Votre entreprise vient de découvrir une cyberattaque : serveurs chiffrés, site dupliqué, fichiers clients exfiltrés, messagerie bloquée. Deux compteurs tournent déjà. Le premier conditionne votre indemnisation : depuis la loi d’orientation et de programmation du ministère de l’intérieur du 24 janvier 2023, le versement d’une somme par votre cyberassurance pour une atteinte à un système de traitement automatisé de données est, pour les professionnels, subordonné au dépôt d’une plainte dans les soixante-douze heures après la connaissance de l’atteinte. Le second engage votre responsabilité de responsable de traitement : toute violation de données personnelles présentant un risque pour les droits et libertés doit être notifiée à la CNIL dans le même délai de soixante-douze heures, et les personnes concernées doivent être informées lorsque le risque est élevé. Manquer l’un de ces délais, c’est risquer de perdre la garantie d’assurance d’un côté et de subir une sanction de l’autre, alors même que l’entreprise est la victime de l’attaque. Cet article décrit la méthode complète : déclarer le sinistre et sécuriser la garantie d’assurance, notifier et documenter le volet données personnelles, puis exercer les recours contre le prestataire fautif et obtenir réparation. Chaque affirmation déterminante renvoie au texte applicable ou à une décision lue intégralement, avec le lien officiel.
I. Déclarer le sinistre et sécuriser la garantie de la cyberassurance
A. Trois délais courent dès la découverte de l’attaque
Le premier délai est celui de la plainte pénale. L’article L12-10-1 du code des assurances, créé par la loi du 24 janvier 2023 et applicable depuis le 24 avril 2023, dispose que «Le versement d’une somme en application de la clause d’un contrat d’assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du code pénal est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime.». Trois précisions sont déterminantes. D’abord, cette condition s’applique uniquement « aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle » : un particulier attaqué à titre personnel n’est pas soumis à cette obligation pour être indemnisé, même si le dépôt de plainte lui reste recommandé. Ensuite, il s’agit d’une disposition d’ordre public qui s’applique à tous les contrats en cours, même lorsque la clause ne figure pas dans la police : l’assureur ne peut pas y renoncer, mais il ne peut pas non plus l’écarter au profit de l’assuré. Enfin, le point de départ est la connaissance de l’atteinte par la victime, et non la date de l’intrusion, souvent antérieure et inconnue : la date et les circonstances de la découverte doivent donc être établies par écrit dès les premières heures, car tout litige sur le délai partira de là. En pratique, la plainte peut être déposée au commissariat ou à la gendarmerie, et le signalement sur la plateforme officielle complète sans remplacer ce dépôt. Les garanties d’assistance de la police cyber peuvent être mobilisées avant l’expiration du délai pour identifier la faille, qualifier les données compromises et commencer à constituer le dossier : l’assistance n’attend pas la plainte, mais l’indemnisation l’exige.
Le deuxième délai est celui de la déclaration à l’assureur. L’article L113-2 du code des assurances oblige l’assuré «De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur.», en ajoutant que «Ce délai ne peut être inférieur à cinq jours ouvrés.». Le contrat fixe donc librement le délai, souvent cinq jours, parfois davantage, mais jamais moins de cinq jours ouvrés. Ce délai court en pratique en parallèle des soixante-douze heures de la plainte : l’entreprise avisée déclare le sinistre par écrit, de préférence par lettre recommandée ou envoi recommandé électronique, en décrivant les faits connus sans les qualifier juridiquement et en listant les pièces jointes. Toute déclaration tardive expose à la déchéance de garantie lorsque le contrat la prévoit, à condition que cette clause soit valable et que le retard ait causé un préjudice à l’assureur. La déclaration doit donc être rapide, écrite et traçable, même si l’étendue du sinistre n’est pas encore mesurée : il est toujours possible de compléter ensuite, il est beaucoup plus difficile de justifier après coup un silence de plusieurs semaines.
