#Avocat cybersécurité

L'essentiel

• Un avocat en cybersécurité sécurise juridiquement votre organisation avant, pendant et après un incident.
• La notification d'une violation de données à la CNIL intervient dans les meilleurs délais et, si possible, sous 72 heures après la prise de connaissance, si un risque existe (article 33 du RGPD).
• Pour les professionnels assurés, l'indemnisation par une assurance cyber suppose une plainte déposée sous 72 heures (article L. 12-10-1 du Code des assurances).
• Au 1er octobre 2026, la loi française de transposition de NIS2 n'est toujours pas adoptée ; son examen en séance publique à l'Assemblée nationale est inscrit au 7 octobre 2026. DORA s'applique au secteur financier depuis le 17 janvier 2025.
• L'avocat traite les questions juridiques ; l'investigation et la remédiation techniques relèvent d'experts spécialisés indépendants.

Un avocat en cybersécurité conseille les entreprises sur la prévention juridique du risque cyber, organise la réponse à un incident et gère les contentieux qui en découlent. Vous le sollicitez en amont pour cadrer contrats et conformité, puis, en cas d'attaque, pour les notifications obligatoires, la plainte et le dialogue avec l'assureur. Hashtag Avocats, cabinet de droit du numérique à Paris, vous accompagne sur ces trois volets.

Vous cherchez un avocat en sécurité informatique pour votre entreprise ? C'est l'objet de cette page : elle s'adresse aux entreprises et aux organisations, pas à la sécurité informatique des cabinets d'avocats. Particulier victime d'un piratage ou d'une arnaque en ligne ? Consultez plutôt notre page avocat cybercriminalité.

Les situations que nous traitons

Voici les demandes les plus fréquentes, classées par profil d'entreprise. Elles servent à vous situer : chaque situation est particulière et appelle une analyse propre.

PME et ETI victimes d'un rançongiciel ou d'une fuite de données

Vos systèmes sont chiffrés ou vos données ont été exfiltrées. Nous qualifions l'incident, préparons la notification à la CNIL et l'information des personnes, rédigeons la plainte dans le délai utile pour l'assurance et encadrons les échanges avec l'assureur. Le détail de cet accompagnement figure sur la page de notre avocat cyberattaque pour les entreprises.

Éditeurs SaaS, hébergeurs et prestataires informatiques

Votre client vous reproche une faille, ou votre propre prestataire a été piraté. Comme sous-traitant au sens du RGPD, vous devez notifier toute violation à votre client « dans les meilleurs délais » (article 33.2 du RGPD). Nous revoyons vos clauses de sécurité et de responsabilité, et nous vous défendons en cas de mise en cause. Voir aussi notre avocat SaaS.

Entreprises concernées par NIS2

Votre secteur figure parmi ceux visés par la directive NIS2. Tant que la loi française n'est pas adoptée, nous préparons votre gouvernance, vos contrats et votre procédure de gestion d'incident à partir de la directive et du projet de loi, en signalant ce qui peut encore changer. Le périmètre est détaillé par notre avocat NIS2.

Entités financières et leurs prestataires informatiques (DORA)

Depuis le 17 janvier 2025, le règlement DORA impose aux entités financières un contrat écrit unique avec chaque prestataire de services TIC, avec des clauses minimales : niveaux de service, localisation des données, assistance en cas d'incident, droits de résiliation (article 30). L'entité financière reste pleinement responsable de ses obligations, même quand elle externalise (article 28). Nous auditons et renégocions ces contrats, côté entité financière comme côté prestataire. Voir notre article sur les obligations DORA et les contrats TIC.

Anticiper : réduire le risque juridique avant l'incident

Cartographie juridique et gouvernance du risque cyber

Le premier chantier consiste à identifier vos obligations réelles. L'article 32 du RGPD impose des mesures de sécurité « appropriées au risque » : pseudonymisation, chiffrement, tests réguliers. Cette obligation s'apprécie selon la nature de vos traitements et l'état des connaissances. Nous auditons vos engagements juridiques, vos polices d'assurance et votre documentation, puis nous hiérarchisons les actions correctives. Ce travail s'articule avec notre pratique en conformité RGPD.

