La règle légale : porter plainte dans les 72 heures
L’article L12-10-1 du code des assurances, créé par la loi du 24 janvier 2023, subordonne le versement de l’indemnité à une plainte déposée auprès des autorités compétentes. Le délai est de 72 heures à compter du moment où la victime a connaissance de l’atteinte, et non du jour de l’attaque.
La règle concerne les pertes liées à une atteinte à un système de traitement automatisé de données. Elle s’applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. Notez le contact à joindre et la marche à suivre dès maintenant, car une attaque peut démarrer un vendredi soir.
Un second délai : la CNIL
Si l’attaque touche des données personnelles et présente un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à la CNIL dans les 72 heures après en avoir pris connaissance. Une notification initiale est possible, puis un complément. Si le risque est élevé, les personnes concernées doivent aussi être informées.
Toute violation est à inscrire dans un registre interne, même sans notification. Ces deux démarches sont distinctes : déposer plainte ne remplace pas la notification, et l’inverse non plus.
Ce qu’il faut lire dans le contrat
Les garanties varient beaucoup. Demandez ce qui est prévu pour chaque poste, et avec quel plafond :
- L’assistance d’urgence : qui répond, à quelles heures, dans quel délai ?
- La remise en état : restauration des données et des systèmes.
- La perte d’exploitation : à partir de quand, et pendant combien de temps ?
- La responsabilité : réclamations de clients dont les données ont fui.
- Les frais de notification : information des personnes et conseil juridique.
- Les exclusions et conditions : sauvegardes exigées, double authentification, mises à jour, attaques déjà en cours.
Vos engagements comptent autant que la garantie
Le questionnaire demande souvent si vous avez des sauvegardes, un antivirus, des mises à jour régulières. Répondez selon la réalité du terrain, pas selon l’intention. Une fausse déclaration intentionnelle entraîne la nullité du contrat, et une inexactitude de bonne foi peut réduire l’indemnité.
Avant même de chercher un contrat, testez une restauration depuis votre sauvegarde. Gardez une copie hors ligne, activez la double authentification sur la messagerie et notez qui fait quoi en cas d’attaque.
Le jour de l’attaque : l’ordre des gestes
Déconnectez du réseau les postes touchés sans les éteindre, sauf consigne contraire de votre prestataire. Notez l’heure de la découverte, car elle sert pour les délais. Prévenez votre assureur et son assistance. Déposez plainte, puis évaluez avec votre responsable des données s’il faut notifier la CNIL.
Le dispositif public Cybermalveillance.gouv.fr recommande de ne pas payer de rançon et de ne pas entrer en contact avec l’attaquant. Pour la décision à prendre dans votre cas, appuyez-vous sur l’assistance de votre contrat, un conseil juridique et les autorités.
Pour qui ?
- TPE ou PME dont l’activité s’arrête sans ses données
- Commerçant qui vend en ligne ou conserve des données clients
- Cabinet ou indépendant qui gère des dossiers confidentiels
- Entreprise à qui un client demande de justifier sa protection
- Dirigeant qui veut un plan clair pour le jour d’une attaque
À préparer
- La liste de vos logiciels, serveurs et outils en ligne
- Votre système de sauvegarde et la date du dernier test
- Le type et le volume de données clients que vous conservez
- Le chiffre d’affaires qui dépend de vos outils informatiques
- Le nom de votre prestataire informatique et de votre référent
Questions fréquentes
La cyberassurance est-elle obligatoire ?
Non, aucune règle générale ne l’impose aux entreprises. En revanche, un client ou un partenaire peut la demander par contrat.
Que se passe-t-il sans plainte dans les 72 heures ?
L’article L12-10-1 subordonne l’indemnisation à cette plainte. Sans elle, l’assureur peut refuser de verser la somme prévue au titre de cette clause.
À partir de quand courent les 72 heures ?
À partir du moment où vous avez connaissance de l’atteinte, pas du jour de l’attaque. Notez donc précisément l’heure de la découverte.
Une rançon est-elle remboursée par l’assurance ?
Ne le supposez pas. Nous n’avons pas trouvé de source officielle réglant ce point : lisez votre contrat et interrogez l’assureur par écrit.
Faut-il notifier la CNIL à chaque attaque ?
Seulement si des données personnelles sont touchées et qu’un risque existe pour les personnes. Inscrivez toutefois toute violation dans votre registre interne.
Sources officielles
- Légifrance : article L12-10-1 du code des assurances
- CNIL : Violations de données personnelles, les règles à suivre
- CNIL : Notifier une violation de données personnelles
- Cybermalveillance.gouv.fr : guide du risque cyber
- Légifrance : article L113-8 du code des assurances
Information générale, à vérifier selon votre situation et votre contrat. Mis à jour le 3 novembre 2026.
Boutiques et commerces
Comprendre son contrat