On 25 June 2026, ANSSI published its third sector-specific cyber crisis exercise kit, this time for the agri-food industry, following earlier versions for higher education and broadcasting. The choice of sector is not about exceptional exposure: the point is that no organization is immune to attack. The kit offers a scripted scenario with three levels of difficulty, adapted to an organization’s maturity, and ANSSI presents it as a practical way to reduce the impact of an incident through preparation.

That approach has been promoted by the agency for years and remains valuable. Exercising before a crisis helps organizations learn to alert the right people in the right order, use backup tools, and expose weak points in plans that have never been tested — such as outdated contact lists or backups that have never actually been restored. For sectors less accustomed to cyber drills, such as agri-food, that first run-through has real educational value.

But a written exercise has an inherent limit: it ends where the unexpected begins. Real crises do not follow a fixed script. They evolve, combine multiple incidents, and force decisions based on incomplete information. Rehearsing a known case trains teams to follow a procedure, not to abandon it when reality no longer matches the plan.

The key distinction is between crisis procedure and true resilience. A crisis procedure is a documented sequence of actions and contacts; it can be learned and validated through a well-designed exercise. Resilience, by contrast, is the ability to improvise when the procedure is no longer enough — for example, to shut down a production system without waiting for layers of approval. That capability is built over time, not in a single training session.

In practice, the decisive work happens long before the exercise, in day-to-day governance. An executive team that routinely delegates all technical decisions will struggle to improvise under pressure, no matter how many drills it runs. By contrast, an organization used to shortening approval chains enters a real incident with reflexes that no kit can create on its own.

The best-prepared organizations are therefore not necessarily those that have done the most exercises, but those with a short, widely understood decision chain and the habit of communicating internally before every answer is known. These are not elements that appear in a scenario; they are revealed only when the scenario breaks down.

The lesson is not to choose between training and improvisation. Without regular exercises, an organization discovers its weaknesses when they are most expensive. Without the ability to move beyond the script, the exercise remains little more than a well-rehearsed performance. ANSSI’s third sector kit is worth using — but only as a tool, never as a substitute for genuine preparedness.

L’ANSSI publie un troisième kit sectoriel d’exercice de crise cyber, pour l’agroalimentaire. Mais anticiper un scénario écrit ne garantit pas nécessairement de s’en sortir face à un imprévu.

Le 25 juin 2026, l’Agence nationale de la sécurité des systèmes d’information a mis en ligne son troisième kit sectoriel d’entraînement à la gestion de crise cyber, après l’enseignement supérieur et l’audiovisuel. Le secteur visé, cette fois, est l’agroalimentaire, non pour son exposition particulière, mais parce qu’aucune organisation n’est à l’abri d’une attaque.

Le kit propose un scénario calibré et trois niveaux de complexité selon la maturité de l’organisation. C’est une initiative utile : la préparation reste, selon l’agence, une des clés pour limiter l’impact d’une attaque.

Une pédagogie qui a fait ses preuves depuis plusieurs années

Cette démarche n’est pas nouvelle et elle a raison d’être poursuivie. Depuis plusieurs années, l’ANSSI encourage les organisations à s’entraîner avant la crise plutôt que d’improviser pendant. Un exercice prévoit de prévenir les bonnes personnes, dans un certain ordre, avec des outils de secours. Il révèle aussi les angles morts d’un plan resté trop longtemps sur une étagère : un contact obsolète, une sauvegarde jamais testée par exemple.

Pour des secteurs peu habitués à l’exercice cyber comme l’agroalimentaire, ce premier passage a une valeur pédagogique réelle.

Un scénario écrit qui s’arrête où commence l’imprévu

Un exercice de crise suit toujours un scénario écrit à l’avance, avec une fin prévue. Cette structure est nécessaire pour former, mais elle a une limite intrinsèque : la vraie crise ne prévient pas de son scénario. Elle change de nature en cours de route, mêle plusieurs incidents à la fois, et oblige à décider avec une information incomplète.

Rejouer un cas connu entraîne à suivre une procédure, pas à s’en écarter quand elle ne correspond plus à la réalité.

Une frontière sépare l’entraînement de la préparation réelle

Deux choses, souvent confondues, méritent d’être distinguées. Une procédure de crise met en place des procédures, un ordre à suivre dans les actions à mener tout comme dans les personnes ressources à solliciter ; elle s’apprend, se documente, et un exercice bien conçu suffit à la vérifier.

Une organisation résiliente, elle, se mesure à sa capacité à improviser quand la procédure ne suffit plus, par exemple à la possibilité de couper un système en production sans attendre une validation en cascade. Cette capacité se construit dans la durée, pas en une session d’entraînement.

Un enjeu qui se joue avant la crise, dans la gouvernance quotidienne

Cet enjeu se joue bien avant le jour de l’exercice, dans la gouvernance ordinaire de l’organisation. Une direction qui délègue toute décision technique en temps normal aura du mal à improviser en temps de crise, quel que soit le nombre d’exercices réalisés.

À l’inverse, une organisation habituée à raccourcir ses circuits de validation aborde un incident réel avec des réflexes qu’aucun kit ne suffit à créer par lui-même.

Des repères qui distinguent les organisations les mieux préparées

Les organisations qui traversent une crise cyber sans s’effondrer ne sont pas nécessairement celles qui ont multiplié les exercices préventifs. Ce sont celles qui partagent des repères plus discrets : une chaîne de décision courte, connue de tous avant l’incident, et l’habitude de communiquer en interne avant d’avoir toutes les réponses.

Ces repères ne figurent dans aucun scénario écrit ; ils se vérifient en creux, le jour où le scénario prévu ne suffit plus.

L’enjeu n’est donc pas de choisir entre s’entraîner et improviser. Sans exercice régulier, une organisation découvre ses failles le jour où elles coûtent le plus cher. Sans capacité à s’écarter du scénario prévu, l’exercice reste un théâtre bien répété.

Le troisième kit sectoriel de l’ANSSI mérite d’être utilisé, à condition de ne jamais le confondre avec la préparation elle-même : il en est un instrument, pas une garantie.

* Olivier Arous est CEO d’OGO Security

The post Une procédure de crise s’apprend vite, une organisation résiliente se construit lentement appeared first on Silicon.fr.