Cyberattaque : que faire dans les premières heures ?

Dès la découverte d'une cyberattaque, isolez les systèmes touchés sans les effacer, consignez une chronologie précise et mobilisez vos équipes techniques et juridiques. Si vous êtes assuré contre les risques cyber, déposez plainte dans les 72 heures suivant la découverte. Évaluez ensuite l'impact sur les données personnelles : la CNIL doit être notifiée sous 72 heures en cas de risque, et les personnes concernées informées en cas de risque élevé. Chaque situation est particulière.

Les bons réflexes dans les premières heures

Une cyberattaque désorganise l'entreprise au pire moment. Les décisions prises dans les premières heures engagent pourtant la suite : la solidité des preuves, la couverture d'assurance et la conformité aux obligations légales. Notre équipe d’avocats dédiée à la cybersécurité observe que les difficultés juridiques naissent souvent de réflexes techniques compréhensibles, mais précipités.

Voici la trame d'action que nous recommandons, à adapter à votre organisation.

1. Mobilisez une cellule de crise restreinte. Réunissez direction, responsable informatique, juriste ou avocat, et communication. Désignez un décideur unique et un canal de communication sécurisé, hors des messageries potentiellement compromises.
2. Isolez sans détruire. Déconnectez les machines touchées du réseau, mais ne les éteignez pas systématiquement et ne réinstallez rien. Les journaux, les images disque et les messages frauduleux constituent les preuves de l'infraction et de votre diligence.
3. Ouvrez une chronologie écrite. Notez chaque événement daté et horodaté : découverte, symptômes, décisions, interlocuteurs. Ce journal de bord servira à l'assureur, à la CNIL, aux enquêteurs et, le cas échéant, au juge.
4. Relisez vos contrats. Contrat d'assurance cyber, contrats d'infogérance et d'hébergement, contrats clients : ils contiennent des délais de déclaration, des obligations de notification et des clauses de coopération qui courent déjà.
5. Déclarez le sinistre à votre assureur et déposez plainte. Pour les personnes morales et les professionnels, le versement de l'indemnité couvrant les pertes causées par une atteinte à un système de traitement automatisé de données est subordonné à un dépôt de plainte au plus tard 72 heures après la connaissance de l'atteinte (article L. 12-10-1 du Code des assurances). Le délai court à compter de la découverte, pas de l'attaque elle-même.
6. Qualifiez les données touchées. Déterminez si des données personnelles ont été consultées, exfiltrées ou chiffrées : clients, salariés, prospects. Cette qualification commande les obligations des articles 33 et 34 du RGPD.
7. Analysez les obligations de notification. En cas de risque pour les droits et libertés des personnes, notifiez la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance (article 33 du RGPD). L'information des personnes concernées obéit à un critère distinct : elle n'est due qu'en cas de risque élevé (article 34).
8. Maîtrisez la communication. Ne communiquez ni trop tôt ni au-delà des faits établis. Une déclaration publique inexacte peut être opposée à l'entreprise par la suite.

Qui prévenir après une cyberattaque ?

Plusieurs destinataires doivent ou peuvent être prévenus, selon des conditions et des délais qui ne se confondent pas. Le tableau suivant résume les principales hypothèses.

Deux délais de 72 heures coexistent donc, sans jamais se confondre. Celui de l'article 33 du RGPD concerne la notification de la violation à la CNIL. Celui de l'article L. 12-10-1 du Code des assurances concerne le dépôt de plainte conditionnant l'indemnisation des professionnels. Les destinataires, les conditions et les points de départ diffèrent.

Si l'attaque frappe votre sous-traitant, la répartition des rôles est stricte : le prestataire vous alerte dans les meilleurs délais, mais c'est vous, responsable de traitement, qui notifiez la CNIL. La CNIL a illustré cette articulation dans une fiche pratique publiée le 27 mai 2026, consacrée au sous-traitant en crise cyber.

Faut-il signaler l'incident à l'ANSSI ?

La question se pose souvent dans les premières heures. À la date de publication de cet article, la loi française de transposition de la directive NIS2 n'est pas encore promulguée : le régime général de notification obligatoire des incidents à l'ANSSI, prévu par le projet de loi en cours d'examen, n'est donc pas en vigueur pour la plupart des entreprises. Il pourra évoluer avec l'adoption définitive du texte.

L'ANSSI propose néanmoins, dès aujourd'hui, un signalement volontaire des incidents via son espace NIS2 en ligne. Cette démarche permet de bénéficier d'un point de contact et d'anticiper le futur cadre. Les entités du secteur financier restent, elles, soumises à un régime propre de notification des incidents majeurs, issu du règlement DORA, applicable depuis le 17 janvier 2025. Vérifiez donc toujours les régimes sectoriels applicables à votre activité, en plus du RGPD.

