Vos écrans affichent un message de rançon, les fichiers sont chiffrés et l’activité est à l’arrêt : le rançongiciel qui frappe votre entreprise déclenche deux courses contre la montre qui conditionnent tout, l’argent comme le droit. La première se joue face à votre assureur, car l’indemnisation d’une cyberattaque suppose une plainte déposée très vite. La seconde se joue face à la CNIL et aux personnes dont les données ont été exposées, car un chiffrement qui touche des données personnelles doit être notifié dans des délais tout aussi brefs. Entre les deux, il faut préserver les preuves, refuser de payer dans la précipitation et préparer les recours contre les attaquants comme contre un prestataire informatique défaillant. Cet article décrit, pas à pas, la chronologie juridique des premières 72 heures et des semaines suivantes : plainte et assurance, déclaration de sinistre et chiffrage de la perte, notification CNIL et information des victimes, qualification pénale des faits et réparation du préjudice.

I. L’assurance cyber paiera-t-elle le rançongiciel de votre entreprise ?

La réponse dépend d’abord du contrat, mais la loi impose un préalable qui ne se négocie pas : sans plainte pénale déposée dans les temps, l’assureur peut refuser de verser l’indemnité promise pour les pertes et dommages causés par l’atteinte au système informatique. Vient ensuite la déclaration de sinistre, avec son propre délai, puis la constitution d’un dossier de preuves et de chiffrage que l’expert de l’assureur examinera ligne à ligne. Chaque étape repose sur des textes précis et sur une jurisprudence récente qui punit même les intrusions commises avec des accès légitimes détournés de leur mission.

A. Porter plainte en 72 heures : la condition légale qui ouvre l’indemnisation

L’article L. 12-10-1 du code des assurances subordonne le versement de l’indemnité cyber à une plainte pénale rapide. Le texte dispose : « Le versement d’une somme en application de la clause d’un contrat d’assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du code pénal est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime. Le présent article s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. » Article L. 12-10-1 du code des assurances. Trois enseignements structurent toute la stratégie contentieuse : le point de départ court à compter de la connaissance de l’atteinte par la victime, et non de la remise en état ; le champ couvre les atteintes visées aux articles 323-1 à 323-3-1 du code pénal, c’est-à-dire les accès frauduleux, les entraves au fonctionnement et les extractions ou suppressions de données ; le mécanisme est réservé aux professionnels, personnes morales et personnes physiques agissant dans le cadre de leur activité.

Concrètement, dès que le chiffrement est constaté, l’entreprise doit horodater sa connaissance de l’attaque : capture d’écran du message de rançon, journal d’incident tenu par écrit, premier appel au prestataire informatique, courriel interne d’alerte. C’est cette date qui fera courir le délai de soixante-douze heures, et toute hésitation sur le jour de découverte fragilise le dossier d’indemnisation. Le dépôt de plainte lui-même obéit à des règles d’accueil protectrices : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Article 15-3 du code de procédure pénale. Et ce texte ajoute une garantie de traçabilité : « Tout dépôt de plainte fait l’objet d’un procès-verbal et donne lieu à la délivrance immédiate d’un récépissé à la victime ». Conservez ce récépissé avec le contrat d’assurance : il prouve la date du dépôt face à l’assureur comme face au juge.

Il faut distinguer soigneusement le signalement en ligne et la plainte. Le service public rappelle que le signalement en ligne ne vaut pas plainte : il sert seulement à informer les services d’enquête et à leur transmettre des éléments propres à identifier l’auteur des faits. Service public, Rançongiciel ou ransomware. Le signalement sur la plateforme THESEE reste utile pour alerter les enquêteurs, mais il ne remplace ni le procès-verbal de plainte ni le récépissé exigé pour l’assurance. Une entreprise qui se contenterait d’un signalement en ligne prendrait le risque de voir l’assureur lui opposer l’absence de plainte au sens de l’article L. 12-10-1.

La plainte doit viser les qualifications pénales exactes, car ce sont elles qui déclenchent la garantie. L’accès initial des attaquants relève de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende. » Article 323-1 du code pénal. Le chiffrement massif qui paralyse les serveurs caractérise l’entrave visée à l’article 323-2 : « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende. » Article 323-2 du code pénal. Et l’exfiltration de données avant chiffrement, pratique courante de la double extorsion, entre dans l’article 323-3 : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende. » Article 323-3 du code pénal.