Le troisième délai, propre aux données personnelles, est la notification à la CNIL dans les soixante-douze heures après la constatation de la violation, avec information des personnes concernées lorsque le risque est élevé. Il est détaillé dans la seconde partie, mais il doit être piloté dès les premières heures par la même cellule de crise, car les constats techniques qui fondent la plainte et la déclaration à l’assureur sont aussi ceux qui permettent de qualifier la violation au sens du règlement européen sur la protection des données. Une entreprise qui traite ces trois délais en trois dossiers séparés, confiés à trois interlocuteurs qui ne se parlent pas, multiplie les versions contradictoires : or l’assureur, la CNIL et le juge pénal liront les mêmes pièces. La méthode consiste à figer une chronologie unique, horodatée, des faits constatés, des décisions prises et des notifications effectuées. Pour une analyse détaillée du seul volet notification, avec le contenu du dossier à constituer et l’articulation avec le sous-traitant, on peut se reporter à l’article du cabinet consacré au fichier clients piraté et à la notification CNIL en soixante-douze heures.
Dès la découverte, les gestes techniques conditionnent tous les recours. Il faut isoler sans détruire : déconnecter les systèmes atteints du réseau, préserver les journaux de connexion, les images disque et les sauvegardes dans leur état, photographier les messages de rançon et conserver les fichiers chiffrés témoins. Toute restauration hâtive ou tout effacement efface aussi la preuve de l’intrusion, du périmètre compromis et des données exfiltrées, et prive l’expert mandaté par l’assureur comme l’enquête pénale de leur matière première. Le recours à un prestataire de réponse aux incidents doit être validé avec l’assureur lorsque la police comporte une garantie de gestion de crise avec experts mandatés par lui : engager seul des frais considérables sans l’accord préalable de l’assureur, alors que le contrat subordonne leur prise en charge à cet accord, expose à un refus de remboursement de ce poste. De même, le paiement d’une rançon ne doit jamais être décidé dans l’urgence sans vérifier la clause applicable, l’avis de l’assureur et la position des autorités : payer ne garantit ni la restitution des données ni l’absence de seconde extorsion, et la somme payée n’est pas nécessairement couverte par la garantie.
B. Exclusions, questionnaire de souscription et refus de garantie : comment contester utilement
Beaucoup d’entreprises découvrent l’étendue réelle de leur garantie cyber le jour du sinistre, et la déception vient presque toujours des mêmes clauses : périmètre des garanties, exclusions et conditions de sécurité déclarées à la souscription. Une décision très récente illustre ce mécanisme avec précision. Par un jugement du 2 octobre 2026 (répertoire général 25/00386), le tribunal judiciaire de Brive-la-Gaillarde a statué sur la demande d’une société exploitant des services de loisirs, victime en mai 2024 d’une cyberattaque par duplication de son site internet avec vol et détournement de bons d’achat commercialisés en ligne, qui réclamait à son assureur environ 42 700 euros au titre de sa multirisque professionnelle assortie d’une convention spéciale cybersécurité. Le tribunal a débouté la société de l’ensemble de ses demandes. D’abord, le sinistre ne relevait d’aucune des trois garanties de la convention : ni la garantie de gestion de crise, qui prend en charge le coût des experts mandatés pour traiter la crise, ni la garantie de cyber-responsabilité, qui couvre les conséquences pécuniaires de la responsabilité de l’assuré envers des tiers réclamants, l’assurée étant ici victime et non responsable, ni la garantie des frais et pertes subis, circonscrite aux frais de reconstitution et de décontamination et non à l’indemnisation des données perdues elles-mêmes. Ensuite, le préjudice allégué relevait de l’exclusion des pertes d’exploitation, manques à gagner et préjudices commerciaux. Enfin, le courriel d’un expert évoquant une prise en charge plafonnée ne valait pas engagement de l’assureur, puisqu’il émanait de l’expert mandaté et accompagnait une demande de pièces. L’enseignement est direct : en matière cyber, la garantie ne couvre pas tout le préjudice causé par l’attaque, elle couvre les postes énumérés, dans les limites et sous les exclusions écrites. L’article 1103 du code civil rappelle que « les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits » : avant de contester, il faut relire la police entière, conditions générales et convention spéciale, garanties et exclusions, et identifier le poste exact dans lequel le préjudice peut entrer.
