La loi, l'État et votre contrat répondent tous les trois, et ils ne répondent pas à la même question.
Oui, payer est légal en France : aucun texte français ne l'interdit. Ce qui peut rendre le versement illégal, c'est l'identité du destinataire : la France et l'Union européenne publient des listes de personnes à qui il est interdit de remettre de l'argent. L'État, lui, recommande de ne pas payer, et il expose ses raisons. Votre contrat cyber répond à une autre question : il prend en charge ce qui y est écrit, et la rançon n'y figure pas toujours. Une condition légale vaut pour toute indemnisation cyber, le dépôt de plainte sous 72 heures.
Dans cette affaire, vous êtes la victime. Les infractions sont celles de l'attaquant : l'intrusion dans votre système, et l'extorsion, c'est-à-dire le fait d'obtenir de l'argent par la contrainte. Aucun texte français ne punit l'entreprise qui cède, et la loi de 2023 qui encadre l'indemnisation cyber n'a pas posé cette interdiction.
Le destinataire, lui, change la réponse. L'État et l'Union européenne désignent des personnes dont l'argent est bloqué, et plus personne en France n'a le droit de leur en remettre. On appelle cela une mesure de gel des avoirs, et un règlement européen de 2019 l'applique aux auteurs de cyberattaques. Financer une organisation terroriste est par ailleurs un délit. La vérification revient à ceux qui font circuler l'argent, votre banque comme votre assureur.
L'ANSSI, l'agence publique de la cybersécurité, et le ministère de la Justice ont publié un guide commun sur les rançongiciels, ces programmes qui chiffrent vos fichiers et réclament une somme pour les rendre lisibles. Leur recommandation est de ne jamais payer.
Le paiement n'achète pas la certitude d'obtenir un outil de déchiffrement. Même quand la clé arrive, elle ne rend pas toujours tous les fichiers : ceux qu'une application écrivait pendant le chiffrement ressortent souvent corrompus. Le versement entretient l'activité criminelle, et il ne met pas votre entreprise à l'abri d'être visée à nouveau.
Certaines pistes coûtent peu et méritent d'être tentées d'abord. Le site No More Ransom, porté par Europol, propose des outils de déchiffrement gratuits qui fonctionnent sur certains rançongiciels. Le dépôt de plainte ouvre une enquête qui aboutit parfois à la récupération de clés. La décision, elle, reste celle du dirigeant.
Ces trois cadres semblent se contredire. Ils répondent en réalité à des questions distinctes.
| Le geste | La loi | L'État | Votre contrat |
|---|---|---|---|
| Payer la rançon | Autorisé, selon la personne payée | Déconseillé, arguments à l'appui | Pris en charge si une garantie le prévoit |
| Payer un destinataire sous gel des avoirs | Interdit (règl. UE 2019/796 ; L. 562-1 et s. c. mon. fin.) | Registre national des gels, public | Interdiction opposable aussi à l'assureur |
| Déposer plainte | Condition de l'indemnisation, 72 h (L. 12-10-1 c. assur.) | Recommandé, avant toute réinstallation | Exigé au dossier |
| Experts, restauration, pertes d'exploitation | Aucune règle | Hors de son champ | Le coeur de la garantie |
Une confusion revient sur la troisième ligne. L'article L. 12-10-1 du code des assurances passe pour le texte de la rançon. Il ne la mentionne jamais. Il parle du versement d'une indemnité réparant les pertes et dommages nés d'une intrusion informatique, et le subordonne à une plainte déposée sous 72 heures. La règle des 72 heures conditionne donc toute votre indemnisation cyber. Sur ce que l'assureur peut couvrir, ce texte reste muet.
France Assureurs, la fédération des sociétés d'assurance, a publié en mai 2026 une fiche sur l'assurance cyber des PME. Elle énumère ce qu'un contrat peut prendre en charge. Assistance jour et nuit, experts en réponse à incident, cellule de crise juridique et communication. Investigation et restauration des données, pertes d'exploitation, honoraires juridiques, frais liés à la CNIL, responsabilité civile. La rançon ne figure pas dans cette liste. La même fiche chiffre l'attaque en jours d'arrêt : de cinq à vingt selon le niveau de sécurité.
L'essentiel de la valeur du contrat se joue là, sans lien avec votre décision sur la rançon. La réponse à incident, ce sont les techniciens qui trouvent la porte d'entrée et remettent les systèmes en service. Les pertes d'exploitation, c'est la marge perdue pendant l'arrêt.
Quand une garantie couvre malgré tout un versement, elle porte souvent le nom d'extorsion, et elle vient avec son plafond et ses conditions. D'où le geste qui commande le reste : prévenir avant d'engager. Avant d'ouvrir la discussion avec l'attaquant, appelez le numéro d'assistance porté par votre police. Faites chercher le nom du rançongiciel sur No More Ransom. Demandez par écrit à votre assureur si une garantie couvre un versement, et sous quelles conditions. Aucun de ces gestes n'engage votre décision, et tous passent avant la première discussion avec l'attaquant.
