Les recherches Google autour des attaques cyber ne portent plus seulement sur la prévention. Les dirigeants cherchent surtout quoi faire lorsque l’attaque est déjà là : serveur bloqué, données clients exposées, rançon reçue, prestataire informatique muet, assureur qui demande une plainte, clients qui réclament une explication.
L’actualité récente confirme cette urgence. Cybermalveillance.gouv.fr a mis à jour en février 2026 sa fiche relative à la violation de données de Bouygues Telecom, en rappelant les risques de fraude après exposition de coordonnées, données contractuelles, données d’état civil ou informations d’entreprise. La CNIL a aussi sanctionné Free et Free Mobile en janvier 2026 pour des insuffisances de sécurité après une fuite de données. Pour une PME, une société commerciale ou une plateforme en ligne, le sujet n’est donc plus abstrait.
Le bon réflexe n’est pas d’attendre un rapport informatique complet. Les 72 premières heures servent à contenir l’incident, préserver la preuve, vérifier la notification CNIL, déposer plainte lorsque l’assurance cyber l’exige et préparer les échanges avec les clients, fournisseurs et prestataires.
Première heure : contenir l’incident sans détruire les preuves
Une cyberattaque provoque souvent de mauvais réflexes. On redémarre les serveurs. On réinstalle les postes. On efface les courriels suspects. On supprime les fichiers chiffrés. On demande au prestataire de « nettoyer vite ».
Ces gestes peuvent être nécessaires techniquement, mais ils deviennent dangereux s’ils détruisent les preuves. L’entreprise doit isoler les machines touchées, couper les accès compromis, changer les accès critiques avec méthode, conserver les journaux, capturer les écrans utiles, sauvegarder les messages de rançon, figer les courriels d’hameçonnage et noter l’heure exacte de découverte.
Cette heure de découverte est décisive. Plusieurs délais commencent lorsque l’entreprise a connaissance de l’atteinte ou de la violation, pas nécessairement lorsque l’attaquant est entré dans le système.
Il faut aussi éviter les déclarations définitives. Écrire à chaud « aucune donnée n’a été exfiltrée » peut se retourner contre l’entreprise si les logs ne permettent pas encore de l’affirmer. La bonne formule est plus prudente : incident constaté, périmètre en cours d’analyse, mesures de confinement engagées, informations complémentaires à venir.
Dans les 24 heures : qualifier juridiquement la cyberattaque
Toutes les attaques ne produisent pas les mêmes obligations. Une entreprise doit distinguer quatre niveaux.
Le premier niveau est l’indisponibilité. Le site, le logiciel de caisse, l’ERP, la messagerie ou le CRM ne fonctionne plus, sans indice immédiat d’accès non autorisé aux données.
Le deuxième niveau est l’atteinte au système de traitement automatisé de données : intrusion, maintien frauduleux, altération, extraction, blocage ou rançongiciel. C’est le terrain pénal, mais aussi celui de l’assurance cyber.
Le troisième niveau est la violation de données personnelles. Elle existe lorsqu’il y a destruction, perte, altération, divulgation non autorisée ou accès non autorisé à des données personnelles. La CNIL rappelle que l’entreprise doit documenter l’incident, même lorsqu’elle estime ensuite que la notification n’est pas nécessaire.
Le quatrième niveau est commercial : pertes d’exploitation, clients bloqués, pénalités, incident fournisseur, rupture de service, frais de restauration, atteinte à l’image, perte de commandes ou conflit avec un prestataire.
Ces niveaux se cumulent. Une attaque par rançongiciel peut être à la fois un incident informatique, une violation RGPD, un sinistre d’assurance, une inexécution contractuelle et un contentieux commercial.
CNIL : quand faut-il notifier dans les 72 heures ?
La notification à la CNIL n’est pas automatique pour chaque panne. Elle devient nécessaire lorsque la violation de données personnelles présente un risque pour les droits et libertés des personnes concernées.
La fiche officielle de la CNIL sur la notification d’une violation de données personnelles impose une démarche en deux temps : documenter en interne, puis notifier si le niveau de risque le justifie. La CNIL précise aussi, dans ses recommandations sur la sécurité, qu’il ne faut pas attendre un dossier parfait lorsque la violation est déjà établie.
