Plusieurs comptes à rebours démarrent ensemble, et chacun s'adresse à quelqu'un d'autre.
Déposez plainte, sans attendre : sans ce dépôt, la loi ne garantit pas votre indemnisation. Le commissariat, la gendarmerie ou le procureur de la République la reçoivent, et le compteur de 72 heures part du moment où vous avez su. Si des données personnelles ont pu être vues, copiées, modifiées ou rendues inaccessibles, un second compteur de 72 heures démarre, vers la CNIL cette fois. Vous prévenez votre assureur dans le délai que fixe votre contrat, qui ne peut pas descendre sous cinq jours ouvrés. Le signalement à l'ANSSI ne s'impose, lui, qu'aux organismes désignés par l'État comme essentiels ou vitaux, ce qui ne vise pas une PME.
Les compteurs partent tous au même instant : non pas le jour de l'attaque, mais celui où vous en avez eu connaissance. Chaque démarche a ensuite son destinataire et sa raison d'être.
| Le compteur | Qui le reçoit | Ce qui le met en marche | Le texte |
|---|---|---|---|
| Déposer plainte, sous 72 heures | Commissariat, gendarmerie, ou procureur de la République | Votre connaissance de l'intrusion | L. 12-10-1, code des assurances |
| Notifier la violation, 72 heures si possible | La CNIL | Votre connaissance de l'atteinte aux données personnelles | Article 33 du RGPD |
| Déclarer le sinistre, délai du contrat | Votre assureur, par votre courtier | Votre connaissance du sinistre | L. 113-2, code des assurances |
Les premières lignes du tableau portent le même chiffre pour deux raisons différentes. La plainte est une condition de paiement, posée par la loi depuis 2023. Elle ne vise que les personnes morales et les professionnels, et porte sur l'intrusion dans un système informatique, ce que le code pénal nomme une atteinte à un système de traitement automatisé de données. La notification à la CNIL protège les personnes : elle pèse sur vous même sans assurance, et suppose que des données personnelles soient touchées. Une attaque peut déclencher l'une sans l'autre.
La troisième ligne suit votre contrat. La loi pose un plancher : votre police ne peut pas exiger de déclaration en moins de cinq jours ouvrés, ces jours que votre entreprise travaille réellement, samedis, dimanches et fériés exclus. L'appel à la cellule d'assistance reste pourtant le premier geste utile, car beaucoup de polices conditionnent la prise en charge des frais de réponse à leur accord préalable. C'est une clause de contrat, pas une règle de loi.
Le mot violation ne suppose ni vol ni publication. Des fichiers de salariés ou de clients vus, copiés, modifiés, effacés, ou simplement rendus illisibles par un chiffrement : c'est déjà une violation de données personnelles.
Le premier seuil est celui de la CNIL. Vous la notifiez dès que la violation est susceptible de créer un risque pour les personnes, dans les meilleurs délais et si possible sous 72 heures. Une notification en deux temps est admise, et au-delà de 72 heures elle reste recevable à condition d'expliquer le retard.
Le second seuil est plus haut. Informer les personnes concernées ne devient obligatoire que si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, ce qui vise aussi bien une usurpation d'identité qu'une atteinte à leur vie privée. Le règlement demande alors les meilleurs délais, sans compteur en heures, et son article 34 ouvre trois dispenses.
Dans tous les cas, même sans notification, la violation se consigne chez vous par écrit : nature, personnes touchées, conséquences probables, mesures prises. C'est ce registre que l'autorité réclame en premier. Quand c'est votre prestataire qui a été piraté, les responsabilités ne se répartissent pas de la même façon, et le cas se traite à part : prestataire informatique piraté.
Le troisième interlocuteur ne concerne pas toutes les entreprises. Le signalement à l'ANSSI s'impose aux organismes désignés par l'État comme vitaux pour la nation ou comme opérateurs de services essentiels, dans des délais propres à leur secteur. Une PME de 80 salariés n'en fait pas partie, et peut malgré tout déclarer son incident au CERT-FR, l'équipe d'urgence de l'agence, qui reçoit les déclarations volontaires. La transposition française de la directive NIS 2 élargira ce périmètre : au 5 août 2026, le projet de loi n'est pas voté.
Le réflexe qui efface la preuve dont vous aurez besoin
Éteindre les postes touchés paraît prudent, et c'est le geste qui coûte le plus cher : les éléments d'enquête se trouvent dans la mémoire des machines, que l'extinction efface. Cybermalveillance.gouv.fr demande de les isoler sans les éteindre, en débranchant le câble réseau et en coupant la box internet. Une réserve tient : si le chiffrement est encore en cours et peut être interrompu, l'extinction se justifie, en privilégiant la mise en veille prolongée. Et la plainte se dépose avant la réinstallation des appareils, sans quoi la preuve technique a disparu quand les enquêteurs la réclament.
