L’incident de sécurité détecté par l’ANTS le 15 avril 2026, puis détaillé par le ministère de l’Intérieur le 21 avril 2026, rappelle un point très concret aux dirigeants : une fuite de données n’est pas seulement un problème informatique. Elle déclenche une course juridique, assurantielle, commerciale et probatoire. Dans cette affaire, des comptes particuliers et professionnels du portail ants.gouv.fr ont pu être concernés, avec 11,7 millions de comptes évoqués à ce stade pour les comptes particuliers et une information directe des comptes professionnels concernés.
Pour une entreprise, les recherches les plus utiles ne sont donc pas seulement « cybersécurité entreprise » ou « attaques cyber ». La vraie question est plus urgente : que faire dans les 72 heures après une cyberattaque, un rançongiciel ou une violation de données ? Ce délai peut compter pour la notification à la CNIL, pour le dépôt de plainte exigé par l’assurance cyber, pour la conservation des preuves et pour la limitation de la responsabilité vis-à-vis des clients, fournisseurs ou partenaires.
Voici la méthode pratique à suivre lorsqu’une PME, une société commerciale, une association employeur, un commerçant ou une plateforme en ligne découvre une attaque informatique ou une fuite de données.
Première heure : isoler sans effacer les preuves
Le réflexe naturel consiste souvent à « nettoyer » les postes, redémarrer les serveurs ou réinstaller les machines. C’est compréhensible, mais dangereux si cela détruit les journaux de connexion, les traces d’intrusion, les courriels de phishing, les adresses IP, les fichiers chiffrés ou les éléments permettant de dater la découverte de l’attaque.
La priorité est de contenir l’incident sans effacer la preuve. Il faut isoler les machines touchées, couper les accès compromis, prévenir le prestataire informatique, figer les journaux disponibles, conserver les messages suspects et documenter l’heure exacte à laquelle l’entreprise a eu connaissance de l’atteinte. Cette date est essentielle, car certains délais ne courent pas à partir du moment où l’attaquant est entré dans le système, mais à partir du moment où la victime a connaissance de l’atteinte ou constate la violation.
Si un rançongiciel bloque les fichiers, il faut éviter de payer immédiatement. Le paiement ne garantit ni la restitution des données, ni l’absence de publication ultérieure, ni la disparition du risque pénal ou réglementaire. La décision doit être prise après analyse technique, juridique et assurantielle, surtout si un contrat d’assurance cyber existe.
Dans les 24 heures : qualifier l’incident juridiquement
Toutes les attaques informatiques n’ont pas les mêmes conséquences. Une entreprise doit distinguer au moins quatre situations.
La première est l’indisponibilité simple : un serveur, une caisse, un logiciel métier ou une messagerie ne fonctionne plus, mais aucune donnée personnelle ne semble avoir été consultée, copiée ou altérée. La seconde est l’atteinte à un système de traitement automatisé de données : intrusion, maintien frauduleux, entrave, altération, extraction de données ou rançongiciel. La troisième est la violation de données personnelles : perte de confidentialité, d’intégrité ou de disponibilité de données relatives à des personnes physiques, comme clients, salariés, prospects ou contacts. La quatrième est le dommage commercial : perte de chiffre d’affaires, rupture de service, pénalités contractuelles, perte de chance de conclure une vente, atteinte à l’image ou coûts de remédiation.
Ces qualifications peuvent se cumuler. Une attaque par rançongiciel peut être à la fois une atteinte informatique, une violation de données personnelles, un sinistre d’assurance, une inexécution contractuelle d’un prestataire et un préjudice commercial indemnisable.
CNIL : quand faut-il notifier une violation de données ?
La notification à la CNIL n’est pas automatique pour tout incident informatique, mais elle devient nécessaire lorsqu’une violation de données personnelles présente un risque pour les droits et libertés des personnes concernées. Une violation peut résulter d’une divulgation non autorisée, d’une perte, d’une destruction, d’une altération ou d’un accès non autorisé à des données personnelles.
En pratique, l’entreprise doit tenir un registre interne de l’incident, même lorsqu’elle estime finalement que la notification n’est pas nécessaire. Ce registre doit préciser la nature de la violation, les catégories de personnes concernées, les catégories de données touchées, les conséquences probables et les mesures prises pour limiter les effets.
Lorsque le risque existe, la notification doit être transmise à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après la constatation de la violation. Si toutes les informations ne sont pas encore disponibles, une notification initiale peut être déposée, puis complétée ensuite. Il est donc risqué d’attendre le rapport technique complet si la violation est déjà suffisamment vraisemblable.
