Cyberattaque en entreprise : quels délais pour la plainte, la CNIL et l’assureur ?

Notez les heures de départ

Notez l’heure du premier signe observé, celle à laquelle l’incident a été confirmé et, si elle est différente, celle à laquelle une possible violation de données personnelles a été identifiée. Ajoutez le nom de la personne qui a fait chaque constat. Cette chronologie servira à expliquer les décisions prises à la police, à la CNIL et à l’assureur.

Si vous contrôlez l’équipement touché, isolez-le du réseau sans l’éteindre. Supprimer des fichiers, réinstaller le site ou couper brutalement une machine peut faire disparaître les journaux et les traces nécessaires pour comprendre l’intrusion. Travaillez sur une copie ; conservez l’original en l’état.

Quel délai s’applique à votre situation ?

Les trois démarches ne s’appliquent pas automatiquement à chaque incident. Une attaque qui rend des fichiers indisponibles sans toucher de données personnelles peut ne pas nécessiter de notification à la CNIL. À l’inverse, un courriel envoyé au mauvais destinataire peut constituer une violation de données sans qu’il y ait eu d’intrusion. Examinez donc chaque colonne séparément.

Portez plainte sous 72 heures

Depuis le 24 avril 2023, une entreprise couverte par une assurance cyber doit déposer plainte dans les 72 heures suivant la connaissance de l’atteinte pour conserver son droit à l’indemnisation. Cette règle concerne les atteintes à un système informatique visées par les articles 323-1 à 323-3-1 du code pénal. Elle ne crée pas une obligation générale de porter plainte pour toute entreprise victime d’un incident.

Pour une entreprise, THESEE ne permet pas de déposer en ligne une plainte pour piratage. Présentez-vous dans un commissariat ou une brigade de gendarmerie avec l’extrait Kbis, la pièce d’identité du représentant légal et, si une autre personne se déplace, un mandat daté et signé. Il est aussi possible d’écrire au procureur de la République ; conservez alors la preuve d’envoi et sa date.

Le service saisi doit enregistrer la plainte. Le dispositif public 17Cyber peut orienter l’entreprise et la mettre en relation avec un policier ou un gendarme, mais cet échange ne remplace pas le dépôt de plainte.

En cas de retard, la formulation juridique exacte est la suivante : le versement de l’indemnité n’est pas dû. Ce mécanisme est distinct d’une clause contractuelle de déchéance de garantie.

Évaluez puis notifiez la CNIL sous 72 heures

Une intrusion, une perte, une modification ou une divulgation de données personnelles constitue une violation de données. Évaluez sans attendre les conséquences possibles pour les personnes concernées. Si la violation est susceptible de présenter un risque, notifiez-la à la CNIL dans les 72 heures suivant le moment où l’entreprise en a eu connaissance.

Le délai court en heures calendaires, week-end compris. Si toutes les informations ne sont pas encore disponibles, la notification peut être complétée ensuite ; l’enquête technique ne doit pas retarder le premier signalement.

La procédure de notification, la grille de décision et les informations à fournir relèvent d’un guide dédié. Ici, la priorité est d’ouvrir la démarche dans le délai et de documenter la décision.

Déclarez le sinistre à l’assureur

Lisez les conditions particulières du contrat dès le début de l’incident et déclarez le sinistre dans le délai qui y est indiqué. Le code des assurances prévoit au minimum cinq jours ouvrés ; le contrat peut accorder davantage, jamais moins.

Ce délai est distinct des deux délais de 72 heures. Une déclaration tardive ne permet à l’assureur d’opposer la déchéance que s’il prouve que le retard lui a causé un préjudice. Cette déchéance ne s’applique pas lorsque le retard résulte d’un cas fortuit ou de force majeure.

Pourquoi les estimations de coût varient autant

Les montants publiés sur le coût d’une cyberattaque ne mesurent pas tous la même chose. Certains parlent de l’indemnité versée après franchise, d’autres du coût déclaré par l’entreprise, et d’autres encore des violations de données subies par de grandes organisations. Les comparer sans préciser leur méthode produit des écarts de plusieurs ordres de grandeur.

Pour les entreprises de moins de 50 salariés, les données disponibles situent l’indemnité moyenne constatée entre 3 100 € et 9 400 €, et le coût médian déclaré entre 4 900 € et 8 700 €. Ces deux mesures convergent vers quelques milliers d’euros, mais elles ne décrivent ni les mêmes dépenses ni toutes les entreprises. Le tableau ci-dessous donne le périmètre exact de chaque chiffre.

Réduisez le risque de récidive

Une fois les démarches ouvertes, poursuivez l’enquête et la remise en état : identifiez le point d’entrée, renouvelez les accès compromis, vérifiez les règles de transfert de messagerie et restaurez depuis une sauvegarde testée. Consignez les décisions prises et mettez à jour la procédure interne pendant que les difficultés rencontrées sont encore fraîches.