Le premier : la plainte, sans laquelle votre assureur peut ne rien payer
Depuis la loi du 24 janvier 2023, l'article L.12-10-1 du code des assurances dispose que l'indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données est subordonnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte.
Le mot qui compte est subordonnée. Ce n'est pas une formalité recommandée : son inobservation ouvre une déchéance de garantie. Vous pouvez avoir souscrit un contrat cyber, payé vos primes, subi un sinistre couvert — et ne rien percevoir, faute d'une démarche de quelques heures.
Deux idées fausses répandues
« Cela ne vise que les rançongiciels. » Non. Malgré ce que laissait attendre l'exposé des motifs, l'article couvre l'ensemble des atteintes réprimées par les articles 323-1 à 323-3-1 du code pénal : accès frauduleux, maintien dans le système, entrave au fonctionnement, altération de données. Le rançongiciel n'en est qu'un cas parmi d'autres.
« Les 72 heures courent depuis l'attaque. » Non. Elles courent depuis la connaissance de l'atteinte. Une intrusion découverte trois mois après les faits ouvre le délai au jour de la découverte — raison pour laquelle la date et l'heure de cette découverte doivent être consignées dès le premier instant.
L'obligation pèse sur les personnes morales et sur les personnes physiques agissant à titre professionnel. Un particulier n'est pas concerné.
Le second : la notification à la CNIL, qui ne concerne que les données personnelles
L'article 33 du RGPD impose de notifier à la CNIL une violation de données à caractère personnel dans les 72 heures après en avoir pris connaissance — à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes.
Deux précisions que l'on lit rarement. D'abord, l'obligation pèse sur le responsable du traitement : un sous-traitant, lui, notifie le responsable, et non la CNIL. Ensuite, si le risque est élevé, l'article 34 impose en outre d'informer individuellement les personnes concernées — et cette seconde obligation n'est enfermée dans aucun délai, ce qui veut dire qu'elle reste due des mois plus tard.
Et un troisième, pour les rares entités assujetties à NIS 2
Un troisième compteur existe, mais il ne concerne qu'une minorité d'entreprises : celles que la directive NIS 2 assujettit, ce qui exclut la très grande majorité des TPE. Pour elles, l'article 23 impose une alerte précoce sous 24 heures à l'ANSSI, puis une notification d'incident sous 72 heures, puis un rapport final sous un mois.
Nous le mentionnons parce qu'on le voit souvent confondu avec les deux autres, et parfois présenté comme s'il pesait sur toutes les entreprises : six questions suffisent à savoir s'il vous concerne.
Ce qui sépare les deux premiers, en un tableau
| La plainte | La notification CNIL | |
|---|---|---|
| Fondement | Art. L.12-10-1 du code des assurances | RGPD, art. 33 |
| Destinataire | Police, gendarmerie ou procureur | La CNIL |
| Déclencheur | Toute atteinte à un système d'information | Une violation de données personnelles |
| Point de départ | La connaissance de l'atteinte | La connaissance de la violation |
| Si vous ne le faites pas | Votre assureur peut refuser d'indemniser | Sanction administrative de la CNIL |
| Qui est tenu | Personnes morales et professionnels | Le responsable du traitement |
Une attaque peut déclencher l'une, l'autre, ou les deux. Un rançongiciel qui chiffre un fichier client déclenche les deux. Une attaque par déni de service qui n'expose aucune donnée ne déclenche que la première. Un ordinateur perdu contenant un fichier de paie ne déclenche que la seconde.
Ce qu'il faut avoir prêt avant, pas après
Soixante-douze heures paraissent longues jusqu'au moment où l'on découvre l'incident un vendredi soir. Trois choses préparées à l'avance changent tout, et aucune ne coûte d'argent :
- Le numéro de votre contrat cyber et le numéro d'urgence de votre assureur, ailleurs que dans la boîte mail qui sera peut-être inaccessible.
- Un endroit où consigner la date et l'heure de la découverte, et qui l'a faite. C'est ce qui fixe le point de départ des deux délais, et c'est ce qu'on reconstitue le plus mal après coup.
- La liste de qui héberge quoi : votre site, votre messagerie, votre comptabilité, vos sauvegardes. C'est la première question que vous posera l'expert, et la première à laquelle vous ne saurez pas répondre dans l'urgence.
Les deux premières tiennent sur une page
Une fiche d'une seule page A4 récapitule les délais et les gestes de la première heure. Elle est faite pour être imprimée et affichée, et librement diffusable — un expert-comptable peut la remettre à ses clients sous son propre nom.
La troisième, nous la produisons pour vous
Le diagnostic gratuit établit la liste de vos dépendances externes — qui héberge votre site, qui route vos courriels, qui détient votre nom de domaine — à partir de sources publiques, sans rien installer.
Sources
- Article L.12-10-1 du code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023 dite LOPMI, en vigueur depuis le 24 avril 2023.
- Notifier une violation de données personnelles, CNIL — article 33 du RGPD.
- Cybermalveillance.gouv.fr, dispositif national d'assistance aux victimes.
Cette page décrit l'état du droit au 10 septembre 2026. Elle expose des règles générales et ne constitue pas un conseil juridique : votre contrat d'assurance peut prévoir des stipulations propres, et lui seul fait foi entre vous et votre assureur.
Rédigé et vérifié par Thierry Murte, gérant de CyQuant Management (SIREN 981 436 686), à partir des textes primaires liés ci-dessus.