Deux arrêts récents de la chambre criminelle éclairent la portée de ces textes pour les entreprises, y compris quand l’intrusion vient de l’intérieur. Le 2 septembre 2025, la Cour de cassation a rejeté le pourvoi d’un administrateur réseau qui lisait la messagerie de son dirigeant : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie. » Cass. crim., 2 sept. 2025, n° 24-83.605, publié au Bulletin. L’arrêt précise que la culpabilité a été retenue « peu important le mobile ayant présidé aux faits ». Autrement dit, un compte légitime utilisé hors mission suffit à caractériser l’infraction : compte compromis d’un salarié, ancien prestataire dont les accès n’ont pas été révoqués, partenaire connecté au réseau. Le 8 juin 2021, la même chambre avait jugé, sur l’article 323-3 : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification. » Cass. crim., 8 juin 2021, n° 20-85.853, publié au Bulletin. Ces décisions servent directement la plainte : décrire l’usage détourné des accès et la dissimulation des opérations, c’est ancrer les faits dans les qualifications que l’assureur attend.

Si l’enquête piétine, la victime dispose d’un second levier. L’article 85 du code de procédure pénale ouvre la plainte avec constitution de partie civile : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent ». Mais cette voie n’est recevable « qu’à condition que la personne justifie soit que le procureur de la République lui a fait connaître, à la suite d’une plainte déposée devant lui ou un service de police judiciaire, qu’il n’engagera pas lui-même des poursuites, soit qu’un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte devant ce magistrat, contre récépissé ou par lettre recommandée avec demande d’avis de réception, ou depuis qu’elle a adressé, selon les mêmes modalités, copie à ce magistrat de sa plainte déposée devant un service de police judiciaire. » Article 85 du code de procédure pénale. Notez le calendrier : trois mois sans poursuites après la première plainte, et la constitution de partie civile devient recevable devant le juge d’instruction. Cette étape permet de solliciter des actes d’enquête et, plus tard, des dommages et intérêts devant la juridiction répressive.

B. Déclarer le sinistre à l’assureur et chiffrer la perte : le dossier que l’expert attend

La plainte pénale ne dispense pas de déclarer le sinistre au contrat d’assurance, qui obéit à son propre délai. L’article L. 113-2 du code des assurances impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés. » Article L. 113-2 du code des assurances. Deux délais coexistent donc : soixante-douze heures pour la plainte pénale qui conditionne la garantie, et au minimum cinq jours ouvrés pour l’avis de sinistre adressé à l’assureur. Le même article encadre la sanction du retard : « Lorsqu’elle est prévue par une clause du contrat, la déchéance pour déclaration tardive au regard des délais prévus au 3° et au 4° ci-dessus ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a causé un préjudice. » Autrement dit, une déclaration tardive ne fait pas perdre automatiquement la garantie : l’assureur doit prouver que le retard lui a causé un préjudice, sauf cas fortuit ou force majeure qui écartent la déchéance dans tous les cas. En pratique, déclarez par écrit dès les premières heures, même de façon provisoire, puis complétez : le provisoire horodaté vaut mieux que le dossier parfait arrivé hors délai.

Le dossier d’indemnisation se construit comme un chiffrage d’entreprise, poste par poste. Rassemblez l’interruption d’activité avec le chiffre d’affaires journalier moyen et la marge perdue, le coût de reconstitution des données et des systèmes, les honoraires d’experts en réponse à incident et de conseils, les frais de notification aux personnes concernées, et le montant de la rançon si elle a été versée et si le contrat la couvre. Relisez la clause cyber ligne à ligne : l’article L. 12-10-1 vise les pertes et dommages causés par une atteinte mentionnée aux articles 323-1 à 323-3-1, mais chaque contrat définit ses inclusions, ses exclusions, sa franchise et son plafond. Les exclusions les plus discutées portent sur les sauvegardes inexistantes ou obsolètes, les systèmes non corrigés malgré des alertes, et les actes commis avec la complicité d’un préposé. Avant de contester un refus, vérifiez ce que l’expert a retenu contre ce que la clause stipule exactement : un refus fondé sur une exclusion qui ne figure pas au contrat ne résiste pas à une réclamation motivée, puis à une médiation de l’assurance et, si nécessaire, à une action en paiement devant le tribunal judiciaire.

Parallèlement, examinez la responsabilité de votre prestataire informatique, car l’assureur qui indemnise se retournera vers les responsables, et l’entreprise non assurée n’a souvent que cette voie. Le droit commun des contrats s’applique : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Article 1231-1 du code civil. Un infogérant chargé des sauvegardes qui ne les testait pas, un prestataire qui n’a pas appliqué les correctifs de sécurité convenus, un hébergeur qui a laissé un accès distant sans double authentification : chacun répond de l’inexécution de son obligation de sécurité. Le fondement délictuel complète le dispositif : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Article 1240 du code civil. Mettez le prestataire en demeure par écrit dès les premiers jours, exigez la remise des journaux techniques et des preuves de sauvegardes, faites constater l’état des systèmes par un expert indépendant, et relisez le contrat de services : niveaux de service, obligation de sauvegarde, clause de réversibilité, assurance du prestataire. Pour une analyse détaillée de ce recours, avec la résiliation du contrat et le chiffrage de la réparation, le lecteur pourra se reporter à l’article consacré au prestataire informatique piraté : données volées, activité bloquée, résiliation et réparation.

