# Contacts d'urgence : qui faut-il prévenir, et quand ?

> Contacts d'urgence pour incidents informatiques : qui y figure, qui prévenir et quand, quelles informations préparer et comment garder la liste à jour.

Source : https://phpsos.de/fr/blog/notfallkontakte-liste/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** une liste de contacts d'urgence informatiques indique, pour chaque rôle, une personne avec sa suppléance, son accessibilité en dehors des heures de bureau, le motif pour lequel elle est prévenue et les informations à avoir sous la main lors de l'appel. Elle existe sur papier et sur un appareil distinct, est testée régulièrement et comprend aussi les autorités soumises à des délais de notification. Ainsi, en cas de crise, aucun temps n'est perdu à chercher.

## Le numéro que personne n'a

Un vendredi soir, la boutique affiche d'étranges redirections, l'administrateur a un soupçon. Que faire maintenant ? Appeler l'hébergeur, mais quel numéro vaut en dehors des heures de bureau, et de quel numéro de client a-t-on besoin ? L'agence, mais qui a accès au serveur chez eux ? L'assurance, mais où trouver le numéro de police ? Et qui décide de couper la boutique du réseau ?

De nombreuses entreprises connaissent ces moments, et la semaine de PHP2Shell les a multipliés. Le plan d'urgence existe idéalement, mais la liste de contacts qu'il contient est souvent le maillon faible : périmée, incomplète ou enregistrée uniquement sous forme numérique sur le système même qui n'est justement pas disponible. La structure du plan dans son ensemble est décrite dans [Établir un plan d'urgence informatique pour les serveurs web](https://phpsos.de/fr/compliance/notfallplan-erstellen/). Ici, il s'agit de la liste elle-même.

## Qui doit figurer sur la liste des contacts d'urgence ?

Le tableau suivant classe les contacts typiques selon le motif pour lequel ils sont prévenus et indique ce qu'il faut avoir sous la main lors du premier contact.

| Contact | Quand prévenir | Ce qu'il faut préparer |
|---|---|---|
| Cellule de crise (souvent la direction) | à tout soupçon d'incident | brève situation, première évaluation |
| Responsables informatiques et administrateurs | immédiatement, pour l'examen technique | systèmes concernés selon l'inventaire |
| Hébergeur (canal d'urgence) | en cas de soupçon sur le serveur, pour une coupure ou les journaux | numéro de client, numéro de contrat, mot de passe du support |
| Agence ou développeur | si l'application est concernée | nom du projet, accès, interlocuteur |
| Prestataire de sécurité informatique | en cas d'intrusion confirmée ou probable | observations jusqu'ici, horodatages |
| Délégué à la protection des données | dès que des données personnelles pourraient être concernées | types de données, période, systèmes |
| Cyberassurance | selon les conditions de la police, le plus souvent tôt | numéro de police, voie de déclaration de sinistre |
| Conseil juridique | en cas d'obligations de notification, d'extorsion, de questions de responsabilité | état des faits, mesures prises jusqu'ici |
| Autorité de contrôle de la protection des données | en cas de violation de données à notifier, si possible dans les 72 heures | informations selon l'art. 33, par. 3 du RGPD |
| Point de contact central Cybercrime (ZAC) | pour porter plainte pour une infraction | preuves, chronologie |
| BSI | en cas d'obligation de notification au titre de NIS2 | selon les exigences du BSI |
| Communication | avant toute information vers l'extérieur | faits validés |

Vous trouvez le point de contact central Cybercrime (ZAC, Zentrale Ansprechstelle Cybercrime) compétent auprès de la police de votre Land ; le déroulement du dépôt de plainte est expliqué dans [Porter plainte : les points de contact centraux Cybercrime](https://phpsos.de/fr/compliance/anzeige-polizei-zac/). Les délais et obligations que les assurances fixent typiquement sont décrits dans [Cyberassurance : ce qui compte en cas de sinistre](https://phpsos.de/fr/compliance/cyberversicherung/).

## Ce que doit contenir chaque entrée

Un nom et un numéro de téléphone ne suffisent pas. Une entrée complète répond à six questions :

1. **Rôle :** de quoi la personne est-elle responsable, que peut-elle décider ?
2. **Nom et suppléance :** qui prend le relais si la première personne n'est pas joignable ?
3. **Accessibilité :** téléphone, y compris mobile, et une seconde voie. Le numéro vaut-il aussi la nuit et le week-end ?
4. **Déclencheur :** à quel événement cette personne est-elle prévenue ?
5. **Légitimation :** numéro de client, numéro de contrat, mot de passe du support, pour que l'appel n'échoue pas à la vérification d'identité.
6. **Date :** quand l'entrée a-t-elle été vérifiée pour la dernière fois ?