Les erreurs à éviter

Payer une rançon sans analyse préalable. Le paiement est déconseillé par l'ANSSI et par Cybermalveillance.gouv.fr : il n'offre aucune garantie de récupération et finance la criminalité. Il peut en outre exposer l'entreprise à un risque au regard des sanctions internationales si le bénéficiaire est une entité visée par les mesures restrictives européennes. La décision, si elle est envisagée, doit être documentée et éclairée juridiquement.

Tout réinstaller immédiatement. Restaurer les systèmes avant toute copie des supports et des journaux détruit les preuves. Vous fragilisez la plainte pénale, la position vis-à-vis de l'assureur et votre capacité à démontrer vos mesures de sécurité en cas de contrôle.

Communiquer trop vite. Annoncer publiquement une absence de fuite avant la fin des investigations, ou minimiser l'incident, peut se retourner contre l'entreprise. L'information des personnes, lorsqu'elle est due, obéit à un contenu précis : mieux vaut une communication exacte et maîtrisée qu'une communication rapide et approximative.

Négliger la documentation interne. Même lorsqu'aucune notification à la CNIL n'est requise, toute violation doit être documentée en interne : faits, effets, mesures prises (article 33.5 du RGPD). Ce registre est exigible lors d'un contrôle.

Avocat et prestataire technique : deux rôles complémentaires

Le prestataire de réponse à incident contient l'attaque, analyse le mode opératoire et restaure les systèmes. Ce travail technique est indispensable. Il ne couvre pas le volet juridique de la crise.

L'avocat sécurise les décisions au fil de l'eau : qualification des données touchées, opportunité et contenu des notifications, dépôt de plainte dans le délai utile, échanges avec l'assureur, revue des obligations contractuelles envers clients et partenaires. Il anticipe aussi le contentieux : demandes d'indemnisation de personnes concernées, litiges avec les prestataires, suites d'un contrôle de la CNIL. Notre page dédiée au contentieux cyber détaille ces situations.

Enfin, la crise révèle souvent des failles contractuelles : clauses de notification absentes, responsabilités mal réparties avec l'infogérant, assurance inadaptée. Le retour d'expérience juridique, mené à froid, transforme l'incident en plan de remédiation. En présence de données personnelles compromises, l'accompagnement se prolonge sur le terrain de la violation de données personnelles.

Questions fréquentes après une cyberattaque

Faut-il toujours notifier la CNIL après une cyberattaque ?
Non. La notification n'est due que si la violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). En revanche, toute violation doit être documentée en interne, même sans notification.

Le délai de 72 heures court-il à compter de l'attaque ?
Non. Le point de départ est la prise de connaissance de la violation par l'entreprise, pas la date de l'intrusion. La règle vaut pour la notification à la CNIL comme pour la plainte conditionnant l'indemnisation d'assurance, deux obligations distinctes.

Qui notifie la CNIL si l'attaque touche notre sous-traitant ?
Le sous-traitant doit vous alerter dans les meilleurs délais, mais la notification à la CNIL incombe au responsable de traitement (article 33 du RGPD). Le contrat de sous-traitance doit organiser cette coopération.

Le dépôt de plainte est-il obligatoire ?
Aucun texte général n'impose de déposer plainte. Mais pour les professionnels assurés, la plainte sous 72 heures conditionne l'indemnisation des pertes causées par l'atteinte au système d'information (article L. 12-10-1 du Code des assurances). L'ANSSI recommande par ailleurs le dépôt de plainte systématique.

Quelles peines encourt l'auteur d'une cyberattaque ?
L'accès ou le maintien frauduleux dans un système est puni de 3 ans d'emprisonnement et 100 000 € d'amende, l'entrave au fonctionnement de 5 ans et 150 000 €, l'extraction frauduleuse de données de 5 ans et 150 000 € (articles 323-1 à 323-3 du Code pénal). Ces peines sont aggravées en bande organisée.

Sources officielles

• Articles 33 et 34 du règlement (UE) 2016/679 (RGPD), notification des violations de données et communication aux personnes concernées – EUR-Lex
• Article L. 12-10-1 du Code des assurances, dépôt de plainte sous 72 heures conditionnant l'indemnisation des risques cyber – Légifrance
• Article 323-1 du Code pénal, accès et maintien frauduleux dans un système de traitement automatisé de données – Légifrance
• ANSSI et ministère de la Justice (DACG), guide « Attaques par rançongiciels, tous concernés » – cyber.gouv.fr
• CNIL, « Cyberattaque : le sous-traitant au centre de la crise », 27 mai 2026 – cnil.fr

Cet article présente l'état du droit à titre d'information générale. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.