La page assurance cyber décrit le périmètre d'un contrat. Les démarches vers la police et la CNIL sont sur la page des premières 72 heures. Le contenu de votre questionnaire de souscription revient sur la table au moment de l'indemnisation.
Vous n'aurez pas le temps de lire votre police le jour de l'attaque. Vous la rouvrez donc avec le cabinet à chaque échéance : ce qui est financé, à quelles conditions, et qui décroche à trois heures du matin.
Audit gratuit
Qui a le droit de dire oui à un versement, à partir de quel montant l'accord écrit de l'assureur devient-il obligatoire, et quel numéro appelez-vous en premier ? Accent Conseil sort ces réponses de votre police et vous les remet écrites, pendant que la question reste théorique.
Demander un audit en 30 minVos questions
Rien ne le garantit, et le guide de l'ANSSI ouvre là-dessus. Le versement achète une promesse, pas un résultat. Même lorsque la clé de déchiffrement arrive, elle ne rend pas toujours tous les fichiers : ceux qu'une application était en train d'écrire pendant le chiffrement ressortent souvent illisibles, une base de données par exemple. La remise en service demande de toute façon des jours de travail. Il faut nettoyer les machines, corriger la faille par laquelle l'attaquant est entré, changer tous les accès. C'est ce chantier que votre contrat finance, quelle que soit votre décision sur la rançon.
Seul, difficilement. Un attaquant se présente sous un pseudonyme et une adresse en cryptomonnaie, et l'identifier avec certitude est rarement possible dans l'urgence. Les listes existent pourtant, et elles sont publiques : la direction générale du Trésor tient un registre national des gels consultable en ligne, et l'Union européenne publie la sienne pour les auteurs de cyberattaques. La vérification revient en pratique aux acteurs qui font circuler l'argent, parce que l'interdiction pèse sur eux comme sur vous. Passer par votre banque et votre assureur est la seule façon de ne pas trancher à l'aveugle.
Lisez la définition, pas l'intitulé. Une garantie de ce nom arrive avec son périmètre : un montant maximum réservé à cette seule ligne, la liste de ce qu'elle englobe, et souvent une condition d'accord préalable. Certaines polices couvrent aussi les honoraires du négociateur et l'analyse de l'origine des fonds, d'autres se limitent au versement lui-même. La question se pose à froid, bien avant l'incident : en cas de paiement, que financez-vous, jusqu'à quel montant, et quelles étapes exigez-vous d'abord ? Posez la question par courriel, et gardez la réponse écrite.
C'est même là qu'il sert le plus. L'arrêt d'activité, et non le versement, fait le gros de la facture. Sur cette période, un contrat cyber mobilise les techniciens qui remettent les systèmes en route, prend en charge l'investigation et la restauration des données, et couvre la marge perdue. Il paie aussi les honoraires juridiques, et il répond si un client ou un salarié met votre responsabilité en cause. Aucune de ces lignes ne dépend d'une rançon.
Oui, et le calendrier ne bouge pas. Le dépôt de plainte conditionne le versement de votre indemnité cyber, quelle que soit l'issue de la discussion avec l'attaquant. Les 72 heures courent depuis votre découverte, pas depuis l'attaque elle-même. Vous n'avouez rien en le faisant : les infractions restent celles de l'attaquant, l'intrusion dans le système et l'extorsion. Déposez-la avant de réinstaller vos machines, faute de quoi les preuves techniques auront disparu quand les enquêteurs les réclameront.
Rien ne l'assure, et Cybermalveillance.gouv.fr le dit en toutes lettres : le paiement ne garantit ni que les données dérobées resteront confidentielles, ni qu'elles ne seront pas utilisées frauduleusement. Vous achetez la promesse d'un effacement que vous n'avez aucun moyen de contrôler, sur des copies dont vous ignorez le nombre. Vos obligations, elles, ne changent pas : une violation de données personnelles s'inscrit dans votre registre interne des violations et se notifie à la CNIL selon les mêmes règles, que vous ayez payé ou non.
Sources
Textes : article L. 12-10-1 du code des assurances, créé par l'article 5 de la loi n° 2023-22 du 24 janvier 2023 ; article L. 113-2 du même code ; article 312-1 et articles 323-1 et suivants du code pénal ; articles L. 562-1 et suivants du code monétaire et financier ; règlement (UE) 2019/796.
Ressources publiques : ANSSI et direction des affaires criminelles et des grâces, Attaques par rançongiciels, tous concernés ; Cybermalveillance.gouv.fr, fiche rançongiciel, 7 mai 2026 ; direction générale du Trésor, gel des avoirs, registre national des gels et rapport sur l'assurance du risque cyber ; No More Ransom ; France Assureurs, L'assurance cyber, mai 2026.
Pour aller plus loin : la chaîne de responsabilité quand l'attaque passe par un prestataire informatique piraté, et l'état du marché de la cyber-assurance des ETI.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