Tenez aussi un journal de l'incident : l'heure de la découverte, qui a fait quoi, ce qui a été débranché et quand. Gardez avec lui les journaux de connexion, le message de rançon et quelques fichiers chiffrés. Enquêteurs, CNIL et expert de l'assureur y puiseront les mêmes réponses.
La page assurance cyber décrit ce que le contrat prend en charge. Et ce que vous avez déclaré en souscrivant pèse sur l'examen du sinistre, sujet de la page sur le questionnaire de souscription.
Une fiche d'une page suffit : trois numéros, trois destinataires, l'ordre des appels. Le cabinet l'écrit avec vos équipes, la range avec votre police, et la rouvre à chaque renouvellement, parce qu'un numéro d'astreinte change plus souvent qu'un contrat.
Audit gratuit
Le jour où ça arrive, vous n'aurez pas le temps de lire votre police. Nous la lisons maintenant : le délai qu'elle vous laisse, ce qu'elle exige avant que vous engagiez le moindre frais, et ce que son assistance prend en charge la première semaine.
Demander un audit en 30 minVos questions
De la découverte. Les deux textes emploient la même notion, celle de la connaissance que vous en avez. Une intrusion installée depuis trois semaines et repérée un mardi matin fait partir les 72 heures ce mardi matin. La conséquence pratique compte : les deux compteurs peuvent démarrer des jours différents. Vous constatez lundi que vos serveurs sont chiffrés, ce qui lance celui de la plainte. L'analyse vous apprend jeudi qu'un fichier de paie a été copié, et c'est jeudi que part celui de la CNIL. Datez donc par écrit chaque constat, avec son heure : c'est cette date, et non celle de l'attaque, qu'on vous demandera de justifier.
Oui. Les textes écrivent 72 heures, et non trois jours ouvrés : le compte tourne la nuit, le samedi et le jour férié. Une découverte le vendredi à 18 heures place donc l'échéance au lundi à 18 heures. La plainte se dépose dans un commissariat ou une brigade de gendarmerie, ou par lettre au procureur de la République du tribunal judiciaire dont vous dépendez. La notification à la CNIL passe par un service en ligne, accessible en permanence. Le délai de déclaration à votre assureur obéit à une autre unité, puisque le code des assurances le compte en jours ouvrés.
Souvent oui. La perte d'accès est une violation au même titre que la fuite : des bulletins de paie chiffrés par un rançongiciel, que plus personne ne peut ouvrir, entrent dans la définition. La question à trancher n'est pas la sortie des données, c'est le risque pour les personnes. La CNIL invite explicitement à notifier en cas de doute, et clôture elle-même le dossier quand elle constate l'absence de risque. Une notification de trop coûte une heure de travail. Une notification manquante, elle, s'apprécie plus tard, le jour où l'autorité apprend l'incident par un autre chemin.
Déposez-la quand même, et sans attendre. La règle du code des assurances est une condition posée par la loi au versement de l'indemnité, et non une clause de votre contrat. Elle échappe donc aux protections qui entourent la déchéance, cette perte du droit à indemnité qu'un assureur ne peut opposer qu'à des conditions strictes. Il vous reste deux choses en main. Établir par écrit la date et l'heure exactes auxquelles vous avez eu connaissance de l'atteinte, puisque le délai part de là et de nulle part ailleurs. Et faire préciser le périmètre réel de cette condition dans votre police : le texte vise l'indemnisation des pertes et dommages causés par l'atteinte, et la discussion se mène garantie par garantie.
Seulement si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, une usurpation d'identité comme une atteinte à leur vie privée, et alors dans les meilleurs délais. Le message se rédige en termes clairs et simples : ce qui s'est passé, les conséquences probables, ce que vous faites, et à qui s'adresser chez vous. Le règlement en dispense dans trois cas. Des données protégées et illisibles pour un tiers, chiffrées par exemple. Des mesures prises après coup qui écartent ce risque. Et un effort disproportionné, qui se remplace alors par une communication publique. La CNIL peut vous imposer cette information si elle estime que vous auriez dû la faire.
Sources
Textes : article L. 12-10-1 du code des assurances, créé par l'article 5 de la loi n° 2023-22 du 24 janvier 2023 et applicable depuis le 24 avril 2023 ; article L. 113-2 du même code ; articles 323-1 à 323-3-1 du code pénal ; RGPD, article 33 et article 34.
Ressources publiques : CNIL, notifier une violation de données personnelles ; Cybermalveillance.gouv.fr, que faire en cas de cyberattaque et sa fiche rançongiciel ; ANSSI, CERT-FR.
Pour aller plus loin : un faux ordre de virement du dirigeant, et ce que la directive NIS 2 attend des organes de direction.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