Le même jugement éclaire le second moyen souvent invoqué, le manquement de l’assureur à son devoir de conseil. Le tribunal rappelle que l’assureur doit être à l’écoute des besoins exprimés et couvrir les risques correspondants, qu’il manque à son devoir lorsqu’il fait signer une police qui ne couvre pas des risques portés à sa connaissance, et que des clauses même parfaitement claires ne le dispensent pas de ce conseil. Mais il ajoute l’exigence symétrique : c’est à l’assuré de prouver qu’il avait porté à la connaissance de l’assureur les renseignements caractérisant son risque, par exemple l’existence d’actifs dématérialisés constituant son stock principal, et de caractériser le conseil dont il a été privé. En l’espèce, le contrat décrivait une activité de point de vente et d’organisation d’événements sans faire apparaître le caractère numérique de l’activité ni l’existence d’un stock dématérialisé, et la société n’a pas démontré avoir exprimé ce besoin : le manquement n’était pas établi. Pour une entreprise, la leçon est pratique et se prépare avant le sinistre : décrire précisément l’activité numérique dans le questionnaire de souscription, déclarer les actifs dématérialisés et les traitements de données, conserver la trace écrite des besoins exprimés et des réponses de l’assureur, et vérifier que chaque risque exprimé trouve sa garantie dans la police signée.
Le questionnaire de souscription mérite une attention particulière, car les polices cyber interrogent systématiquement l’entreprise sur ses mesures de sécurité : authentification multifacteur, sauvegardes externalisées et testées, correctifs, cloisonnement, sensibilisation. Une réponse inexacte peut fonder un refus de garantie par deux voies distinctes qu’il ne faut pas confondre. Si la mauvaise foi de l’assuré n’est pas établie, il n’y a pas de nullité : l’article L113-9 du code des assurances prévoit alors, lorsque l’inexactitude est constatée après le sinistre, que « l’indemnité est réduite en proportion du taux des primes payées par rapport au taux des primes qui auraient été dues, si les risques avaient été complètement et exactement déclarés ». Si l’assureur démontre une fausse déclaration intentionnelle, il peut invoquer la nullité du contrat. Entre les deux, la déchéance de garantie pour manquement aux obligations déclaratives suppose une clause de déchéance en caractères très apparents et la preuve par l’assureur de déclarations faites sciemment, de mauvaise foi, ainsi que du préjudice qu’il subit. Par un arrêt du 8 juillet 2026 (répertoire général 25/09692), la cour d’appel de Paris l’a rappelé dans un litige d’assurance automobile où l’assurée avait déclaré un stationnement en garage privatif : la cour a retenu la déchéance, infirmé la condamnation de l’assureur et débouté l’assurée, en précisant que la déchéance ne supprime que le droit à indemnité pour le sinistre concerné, sans affecter la pérennité de la police. Transposée à la cyberassurance, cette jurisprudence signifie qu’une entreprise qui déclare disposer de sauvegardes externalisées ou d’une authentification multifacteur généralisée alors qu’il n’en est rien s’expose à perdre la garantie précisément au moment où elle en a besoin, et que la contestation d’un refus fondé sur ce motif est difficile si la clause est apparente et la mauvaise foi documentée par l’audit post-sinistre.