Contrats informatiques et sous-traitants

Une grande partie du risque cyber se loge dans vos contrats : hébergement, infogérance, SaaS, maintenance. L'article 28.3 f) du RGPD exige que le contrat de sous-traitance prévoie l'aide du sous-traitant pour respecter les obligations de sécurité et de notification. Nous vérifions les clauses de sécurité, de réversibilité, de responsabilité et d'alerte en cas d'incident. Un contrat bien négocié conditionne vos recours si votre prestataire défaille.

Charte informatique et règles internes

Les usages internes constituent une porte d'entrée fréquente des attaques. Une charte informatique opposable encadre les accès, les mots de passe, le télétravail et les équipements personnels. Nous la rédigeons et organisons son intégration au règlement intérieur, pour qu'elle produise ses effets juridiques.

Assurance cyber : vérifier la garantie avant d'en avoir besoin

Depuis la loi LOPMI, l'article L. 12-10-1 du Code des assurances subordonne l'indemnisation des pertes causées par une atteinte à un système informatique à un dépôt de plainte dans les 72 heures suivant la connaissance de l'atteinte. Cette condition vise les professionnels, personnes morales ou physiques. Nous analysons vos polices : périmètre garanti, exclusions, obligations déclaratives, articulation avec vos procédures internes de crise. Pour aller plus loin, notre article assurance cyber : garanties, exclusions et refus d'indemnisation détaille la contestation d'un refus.

NIS2 et DORA : anticiper les textes sectoriels

La directive (UE) 2022/2555, dite NIS2, est en vigueur au niveau européen. Au 1er octobre 2026, la loi française de transposition n'est toujours pas adoptée : le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », voté par le Sénat le 12 mars 2025, est inscrit en séance publique à l'Assemblée nationale le 7 octobre 2026. Tant que la loi n'est pas publiée, aucune sanction ni aucun délai NIS2 ne s'impose directement aux entreprises françaises. Les obligations envisagées – enregistrement, gestion des risques, notification d'incidents, sanctions – pourront évoluer jusqu'à l'adoption définitive. L'ANSSI propose déjà un pré-enregistrement volontaire des futures entités concernées. Le règlement (UE) 2022/2554, dit DORA, s'applique quant à lui depuis le 17 janvier 2025, mais uniquement aux entités financières et à leurs prestataires informatiques. Nous suivons ces textes et préparons votre mise à niveau contractuelle et documentaire. Le périmètre des entités concernées et le calendrier sont détaillés par notre avocat NIS2.

Réagir : organiser la réponse juridique à une cyberattaque

Qualifier l'incident et documenter

Les premières heures déterminent la suite. Nous qualifions juridiquement les faits : atteinte au système, violation de données personnelles, ou les deux. L'article 33.5 du RGPD impose de documenter toute violation en interne, même celles qui ne seront pas notifiées. Cette documentation servira face à la CNIL, à l'assureur et au juge. Les réflexes des premières heures sont détaillés dans notre guide « Cyberattaque : que faire dans les premières heures ? », et l'accompagnement de l'entreprise attaquée, étape par étape, sur la page de notre avocat cyberattaque.

Notifier la CNIL et informer les personnes

Si la violation de données présente un risque pour les personnes, l'article 33 du RGPD impose une notification à la CNIL dans les meilleurs délais et, si possible, sous 72 heures après la prise de connaissance. L'information des personnes concernées obéit à un seuil distinct : elle n'est due qu'en cas de risque élevé (article 34). Nous détaillons ces obligations sur notre page avocat violation de données personnelles.

Déposer plainte et préserver la garantie d'assurance

Le dépôt de plainte poursuit deux objectifs : déclencher l'action publique et préserver votre indemnisation. Sans plainte dans les 72 heures de la connaissance de l'atteinte, l'assureur ne peut pas verser l'indemnité couvrant vos pertes (article L. 12-10-1 du Code des assurances). Attention : ce délai de 72 heures est distinct de celui de la notification CNIL, avec un autre destinataire et un autre objet. Sur le volet pénal, notre page avocat cybercriminalité détaille les infractions et le parcours de la victime ; en cas d'intrusion dans vos systèmes, les recours sont présentés par notre avocat piratage informatique.

