.

Il faut continuer à informer, expliquer les mesures correctives et maintenir un point de contact. Il faut aussi éviter les promesses comme « cela ne se reproduira plus ».

L’entreprise doit plutôt démontrer qu’elle a tiré les enseignements de l’incident et qu’elle est mieux préparée.