Face à un refus ou à une indemnisation partielle, la contestation suit un ordre méthodique. D’abord, exiger de l’assureur la motivation écrite et précise du refus, avec la référence exacte des clauses invoquées, et comparer cette motivation au rapport d’expertise : l’expert mandaté par l’assureur décrit les faits techniques, il ne tranche pas le droit à garantie, et une mention de plafond dans un courriel d’expertise ne vaut ni reconnaissance ni refus. Ensuite, répondre point par point : rattacher chaque poste de préjudice à une garantie écrite, démontrer que l’exclusion invoquée ne correspond pas aux faits, ou établir que la condition de sécurité était remplie au jour du sinistre. Puis, en cas de désaccord persistant, saisir le médiateur de l’assurance après la réclamation écrite restée insatisfaisante, et préparer en parallèle le dossier judiciaire : police complète, questionnaire de souscription et échanges précontractuels, chronologie du sinistre, plainte et récépissés, rapport d’expertise, factures des frais engagés. Le tribunal judiciaire est compétent pour trancher le litige de garantie, et l’entreprise devra y prouver, comme à Brive-la-Gaillarde, que son sinistre entre dans une garantie et que son besoin avait été exprimé. Enfin, ne jamais cesser pendant ce temps de traiter le volet données personnelles : un litige d’assurance qui dure des mois n’interrompt ni les délais de notification ni les droits des personnes concernées.
II. Mener le volet données personnelles et exercer les recours
A. Notifier la CNIL, informer les personnes et documenter sans attendre
Lorsqu’une cyberattaque compromet des données personnelles, fichiers clients, dossiers salariés, messageries, bases de prospection, l’entreprise responsable de traitement entre dans le régime des violations de données du règlement européen. La CNIL l’explique sur sa page officielle de notification : le responsable doit documenter en interne les violations, notifier à la CNIL celles qui présentent un risque pour les droits et libertés des personnes, et informer les personnes concernées lorsque le risque est élevé. Cette obligation de notification à la CNIL découle de l’article 33 du règlement européen et vise tous les responsables de traitement de données personnelles, tandis que l’article 34 du même règlement exige l’information des personnes quand la violation est de nature à créer un risque élevé pour leurs droits et libertés. Le texte européen de référence est le règlement (UE) 2016/679 du 27 avril 2016, dont la CNIL propose une version article par article et commentée par chapitre.
En pratique, la notification suit un calendrier contraint que la CNIL décrit précisément. Si toutes les informations ne sont pas disponibles dans le délai de soixante-douze heures parce que des investigations complémentaires sont nécessaires, l’entreprise peut procéder en deux temps : une notification initiale dans les soixante-douze heures après la constatation, puis une notification complémentaire dès que les informations sont disponibles, en expliquant les motifs du retard si le premier délai est dépassé. Le téléservice de notification en ligne est réservé aux responsables de traitement et un document préparatoire reprend les étapes de la démarche. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, les conséquences probables et les mesures prises ou envisagées. Lorsque le risque est élevé, par exemple en cas d’exfiltration de données d’identité complètes, de données bancaires, de données de santé ou d’identifiants permettant une usurpation, les personnes concernées doivent en outre être informées directement, dans un langage clair, de la nature de l’incident, de ses conséquences possibles et des mesures à prendre, comme la vigilance sur les messages frauduleux et la modification des mots de passe. La CNIL peut elle-même imposer cette information si elle constate que l’entreprise s’en est abstenue à tort. En parallèle, l’entreprise doit tenir son registre interne des violations, qui documente les faits, les effets et les mesures correctives : ce registre est la première pièce que l’autorité demandera en cas de contrôle, et son absence ou son contenu approximatif aggrave l’appréciation du manquement.
Le périmètre de la violation doit être qualifié avec l’aide des constats techniques figés dans les premières heures. Une attaque par rançongiciel avec chiffrement des serveurs n’emporte pas automatiquement exfiltration, mais l’hypothèse doit être investiguée et non présumée : journaux d’accès, volumes transférés, outils de l’attaquant et messages retrouvés permettent de trancher. À l’inverse, la simple indisponibilité temporaire sans accès aux données ne constitue pas nécessairement une violation à notifier, sauf si le risque pour les personnes est caractérisé. Lorsque l’attaque vise le prestataire informatique de l’entreprise, hébergeur, infogérant, éditeur de logiciel, la qualification des rôles est décisive : l’entreprise cliente est généralement responsable de traitement et le prestataire sous-traitant, et le contrat de sous-traitance doit organiser l’alerte et l’assistance du prestataire pour permettre à l’entreprise de respecter ses propres délais. Les pages de la CNIL consacrées au sous-traitant détaillent ces obligations réciproques. Une entreprise qui découvre l’attaque par son prestataire avec plusieurs jours de retard doit néanmoins notifier à compter de sa propre constatation tout en documentant la chaîne d’alerte, car le retard du prestataire ne la dédouane pas envers l’autorité.