La question de la rançon

L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne pas payer la rançon : aucune garantie de récupération, divulgation possible malgré le paiement, financement de la criminalité. Le paiement n'est pas, en soi, interdit par la loi française. Il peut toutefois exposer l'entreprise à un risque au regard des mesures restrictives européennes contre les cyberattaques, si le bénéficiaire est une personne ou entité listée. Cette décision se prend avec un éclairage juridique complet. Notre guide détaillé « Ransomware : faut-il payer la rançon ? » approfondit ce cadre juridique.

Délais légaux après une cyberattaque : le tableau récapitulatif

Ces délais courent en parallèle et visent des destinataires différents. Ils partent en général du moment où vous avez connaissance de l'incident, pas de l'attaque elle-même.

Obligation	Délai	Qui est concerné	Texte
Notifier la violation de données à la CNIL	Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (motifs du retard à fournir au-delà)	Responsable du traitement, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes	Art. 33 RGPD
Alerter son client responsable du traitement	Dans les meilleurs délais	Sous-traitant (hébergeur, éditeur SaaS, infogérant…)	Art. 33.2 RGPD
Informer les personnes concernées	Dans les meilleurs délais	En cas de risque élevé, sauf exceptions (données chiffrées, risque neutralisé, efforts disproportionnés)	Art. 34 RGPD
Porter plainte pour préserver l'indemnisation d'assurance	72 heures au plus tard après la connaissance de l'atteinte	Personnes morales et professionnels assurés (pas les particuliers)	Art. L. 12-10-1 C. assur.
Notification initiale d'un incident TIC majeur	4 heures après sa classification comme majeur, et au plus tard 24 heures après en avoir eu connaissance	Entités financières soumises à DORA	Art. 19 DORA ; règl. délégué (UE) 2025/301, art. 5
Rapports intermédiaire et final DORA	72 heures après la notification initiale, puis un mois après le rapport intermédiaire	Entités financières soumises à DORA	Règl. délégué (UE) 2025/301, art. 5
Alerte précoce, notification et rapport final NIS2	24 heures, 72 heures, puis un mois	Entités essentielles et importantes, une fois la loi française adoptée	Art. 23 directive (UE) 2022/2555

Ne pas notifier une violation de données est aussi une infraction pénale : cinq ans d'emprisonnement et 300 000 € d'amende (article 226-17-1 du Code pénal). Côté CNIL, un manquement à la sécurité ou à la notification peut être sanctionné jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83.4 du RGPD). Ces sanctions sont appliquées : par deux délibérations du 8 janvier 2026, la CNIL a prononcé 42 millions d'euros d'amendes contre Free Mobile et Free après une intrusion touchant 24 millions de contrats d'abonnés, notamment pour une sécurité insuffisante et une information incomplète des personnes.

Contester : faire valoir vos droits après l'incident

Une fois l'urgence passée, plusieurs recours s'ouvrent : action contre le prestataire informatique défaillant, mise en cause du sous-traitant, contestation d'un refus de garantie de l'assureur, défense face aux réclamations de clients ou de salariés. Ces procédures obéissent à des logiques distinctes et se préparent dès la gestion de crise, notamment par la préservation des preuves. Notre page avocat contentieux cyber présente ces recours en détail.

Ce que fait l'avocat, ce que font les experts techniques

Un avocat ne réalise ni audit de sécurité des systèmes, ni investigation numérique, ni restauration d'infrastructure. Ces missions relèvent d'experts techniques indépendants, avec lesquels nous coordonnons notre intervention. La répartition des rôles est la suivante :

Ce que fait l'avocat	Ce que font les experts techniques
Qualification juridique de l'incident et des responsabilités	Investigation numérique et analyse de la compromission
Notifications obligatoires (CNIL, personnes concernées)	Confinement, éradication et restauration des systèmes
Plainte pénale et échanges avec l'assureur	Collecte technique des traces et journaux
Contrats, conformité, contentieux et stratégie de communication juridique	Tests de sécurité et durcissement des infrastructures

Deux pôles complémentaires au service du risque cyber

Le traitement du risque cyber mobilise deux expertises du cabinet. Arnaud Touati, avocat associé co-fondateur, dirige le pôle Contractuel IP-IT : protection des données personnelles, contrats informatiques, intelligence artificielle. Harry Allouche, avocat associé co-fondateur, dirige le pôle Corporate/Tax : obligations des dirigeants, assurances, dimension financière des incidents. Cette double lecture couvre les aspects contractuels, réglementaires et sociétaires d'une crise cyber. Arnaud Touati est inscrit aux barreaux de Paris et de Luxembourg. Cette page a été rédigée sous sa responsabilité et mise à jour le 1er octobre 2026.