En pratique, l’entreprise doit ouvrir un registre interne de l’incident. Ce registre doit indiquer la nature de l’attaque, la date de découverte, les traitements concernés, les catégories de données, les personnes touchées, les conséquences probables et les mesures prises.
Si le risque existe, la notification doit être transmise dans les meilleurs délais et, si possible, dans les 72 heures. Si l’entreprise ne dispose pas encore de toutes les informations, elle peut notifier avec les éléments disponibles puis compléter.
Lorsque le risque est élevé, l’entreprise doit aussi informer les personnes concernées. Le message doit être utile : ce qui s’est passé, quelles données sont potentiellement touchées, quelles mesures sont prises, quels gestes de vigilance adopter, quel contact utiliser.
Plainte dans les 72 heures : l’enjeu de l’assurance cyber
Le délai de 72 heures ne concerne pas seulement la CNIL. Il peut aussi conditionner l’indemnisation par l’assurance cyber.
L’article L. 12-10-1 du Code des assurances subordonne le versement d’une indemnité couvrant les pertes et dommages causés par une atteinte à un système informatique au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte par la victime. Cette règle s’applique aux personnes morales et aux personnes physiques agissant dans le cadre professionnel.
Cela ne veut pas dire que l’assureur paiera automatiquement. Le contrat peut contenir des exclusions, des plafonds, des franchises, des prestataires imposés, des obligations déclaratives et des conditions de prise en charge. Mais sans plainte dans le délai, la discussion peut devenir beaucoup plus difficile.
Le dépôt de plainte doit donc être préparé rapidement. Il faut réunir les premières preuves : messages de rançon, adresses de connexion, courriels suspects, captures d’écran, journaux disponibles, liste des postes touchés, date de découverte, premières mesures de confinement et premiers impacts économiques.
Assurance cyber : déclarer sans se piéger
Après une cyberattaque, l’entreprise doit relire immédiatement sa police d’assurance. Certains contrats imposent une déclaration immédiate, un numéro d’urgence, un prestataire référencé ou l’accord préalable de l’assureur avant certaines dépenses.
La déclaration doit rester factuelle. Elle peut indiquer les symptômes, la date de découverte, les systèmes concernés, les données potentiellement touchées, les mesures de confinement, la plainte déposée ou en préparation, les frais déjà engagés et les pertes visibles.
Il faut éviter les formulations définitives lorsque l’enquête technique n’est pas terminée. Il vaut mieux écrire que l’étendue exacte de l’exfiltration est en cours de vérification que garantir trop tôt l’absence de fuite.
Il faut aussi conserver toutes les pièces : factures de prestataire, rapport d’intervention, devis de restauration, temps d’arrêt, commandes annulées, pénalités contractuelles, communications clients, captures de back-office, échanges avec l’hébergeur, tickets de support et dépenses de communication.
Clients et fournisseurs : qui prévenir ?
Une cyberattaque n’est pas seulement un incident interne. Elle peut toucher les clients, fournisseurs, partenaires, banques, plateformes de paiement, sous-traitants et prestataires SaaS.
Il faut relire les contrats importants. Certains contrats imposent une notification rapide en cas d’incident de sécurité. D’autres prévoient un audit, une coopération renforcée, une clause de confidentialité, une clause de sécurité, une clause de continuité d’activité ou une limitation de responsabilité.
Lorsque l’attaque provient d’un prestataire, il faut demander les éléments techniques sans délai : date de première détection, périmètre touché, logs, mesures de correction, sauvegardes, rapport d’incident et données concernées. Si le prestataire refuse de coopérer, une mise en demeure ou une procédure en référé peut être utile pour obtenir les logs, récupérer un accès ou préserver une preuve.
Lorsque l’entreprise est elle-même prestataire, elle doit sécuriser sa communication. Un client peut ensuite invoquer une inexécution contractuelle, des pénalités, une perte de chiffre d’affaires ou une atteinte à son image. La traçabilité des décisions prises pendant la crise devient alors une défense centrale.
Comment prouver les pertes de l’entreprise ?
Une indemnisation se prépare dès le premier jour. Les pertes ne se prouvent pas seulement avec un rapport informatique. Elles se prouvent avec des chiffres, des dates et des documents.
L’entreprise doit conserver les statistiques de ventes avant et après l’incident, les commandes annulées, les tickets clients, les courriels de réclamation, les périodes d’interruption, les factures de remédiation, les temps passés, les coûts de communication, les pénalités et les justificatifs de pertes d’exploitation.