Le défaut de notification ou d’information expose l’entreprise à des sanctions propres au droit des données, indépendantes du litige d’assurance. Sur le plan pénal, l’article 226-17 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de mettre en oeuvre un traitement sans les mesures prescrites notamment par les articles 24, 25, 30 et 32 du règlement européen, c’est-à-dire sans la sécurité adaptée au risque. Sur le plan administratif, la CNIL peut mettre en demeure puis sanctionner les manquements aux obligations de sécurité et de notification. Ces risques expliquent pourquoi le volet données personnelles ne peut pas attendre l’issue du litige d’assurance : une entreprise déboutée de sa demande d’indemnisation, comme la société jugée à Brive-la-Gaillarde, reste tenue de l’ensemble de ses obligations de responsable de traitement, et une entreprise indemnisée n’est pas pour autant quitte de ces obligations. L’assurance répare le préjudice de l’assuré selon ses garanties, elle ne purge ni la violation ni la responsabilité envers les personnes concernées.
B. Poursuivre les auteurs, mettre en cause le prestataire et chiffrer le préjudice
Le dépôt de plainte dans les soixante-douze heures, exigé pour la garantie, ouvre aussi le volet répressif, qui sert ensuite tous les recours civils. L’atteinte constitutive de la cyberattaque relève le plus souvent du délit d’accès ou de maintien frauduleux dans un système de traitement automatisé de données : l’article 323-1 du code pénal punit «Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données» de «trois ans d’emprisonnement et de 100 000 € d’amende.», avec des peines aggravées en cas de suppression ou modification de données, d’altération du fonctionnement du système ou d’atteinte à un système de l’État. Selon les faits s’y ajoutent l’entrave au fonctionnement, l’introduction frauduleuse de données, l’extorsion pour la rançon, le blanchiment et, lorsque des données personnelles ont été détournées puis réutilisées pour des escroqueries, l’usurpation d’identité et l’escroquerie au préjudice des clients. La plainte initiale, même déposée avec des éléments encore incomplets, fixe la date, fige la qualité de victime et déclenche l’enquête : les compléments d’expertise et l’évaluation définitive du préjudice viendront l’enrichir. L’entreprise peut ensuite se constituer partie civile devant le juge pénal pour obtenir réparation de son préjudice devant la juridiction répressive, ce qui suppose un préjudice chiffré et justifié, et non une simple allégation de pertes.
Le deuxième front est contractuel, dirigé contre le prestataire dont la défaillance a permis ou aggravé l’attaque : infogérant qui n’a pas appliqué les correctifs, hébergeur sans sauvegardes isolées, éditeur dont le logiciel contenait une faille connue non corrigée, prestataire de messagerie sans filtrage. L’article 1231-1 du code civil dispose que «Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.». L’entreprise doit donc démontrer l’obligation de sécurité stipulée ou résultant de l’état de l’art, son inexécution et le lien avec le dommage, en s’appuyant sur le contrat de prestations, le contrat de sous-traitance au sens du règlement européen et le rapport d’expertise technique. En pratique, la mise en demeure du prestataire part dès que l’origine de la faille est identifiée, avec demande de communication des journaux et de conservation des preuves, puis l’assignation ou la demande reconventionnelle chiffre chaque poste : frais de réponse à l’incident et d’expertise, frais de reconstitution et de décontamination, coût de la notification et de l’information des personnes, perte de marge démontrée, atteinte à l’image. La force majeure est rarement retenue en matière de cyberattaque ciblée contre des systèmes insuffisamment protégés : une attaque, même sophistiquée, n’est ni imprévisible dans son principe ni irrésistible pour un prestataire professionnel tenu à une obligation de sécurité.