Le point 5 est particulièrement sous-estimé. Les hébergeurs et registraires vérifient au téléphone si l'appelant est habilité, et ils ont raison. Celui qui doit d'abord chercher le mot de passe client perd un temps précieux. Conservez ces informations en lieu sûr, mais de manière que la cellule de crise puisse y accéder en cas de crise.

> **Astuce:**
> Reprenez les numéros de téléphone des prestataires dans le contrat ou sur le site officiel, jamais dans un e-mail. Les fraudeurs exploitent volontiers les situations de sécurité connues pour envoyer de faux messages avec des « numéros d'urgence ».

## L'ordre en cas de crise

Tous les contacts ne sont pas nécessaires en même temps. Une démarche échelonnée a fait ses preuves : d'abord la cellule de crise et la technique, afin qu'une première évaluation voie le jour et qu'on décide de l'endiguement. Ensuite l'hébergeur, l'agence et le prestataire de sécurité pour le travail technique. Dès que des données personnelles pourraient être concernées, le délégué à la protection des données, car le délai de l'art. 33 du RGPD court à partir du moment où la violation est connue. L'assurance et le conseil juridique suivent tôt, avant que des décisions importantes ne soient prises. La communication vers l'extérieur vient en dernier et uniquement avec des faits validés.

Les étapes qui suivent la première alerte sont résumées dans la [liste de contrôle après un piratage](https://phpsos.de/fr/ratgeber/checkliste-nach-dem-hack/). Cette page donne des indications générales ; les obligations de notification et les questions juridiques se clarifient avec le délégué à la protection des données et un avocat.

Prévoyez en outre une seconde voie de communication. Si le serveur de messagerie est touché ou si l'on soupçonne qu'un attaquant lit des boîtes de réception internes, la concertation doit passer par un canal distinct, par exemple par téléphone ou via un groupe créé à l'avance sur un autre service. Définissez ce canal à l'avance et intégrez-le à la liste. Chercher une nouvelle voie en pleine crise coûte du temps et crée une incertitude sur l'authenticité des messages.

## Garder la liste vivante

Les listes de contacts se périment en silence. Des collaborateurs changent, des prestataires modifient leurs numéros d'urgence, des contrats arrivent à échéance. Prévoyez donc deux dates de vérification fixes par an et une date de circonstance à chaque changement. Un bref appel de test en dehors des heures de bureau montre de la manière la plus fiable si un canal d'urgence fonctionne réellement. Demandez aussi à cette occasion si la personne sait qu'elle figure sur la liste et ce que l'on attend d'elle en cas de crise.

## Comment PHP SOS aide-t-il concrètement ?

- Nous établissons avec vous la liste des contacts d'urgence techniques et vérifions si les hébergeurs et les agences disposent réellement d'un canal d'urgence.
- Nous définissons quelles informations doivent être disponibles pour chaque contact, afin qu'un appel produise immédiatement son effet.
- Nous accompagnons un test d'alerte et intégrons les lacunes constatées dans vos documents.
- En cas de crise, nous figurons sur votre liste comme interlocuteur technique via la [réponse aux incidents](https://phpsos.de/fr/leistungen/incident-response/).

**Conclusion :** une bonne liste de contacts est courte, complète et testée. Elle détermine si les premières heures d'un incident se passent à agir ou à chercher.


## Questions fréquentes

**Qui doit figurer sur une liste de contacts d'urgence informatiques ?**  
En interne la direction, l'informatique, le délégué à la protection des données et la communication ; en externe l'hébergeur, l'agence, le prestataire de sécurité informatique, la cyberassurance, le conseil juridique, l'autorité de contrôle de la protection des données compétente et le point de contact central Cybercrime (ZAC) du Land concerné, ainsi que le BSI en cas d'obligation au titre de NIS2.

**Où conserver les contacts d'urgence ?**  
À deux endroits au moins, dont l'un est accessible sans votre propre informatique, par exemple imprimé dans le classeur d'urgence et sur un appareil distinct. Une liste qui ne se trouve que dans la messagerie ou sur le serveur touché n'est pas disponible en cas de crise.

**À quelle fréquence faut-il vérifier la liste ?**  
Au moins deux fois par an et après chaque changement de personnel ou de prestataire. Un bref appel de test montre si les numéros sont exacts et si les personnes savent qu'elles figurent sur la liste.

**L'autorité de protection des données doit-elle toujours être informée ?**  
Pas pour chaque incident. L'art. 33 du RGPD exige une notification en cas de violation de la protection des données à caractère personnel, si possible dans un délai de 72 heures, sauf si elle n'est vraisemblablement pas susceptible d'engendrer un risque pour les personnes concernées. L'évaluation se fait avec le délégué à la protection des données ; cette page ne constitue pas un conseil juridique.

## Sources

- [RGPD, art. 33 (texte allemand : DSGVO)](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Police : liste des ZAC (points de contact Cybercrime)](https://www.polizei.de/)
- [BSI](https://www.bsi.bund.de/)