Si le litige vise un prestataire informatique, un hébergeur, un éditeur SaaS ou une plateforme de paiement, il faudra établir le lien entre la faute alléguée et le dommage : sauvegarde inexistante, faille non corrigée, double authentification absente, accès administrateur mal protégé, mauvaise configuration ou défaut d’alerte.
Les décisions recensées par Judilibre montrent que les contentieux cyber se gagnent rarement sur des affirmations générales. Les juges regardent le contrat, les sauvegardes, les clauses de responsabilité, les interventions réalisées, les preuves techniques et la capacité du demandeur à chiffrer son préjudice.
Dirigeant : les erreurs à éviter
Le dirigeant n’a pas à devenir expert en cybersécurité. Il doit en revanche organiser une réponse raisonnable.
Les erreurs fréquentes sont simples : supprimer les traces, attendre trop longtemps avant d’évaluer la notification CNIL, oublier la plainte exigée par l’assurance, laisser le prestataire informatique gérer seul le juridique, communiquer trop vite aux clients, ne pas ouvrir de registre interne, ou ne pas conserver les preuves économiques.
La réponse doit être structurée autour d’une cellule de crise courte : direction, prestataire informatique, DPO ou référent données, avocat, assureur, communication si nécessaire. Chaque décision importante doit être datée.
Cette chronologie protège l’entreprise. Elle permet de montrer que les décisions ont été prises avec méthode, sur la base des informations disponibles, et non dans l’improvisation.
Paris et Île-de-France : les réflexes pratiques
Pour une entreprise située à Paris ou en Île-de-France, les démarches CNIL et assurance restent nationales. Mais la gestion concrète dépend souvent de la rapidité d’exécution locale.
La plainte doit être préparée avec un dossier technique exploitable. Les échanges avec l’hébergeur, l’infogérant, l’agence web, la banque ou la plateforme de paiement doivent être centralisés. Les clients stratégiques doivent recevoir une information cohérente, ni minimisée ni alarmiste.
En cas de blocage d’accès, de refus de remettre des logs, de suppression possible de preuves ou de menace commerciale immédiate, une procédure rapide peut être envisagée. Le contrat déterminera souvent la juridiction compétente, notamment lorsqu’il contient une clause attributive de compétence entre professionnels.
Le lien avec le droit des affaires à Paris est direct : la cyberattaque devient vite un litige de contrat, d’assurance, de responsabilité, de preuve et de continuité commerciale.
Checklist des 72 heures après cyberattaque
Dans les 72 premières heures, l’entreprise doit viser cinq résultats.
Premièrement, contenir l’incident sans détruire les preuves : isoler, documenter, conserver les logs, dater la découverte.
Deuxièmement, qualifier l’incident : simple panne, atteinte informatique, violation de données personnelles, sinistre d’assurance, litige prestataire ou dommage commercial.
Troisièmement, traiter le RGPD : registre interne, évaluation du risque, notification CNIL si nécessaire, information des personnes si le risque est élevé. Les recommandations de la CNIL sur la gestion des incidents et violations donnent un cadre opérationnel utile.
Quatrièmement, préserver l’assurance : relire la police, respecter le canal de déclaration, vérifier les prestataires imposés, déposer plainte dans le délai lorsque l’article L. 12-10-1 du Code des assurances s’applique.
Cinquièmement, préparer les recours : identifier le prestataire en cause, obtenir les rapports et les logs, chiffrer les pertes, conserver les échanges clients et préserver les preuves.
La fiche de Cybermalveillance.gouv.fr sur la violation de données Bouygues Telecom illustre le risque concret : après une fuite, les victimes peuvent subir des tentatives de fraude, hameçonnage ou usurpation. Pour une entreprise, la réponse juridique doit donc aller au-delà de l’informatique. Elle doit protéger les personnes, l’assurance, les contrats et la preuve.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous pouvons qualifier la cyberattaque, préparer les notifications utiles, sécuriser la preuve des pertes et cadrer la stratégie de recours, d’assurance ou de mise en demeure.
Pour une entreprise située à Paris ou en Île-de-France, l’analyse peut intégrer les contrats commerciaux, l’assurance cyber, les prestataires locaux, les preuves à préserver et l’urgence d’une procédure en référé lorsque des accès ou des logs doivent être obtenus rapidement.