Le troisième front est celui de l’indemnisation des personnes concernées et de l’entreprise elle-même au titre du droit des données. L’article 82, paragraphe 1, du règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Par un arrêt du 24 juin 2026 (arrêt numéro 571, pourvoi numéro V 24-22.792, publié au Bulletin), la Cour de cassation, chambre sociale, visant ce texte, a jugé que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », tout en reprenant l’interprétation de la Cour de justice de l’Union européenne : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, aucune règle nationale ne peut subordonner la réparation du dommage moral à un seuil de gravité, et le montant relève des règles internes de chaque État membre. Pour l’entreprise victime comme pour ses clients, la conséquence est claire : il faut prouver un préjudice réel, matériel ou moral, et en justifier l’étendue. Dans l’affaire jugée, la cour d’appel avait accordé 5 000 euros de dommages et intérêts en retenant que le non-respect du règlement avait nécessairement causé un préjudice, sans que le salarié démontre ni son existence ni son étendue : la Cour de cassation a cassé sur ce point et renvoyé l’affaire. Transposée aux suites d’une cyberattaque, cette solution impose de chiffrer poste par poste : frais bancaires et de remplacement des moyens de paiement, temps passé et démarches, préjudice moral lié à l’exposition des données et à l’angoisse d’usurpation, pertes d’exploitation démontrées par comparaison comptable. Les factures, relevés, attestations et constats font la différence entre une demande accueillie et une demande rejetée pour défaut de preuve.
L’articulation de ces recours avec la garantie d’assurance doit être pilotée et non subie. L’assureur qui indemnise l’entreprise peut exercer un recours subrogatoire contre le prestataire responsable ou contre les auteurs, et le contrat peut l’y obliger en subordonnant le versement à la cession des droits : l’entreprise doit vérifier cette clause avant de transiger seule avec son prestataire, car une transaction conclue sans l’assureur peut compromettre la garantie. Inversement, l’indemnité d’assurance ne répare que les postes garantis et ne fait pas obstacle à l’action directe de l’entreprise contre le prestataire pour le surplus, ni à l’action des personnes concernées contre l’entreprise responsable de traitement. La chronologie gagnante tient en quatre temps : plainte et déclaration dans les premières soixante-douze heures avec gel des preuves, notification CNIL et information des personnes sur le fondement des constats techniques, mise en demeure du prestataire dès l’origine de la faille identifiée, puis chiffrage complet et exercice coordonné des recours amiables et judiciaires. Chacune de ces étapes produit des écrits qui serviront aux suivantes, et l’entreprise qui documente dès le premier jour plaide ensuite sur des pièces, non sur des souvenirs.
Une cyberattaque contre une entreprise ne se résume ni à un sinistre informatique ni à un dossier d’assurance : c’est un événement juridique à trois faces, pénale, assurantielle et de protection des données, gouverné par des délais qui se comptent en heures. La plainte dans les soixante-douze heures conditionne la garantie cyber des professionnels, la déclaration écrite à l’assureur préserve les droits contre la déchéance, la notification à la CNIL et l’information des personnes en cas de risque élevé préviennent la sanction, et la preuve figée dès la découverte fonde ensuite tous les recours. Les décisions récentes montrent que les juges appliquent strictement les polices telles qu’elles sont écrites, exigent de l’assuré la preuve des besoins exprimés et du préjudice réel, et sanctionnent les déclarations de sécurité inexactes. L’entreprise qui connaît ses garanties avant l’attaque, qui déclare vite et documente tout, et qui poursuit en parallèle les auteurs et le prestataire défaillant, traverse la crise avec ses droits intacts et ses recours ouverts.