La réponse en trois phrases
Si l'assureur invoque une clause du contrat sur la déclaration tardive du sinistre, l'article L.113-2 du code des assurances lui impose deux choses : que la clause existe, et qu'il établisse un préjudice causé par votre retard. S'il invoque la condition légale des 72 heures de l'article L.12-10-1, cette exigence de préjudice n'existe pas — c'est la loi elle-même qui subordonne l'indemnisation au dépôt de plainte. Demandez donc par écrit sur quel texte le refus se fonde : la réponse détermine ce que vous avez à discuter.
Premier fondement : la condition légale des 72 heures
L'article L.12-10-1 du code des assurances, créé par la loi du 24 janvier 2023, subordonne l'indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte.
Trois précisions qui changent l'analyse :
- Le point de départ est la connaissance de l'atteinte, non sa survenance. Une intrusion découverte trois mois après les faits ouvre le délai au jour de la découverte.
- Le champ couvre toutes les atteintes réprimées par les articles 323-1 à 323-3-1 du code pénal — accès frauduleux, maintien dans le système, entrave au fonctionnement, altération de données — et non le seul rançongiciel, contrairement à ce que laissait attendre l'exposé des motifs de la loi.
- L'obligation vise les personnes morales et les personnes physiques agissant à titre professionnel.
Second fondement : la déchéance contractuelle, bien plus encadrée
L'article L.113-2 impose de déclarer le sinistre à l'assureur dans le délai fixé par le contrat, qui ne peut être inférieur à cinq jours ouvrés. Mais il encadre étroitement ce que l'assureur peut en tirer :
- La déchéance pour déclaration tardive n'est opposable que si elle est prévue par une clause du contrat ;
- et seulement si l'assureur établit que le retard lui a causé un préjudice ;
- elle ne l'est jamais lorsque le retard résulte d'un cas fortuit ou de la force majeure.
Le point que presque personne ne relève
Le même article L.113-2 déclare nulles « toutes clauses frappant de déchéance l'assuré à raison de simple retard apporté par lui à la déclaration du sinistre aux autorités ».
Autrement dit : une clause de votre contrat qui vous priverait de garantie parce que vous avez porté plainte trop tard serait nulle. C'est précisément pour cette raison que le législateur a dû passer par une loi en 2023 — le contrat ne pouvait pas le faire. Si le refus qu'on vous oppose se fonde sur une clause et non sur l'article L.12-10-1, ce point mérite d'être soulevé.
Ce qui les sépare, en un tableau
| Condition légale | Déchéance contractuelle | |
|---|---|---|
| Texte | Art. L.12-10-1 | Art. L.113-2 |
| Origine | La loi du 24 janvier 2023 | Une clause de votre contrat |
| Objet du retard | La plainte aux autorités | La déclaration à l'assureur |
| Délai | 72 heures depuis la connaissance | Fixé au contrat, cinq jours ouvrés au minimum |
| Préjudice à prouver | Non | Oui, par l'assureur |
| Cas fortuit, force majeure | Le texte ne le prévoit pas | Rend la déchéance inopposable |
| Clause sur le retard aux autorités | Sans objet | Nulle |
Ce qu'il faut faire, dans l'ordre
- 1. Obtenir le fondement par écrit Demandez à votre assureur, par courrier recommandé, l'article ou la clause précise sur laquelle repose le refus. Un refus qui ne nomme pas son fondement ne se discute pas.
- 2. Reconstituer la chronologie Date et heure de la découverte, qui l'a faite, comment. C'est ce qui fixe le point de départ des 72 heures, et c'est ce qui se reconstitue le plus mal après coup.
- 3. Relire la clause invoquée Si elle porte sur la déclaration aux autorités, elle est nulle. Si elle porte sur la déclaration à l'assureur, demandez quel préjudice le retard lui a causé.
- 4. Saisir la Médiation de l'assurance Gratuite, après épuisement du recours interne auprès de l'assureur. Elle publie des études de cas sur la déclaration tardive.
Ce qui aurait évité le litige
La quasi-totalité de ces dossiers se joue sur une chose : personne n'avait, au moment de l'incident, la liste de qui héberge quoi ni le réflexe des 72 heures. Les deux se préparent à froid, gratuitement.
La fiche réflexe à imprimer et à afficher · Les deux délais de 72 heures que tout le monde confond
Établir vos dépendances avant d'en avoir besoin
Le diagnostic gratuit dresse la liste de vos dépendances externes — qui héberge votre site, qui route vos courriels, qui détient votre nom de domaine — à partir de sources publiques, sans rien installer.
Sources
- Article L.113-2 du code des assurances — délai de déclaration, conditions de la déchéance, nullité des clauses visant le retard aux autorités.
- Article L.12-10-1 du code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023, en vigueur depuis le 24 avril 2023.
- Médiation de l'assurance — étude de cas sur la déclaration tardive de sinistre.
Cette page décrit l'état du droit au 6 septembre 2026 et expose des règles générales. Elle ne constitue pas un conseil juridique : l'issue d'un litige dépend des stipulations de votre contrat et des circonstances de l'espèce. Si un refus vous est opposé, faites analyser votre police par un avocat.
Rédigé et vérifié par Thierry Murte, gérant de CyQuant Management (SIREN 981 436 686), à partir des textes primaires liés ci-dessus.