Un vendredi à 21 heures
Une PME découvre un vendredi soir que ses serveurs sont chiffrés. Le lundi matin, son DSI se demande à qui parler en premier, et la question arrive tard : le lundi à 21 heures, les 72 heures de la plainte sont échues, et avec elles toute indemnité d'assurance, frais de restauration et perte d'exploitation compris. Le week-end compte dans le délai.
La première heure
Le 17Cyber, lancé le 17 décembre 2024 par la police, la gendarmerie et Cybermalveillance.gouv.fr, répond 24 heures sur 24 : un diagnostic en ligne, un échange avec un policier ou un gendarme si l'attaque est grave, et la mise en relation avec un prestataire référencé ou labellisé (communiqué du 16 décembre 2024).
Dans la même heure, sortir le contrat d'assurance s'il en existe un, et noter hors du réseau touché son numéro d'assistance et son délai de déclaration. Un contrat rangé sur le serveur chiffré ne se relit plus.
Puis ouvrir le registre de la violation. L'article 33, § 5, du RGPD l'impose à tout responsable de traitement, y compris quand il ne notifie pas, et la CNIL peut le demander.
Avant la 72e heure : la plainte
La loi du 24 janvier 2023 (LOPMI) a créé l'article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023. Toute indemnité d'assurance d'une atteinte à un système de traitement automatisé de données y est subordonnée à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte par la victime. Sont visées les personnes morales et les personnes physiques dans leur activité professionnelle ; le particulier ne l'est pas. Le texte est d'ordre public, aucun contrat ne l'écarte (Lexology).
Quatre points se lisent mal dans les résumés.
- La règle vaut pour toute indemnité. Le projet parlait de rançon ; les débats ont mis à la place la formule générale. Restauration, perte d'exploitation et rançon tombent ensemble si la plainte manque.
- Le délai part de la connaissance de l'atteinte, et non de l'intrusion, qui peut dater de plusieurs semaines. Le projet disait 48 heures ; des amendements ont porté le délai à 72 pour l'aligner sur la CNIL. La loi ne définit pas la connaissance : des courtiers la placent à la confirmation certaine de l'atteinte, lecture de marché que la loi ne tranche pas.
- La pré-plainte en ligne ne suffit pas. Il faut une plainte déposée.
- La plainte est nécessaire, jamais suffisante. Elle permet à l'assureur de payer ce que le contrat garantit ; elle ne dit rien de ce qu'il garantit.
Avant la 72e heure : la CNIL, si des données personnelles sont touchées
L'article 33 du RGPD donne au responsable du traitement 72 heures, après en avoir pris connaissance, pour notifier la violation à la CNIL par son téléservice (CNIL, notifier une violation). Si l'analyse n'est pas finie, la notification part par étapes ; passé le délai, elle dit les motifs du retard. Une violation qui n'est « pas susceptible d'engendrer un risque » pour les personnes n'est pas notifiée, mais elle va au registre.
Les personnes touchées sont informées « dans les meilleurs délais » quand le risque est élevé (article 34). Le texte prévoit trois exceptions : des données chiffrées dont les clés sont restées sûres, des mesures prises depuis qui écartent le risque, un effort disproportionné, et dans ce dernier cas une communication publique remplace les courriers. La CNIL peut exiger l'information.
Les deux horloges ne partent pas forcément à la même minute. L'une court de la connaissance de l'atteinte, l'autre de celle d'une violation de données, et l'analyse peut séparer les deux de plusieurs heures.
L'assureur : le délai du contrat
La déclaration de sinistre suit le délai du contrat. La loi interdit seulement de le fixer sous cinq jours ouvrés, deux en cas de vol (article L. 113-2, 4°, du code des assurances). L'assistance prévue au contrat se joint souvent bien avant : c'est le numéro noté dans la première heure. Le délai exact, votre courtier ou votre assureur vous le confirme.
Un retard ne fait perdre la garantie que si une clause le prévoit et si l'assureur prouve un préjudice causé par ce retard (même article, dernier alinéa). La deuxième chambre civile a exigé de vérifier que le contrat prévoyait bien la déchéance (4 juillet 2019, n° 18-18.444), puis a jugé inopposable une clause qui imposait moins de cinq jours ouvrés (21 janvier 2021, n° 19-13.347).
Les régimes de secteur
Un opérateur d'importance vitale déclare « sans délai » à l'ANSSI les incidents touchant ses systèmes d'importance vitale (article L. 1332-6-2 du code de la défense). Un opérateur de services essentiels ou un fournisseur de service numérique fait de même sous la loi du 26 février 2018, dite NIS 1, toujours en vigueur en France (ANSSI, notifications réglementaires).
NIS 2 ne s'applique pas encore en France. La directive (UE) 2022/2555 prévoit une alerte précoce sous 24 heures après la prise de connaissance d'un incident important, une notification sous 72 heures et un rapport final un mois plus tard (article 23, § 4). Au 11 octobre 2026, le projet de loi « Résilience » qui la transpose n'était pas adopté : sa séance du 7 octobre à l'Assemblée avait été retirée de l'ordre du jour la veille, et la Commission a saisi la Cour de justice le 8 juillet 2026 contre la France, l'Irlande, l'Espagne et les Pays-Bas. Ces délais vaudront le jour où la loi sera publiée.
Une banque, un assureur ou une société de gestion relève de DORA : notification initiale à l'ACPR ou à l'AMF dans les 4 heures suivant le classement en incident majeur et au plus tard 24 heures après sa connaissance, rapport intermédiaire 72 heures après la notification initiale, rapport final un mois après le dernier rapport intermédiaire (article 19 du règlement (UE) 2022/2554 ; article 5 du règlement délégué (UE) 2025/301). Une PME de transport n'y est pas soumise.
Avant tout paiement
Verser une rançon à un groupe inscrit sur une liste de sanctions est interdit dès le premier euro, quelle que soit l'urgence. Le cas a sa page : peut-on payer une rançon à un groupe de hackers sanctionné ?
De H0 à J+30
- H0 : le 17Cyber ; le contrat, son numéro d'assistance et son délai de déclaration notés hors du réseau ; le registre de la violation ouvert.
- Sans délai : un OIV, un OSE ou un fournisseur de service numérique déclare l'incident à l'ANSSI.
- 4 heures après le classement, 24 heures au plus tard : une entité financière fait sa notification initiale DORA.
- 24 heures : une entité NIS 2 lance son alerte précoce, une fois la loi française publiée.
- Avant tout paiement : le destinataire d'une rançon vérifié au regard des sanctions.
- 72 heures au plus tard : la plainte déposée ; la CNIL notifiée si des données personnelles sont touchées ; la notification NIS 2, le jour où elle s'appliquera.
- 72 heures après la notification initiale : le rapport intermédiaire DORA.
- Dans le délai du contrat, jamais moins de cinq jours ouvrés : la déclaration de sinistre.
- Dans les meilleurs délais : l'information des personnes touchées, si le risque est élevé.
- J+30 : le rapport final NIS 2, un mois après la notification ; celui de DORA, un mois après le dernier rapport intermédiaire.
Cette page donne les délais de la loi et ne dit pas ce que garantit un contrat. Pour un cas précis : un courtier immatriculé à l'ORIAS, un avocat, et Cybermalveillance.gouv.fr.