FAQ : avocat cybersécurité

Que fait un avocat en cybersécurité ?

Il intervient sur trois plans : la prévention (contrats, conformité, charte, assurance), la réponse à incident (notifications, plainte, assureur) et le contentieux (prestataires, sous-traitants, réclamations). Il ne remplace pas les experts techniques : il organise le volet juridique de la crise et coordonne son action avec eux.

Faut-il notifier la CNIL après une cyberattaque ?

Pas systématiquement. La notification s'impose si l'attaque a entraîné une violation de données personnelles susceptible d'engendrer un risque pour les personnes (article 33 du RGPD). Si aucun risque n'est vraisemblable, la notification n'est pas due, mais la violation doit être documentée en interne.

Quel est le délai pour notifier une violation de données ?

La notification intervient dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance de la violation, pas après l'attaque elle-même. Une notification échelonnée est possible si toutes les informations ne sont pas disponibles immédiatement (article 33.4 du RGPD).

NIS2 : mon entreprise est-elle concernée ?

Au 1er octobre 2026, la loi française de transposition de NIS2 n'est pas encore adoptée : le périmètre national définitif n'est donc pas arrêté. Le projet de loi vise des entités essentielles et importantes de nombreux secteurs. L'ANSSI permet déjà un pré-enregistrement volontaire. Une analyse au cas par cas reste nécessaire, à jour du texte applicable.

Que faire dans les premières heures d'une cyberattaque ?

Isolez les machines touchées du réseau sans les éteindre, sauf si un chiffrement est en cours, et conservez les preuves : journaux, copies, message de rançon. Déposez plainte avant de réinstaller vos appareils. Si des données personnelles sont touchées, préparez la notification à la CNIL. Prévenez votre assureur en gardant en tête le délai de 72 heures de l'article L. 12-10-1 du Code des assurances. Ces réflexes reprennent les recommandations de Cybermalveillance.gouv.fr.

Faut-il payer la rançon ?

L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne pas payer : rien ne garantit la récupération des données ni l'absence de divulgation, et le paiement encourage les attaquants. La décision engage l'entreprise et ses dirigeants ; elle se prend avec un éclairage juridique et se documente.

Avocat ou expert en sécurité informatique : qui appeler en premier ?

Les deux, en parallèle. L'expert technique contient l'attaque et collecte les traces ; l'avocat gère les délais légaux, la plainte, l'assureur et les échanges avec les autorités. Faire intervenir l'avocat dès le début permet aussi d'organiser les constats de façon utile pour d'éventuels recours.

Combien coûte un avocat en cybersécurité ?

Les honoraires dépendent du périmètre : audit contractuel ponctuel, accompagnement de conformité, gestion de crise ou contentieux. Ils font l'objet d'une convention d'honoraires préalable, au forfait ou au temps passé. Chaque situation est particulière : le devis suit un premier échange sur vos besoins.

Sources officielles

• Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33 et 34 : texte consolidé sur EUR-Lex
• Article L. 12-10-1 du Code des assurances (loi n° 2023-22 du 24 janvier 2023) : Légifrance
• Directive (UE) 2022/2555 (NIS2), état de la transposition en France : espace NIS2 de l'ANSSI
• Règlement (UE) 2022/2554 (DORA) : présentation par l'ACPR
• Guide « Attaques par rançongiciels, tous concernés » (ANSSI-DACG) : messervices.cyber.gouv.fr
• Fiche réflexe rançongiciels : Cybermalveillance.gouv.fr
• Articles 226-17 et 226-17-1 du Code pénal (sécurité et notification des violations) : Légifrance
• Règlement délégué (UE) 2025/301 (délais de déclaration des incidents DORA) : EUR-Lex
• Directive (UE) 2022/2555 (NIS2), article 23 : EUR-Lex
• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif de l'Assemblée nationale
• CNIL, sanction de Free Mobile et Free (délibérations du 8 janvier 2026) : cnil.fr

État du droit en vigueur au 1er octobre 2026. Ce contenu présente une information générale et ne constitue pas une consultation juridique. Chaque situation est particulière : contactez notre équipe pour exposer votre situation.