La préservation des preuves conditionne à la fois l’assurance, la plainte et le recours contre le prestataire. Le service public recommande de rassembler un maximum de preuves propres à établir l’infraction et à en déterminer l’auteur, à commencer par la demande de rançon. Concrètement : photographiez les messages de rançon avec leurs adresses et leurs délais, exportez et sauvegardez les journaux de connexion avant toute réinstallation, conservez une image disque des machines critiques, listez les comptes accédés et les volumes exfiltrés, et tracez chaque action de remédiation avec son heure. La CNIL, de son côté, conseille, quand la violation fait suite à une cyberattaque, de déposer plainte au commissariat de police ou à la gendarmerie la plus proche, en tenant à la disposition des enquêteurs les éléments de preuves techniques en sa possession. CNIL, Notifier une violation de données personnelles. Une réinstallation hâtive qui efface les journaux affaiblit simultanément trois dossiers : l’expertise d’assurance, l’enquête pénale et l’action contre le prestataire.

II. Après le chiffrement : la CNIL, les personnes concernées et la rançon

Un rançongiciel d’entreprise touche presque toujours des données personnelles : fichiers de paie et de ressources humaines, base clients, messagerie des salariés, dossiers prospects. Dès lors, l’entreprise devient un responsable de traitement confronté à une violation de données, avec une obligation de notification à la CNIL et, dans les cas graves, d’information directe des personnes. Parallèlement, la demande de rançon, souvent assortie d’une menace de diffusion, ouvre le terrain du chantage et de la réparation pénale. Cette seconde partie articule ces deux chantiers : la conformité CNIL et la stratégie face aux attaquants.

A. Notifier la CNIL en 72 heures quand les données personnelles sont touchées

La CNIL définit la violation par deux conditions cumulatives, dans des termes que chaque dirigeant doit vérifier avant de notifier : un traitement de données personnelles mis en œuvre par l’entreprise, et une atteinte à ces données, qu’il s’agisse de leur disponibilité, de leur intégrité ou de leur confidentialité, survenue de manière accidentelle ou illicite CNIL, Notifier une violation de données personnelles. Un chiffrement qui rend les fichiers RH illisibles constitue une perte de disponibilité ; une exfiltration avant chiffrement constitue une perte de confidentialité. Le service public illustre le cas typique : un logiciel malveillant qui frappe les fichiers d’une entreprise, dont celui des ressources humaines : l’alerte à la CNIL s’impose alors, en raison du risque pour la vie privée des salariés concernés

Le déclenchement de la notification dépend du risque pour les personnes. La CNIL énonce la règle ainsi : quand l’incident présente un risque pour la vie privée des personnes concernées, l’entreprise doit le notifier à la CNIL Et elle gradue : quand le risque est élevé, les personnes concernées doivent aussi être informées directement En pratique, des données de paie, de santé, d’identification ou bancaires exfiltrées caractérisent un risque élevé qui impose d’informer les salariés et les clients, avec des conseils de vigilance. En cas d’hésitation sur le niveau de risque, la CNIL tranche le doute en faveur de la notification : dans le doute, la CNIL invite à notifier : elle indique ensuite s’il faut informer les personnes Une notification effectuée par prudence ne constitue jamais une faute ; l’omission de notifier un incident à risque, en revanche, expose l’entreprise à un grief autonome lors d’un contrôle.

Le délai suit un régime en deux temps que la CNIL décrit précisément : la notification doit partir dans les meilleurs délais après la constatation d’une violation à risque pour les droits et libertés des personnes. Puis : une première notification adressée dans un délai de 72 heures après la constatation, quand c’est possible ; tout dépassement de ce délai devant être expliqué, motifs du retard à l’appui, dans la notification ; puis une notification complémentaire dès que les informations nouvelles sont disponibles Le service public retient la même borne : ce signalement passe par le site de la CNIL, dans un délai de 72 heures à compter de la violation du traitement, avec possibilité d’apporter ensuite des informations supplémentaires par une notification complémentaire. L’entreprise n’a donc pas à attendre l’inventaire complet des données touchées : elle notifie dans les 72 heures ce qu’elle sait, explique le retard si elle dépasse, et complète au fil des investigations. Dans tous les cas, elle documente en interne la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises : le récapitulatif de la notification adressée à la CNIL permet de satisfaire à l’obligation de documentation interne

B. Rançon, chantage et poursuites : ne pas payer dans la précipitation et faire condamner

Faut-il payer pour récupérer les données ? La position officielle est dissuasive : le service public déconseille de payer la rançon : le versement ne garantit pas la récupération des fichiers ni de l’accès à l’appareil, et une nouvelle somme peut ensuite être exigée Avant tout paiement, vérifiez s’il existe une solution de déchiffrement mise à disposition par les autorités pour la souche qui vous frappe, restaurez depuis des sauvegardes saines et déconnectées, et mesurez ce que le paiement changerait vraiment : les attaquants en double extorsion conservent une copie des données et peuvent menacer de les diffuser même après paiement. Ajoutez le risque assurantiel : l’article L. 12-10-1 conditionne l’indemnisation à la plainte déposée dans les soixante-douze heures, de sorte qu’un paiement négocié dans l’ombre, sans plainte ni traçabilité, complique le dossier au lieu de le simplifier. Si le paiement apparaît malgré tout inévitable pour la survie de l’activité, il doit être décidé en conscience, tracé, déclaré à l’assureur selon le contrat, et articulé avec la plainte : jamais de versement occulte qui priverait l’entreprise de ses preuves et de sa garantie.

La double extorsion, chiffrement plus menace de diffusion, correspond à la définition légale du chantage. L’article 312-10 du code pénal dispose : « Le chantage est le fait d’obtenir, en menaçant de révéler ou d’imputer des faits de nature à porter atteinte à l’honneur ou à la considération, soit une signature, un engagement ou une renonciation, soit la révélation d’un secret, soit la remise de fonds, de valeurs ou d’un bien quelconque. Le chantage est puni de cinq ans d’emprisonnement et de 75 000 euros d’amende. » Article 312-10 du code pénal. Visez cette qualification dans la plainte dès que le message des attaquants menace de publier les données : elle décrit exactement la seconde branche de l’attaque et elle ouvre, pour chaque fait de menace, un fondement de poursuites distinct de l’atteinte informatique. Conservez chaque message, chaque adresse de communication des attaquants et chaque preuve de la menace de diffusion : ce sont les pièces du chantage autant que celles du chiffrement.

Sur le plan civil, l’entreprise victime peut obtenir réparation devant les juridictions répressives en se constituant partie civile, selon le mécanisme de l’article 85 du code de procédure pénale rappelé plus haut, une fois le cap des trois mois sans poursuites franchi ou après un avis de classement. La jurisprudence montre que les juridictions allouent des indemnisations substantielles pour ce type d’atteintes : dans l’affaire jugée le 2 septembre 2025, la cour d’appel avait notamment alloué 10 000 euros au dirigeant au titre de son préjudice moral pour la lecture clandestine de sa messagerie, condamnation maintenue par le rejet du pourvoi. Pour une entreprise, les postes indemnisables vont bien au-delà : coût de la remise en état, perte d’exploitation pendant l’arrêt, frais de notification et d’assistance aux personnes concernées, atteinte à l’image auprès des clients informés de la fuite. Chiffrez chaque poste avec factures et constats, car le juge pénal indemnise sur pièces comme le juge civil.

Organisez enfin la sortie de crise autour d’un calendrier unique tenu par écrit. Jour zéro : isolement des machines, photographie des rançons, horodatage de la connaissance de l’atteinte, appel au prestataire et à l’assureur. Dans les soixante-douze heures : dépôt de plainte avec récépissé, déclaration de sinistre même provisoire, notification initiale à la CNIL si des données personnelles sont en cause. Dans les jours suivants : notification complémentaire à la CNIL au fil des investigations, information des personnes en cas de risque élevé, mise en demeure du prestataire défaillant, dépôt d’une plainte avec constitution de partie civile si le parquet ne poursuit pas sous trois mois. Ce calendrier tient sur une page et protège quatre dossiers à la fois : la garantie d’assurance, la conformité CNIL, l’enquête pénale et le recours contre le prestataire. L’entreprise qui le respecte transforme une attaque subie en procédure maîtrisée, avec des preuves conservées, des délais tenus et des responsabilités établies.

Conclusion

Un rançongiciel engage en même temps l’argent, la conformité et la justice pénale : plainte en soixante-douze heures pour ouvrir l’indemnisation d’assurance, déclaration de sinistre dans le délai du contrat d’au moins cinq jours ouvrés, notification à la CNIL en soixante-douze heures quand des données personnelles sont touchées, information des personnes en cas de risque élevé, refus de payer dans la précipitation face à un chantage puni de cinq ans d’emprisonnement, et constitution de partie civile si les poursuites tardent plus de trois mois. Chacune de ces étapes repose sur des textes vérifiables et sur une jurisprudence qui sanctionne jusqu’aux intrusions commises avec des accès légitimes détournés. Tenez le calendrier, conservez les preuves et chiffrez chaque poste : c’est ce dossier, complet et horodaté, qui fera payer l’assureur, convaincra la CNIL et obtiendra la condamnation des attaquants comme la réparation du préjudice.