Lorsque le risque est élevé, l’entreprise doit aussi informer les personnes concernées, sauf exception prévue par le RGPD. Le message doit être clair, utile et proportionné : nature de l’incident, données potentiellement concernées, mesures déjà prises, gestes de prudence recommandés, contact utile. Une communication trop vague peut aggraver la crise ; une communication trop affirmative peut créer une responsabilité si l’enquête technique démontre ensuite autre chose.
Plainte en 72 heures : l’enjeu de l’assurance cyber
Depuis la loi du 24 janvier 2023, le Code des assurances prévoit une règle spécifique pour les cyberattaques couvertes par un contrat d’assurance. Le versement d’une indemnité au titre d’une clause couvrant les pertes et dommages causés par une atteinte à un système de traitement automatisé de données est subordonné au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte par la victime. Cette règle figure à l’article L12-10-1 du Code des assurances.
Cette obligation vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle. Elle ne signifie pas que l’assureur indemnisera automatiquement : il faut encore que le contrat couvre le risque, que les exclusions ne s’appliquent pas, que les obligations déclaratives soient respectées et que le dommage soit prouvé. Mais sans plainte dans le délai, la discussion avec l’assureur peut devenir beaucoup plus difficile.
Le dépôt de plainte doit donc être préparé rapidement. Il faut réunir les premiers éléments techniques, l’historique de découverte, les captures d’écran, les messages de rançon, les courriels d’hameçonnage, les journaux disponibles, la liste des systèmes touchés et les premières conséquences économiques. L’objectif n’est pas d’avoir un dossier parfait dans les 72 heures, mais un signalement sérieux, daté et documenté.
Assurance cyber : déclarer le sinistre sans se piéger
La déclaration à l’assureur doit être faite selon les délais et modalités du contrat. Certains contrats imposent un canal particulier, une déclaration immédiate, le recours à un prestataire agréé, ou l’accord de l’assureur avant certains frais. Il faut donc lire la police avant de commander une prestation coûteuse ou de négocier avec un attaquant.
Dans la déclaration, l’entreprise doit rester factuelle. Elle peut indiquer les symptômes constatés, la date de découverte, les systèmes concernés, les mesures de confinement, l’existence éventuelle de données personnelles, la plainte déposée ou en cours, et les pertes déjà identifiées. Elle doit éviter les formulations définitives si l’enquête n’est pas terminée, par exemple « aucune donnée n’a été exfiltrée » alors que les journaux ne permettent pas encore de l’exclure.
L’entreprise doit également conserver tous les justificatifs : facture du prestataire informatique, rapport de remédiation, temps d’arrêt, devis de restauration, pertes d’exploitation, pénalités de retard, annulations de commandes, communications client, coûts de notification, honoraires et frais de gestion de crise.
Clients, fournisseurs et prestataires : qui prévenir ?
Une cyberattaque touche rarement l’entreprise seule. Elle peut empêcher la livraison d’un client, bloquer l’accès d’un fournisseur, exposer des données confiées par un partenaire ou révéler une faille chez un sous-traitant informatique.
Il faut relire rapidement les contrats importants : clauses de sécurité, obligation de notification, niveau de service, confidentialité, données personnelles, pénalités, force majeure, limitation de responsabilité, assurance, sous-traitance. Certains contrats imposent une notification au client dans un délai court en cas d’incident de sécurité. D’autres prévoient une coopération renforcée ou un audit.
Lorsque l’attaque provient d’un prestataire, par exemple hébergeur, éditeur SaaS, infogérant, agence web, plateforme e-commerce ou mainteneur, la question devient contractuelle. Il faut demander les logs, le rapport d’incident, les mesures prises, la date de première détection, les correctifs appliqués et l’étendue des données concernées. Si le prestataire refuse de coopérer, une mise en demeure ou une procédure en référé peut devenir nécessaire pour préserver les preuves.
Comment prouver les pertes de l’entreprise ?
Une cyberattaque peut générer un préjudice direct et un préjudice plus diffus. Le préjudice direct comprend les frais de restauration, l’intervention technique, les remplacements de matériel, les audits, les communications, les notifications, les frais juridiques et les pertes d’exploitation. Le préjudice indirect peut inclure une perte de clientèle, une dégradation de réputation, une baisse de conversion, des pénalités contractuelles ou une perte de chance.
La preuve doit être organisée dès le début. Il faut conserver les chiffres de vente avant et après l’incident, les commandes annulées, les tickets clients, les interruptions de service, les statistiques de trafic, les échanges avec les banques, les factures de prestataires, les relevés d’activité, les captures de back-office et les courriels de clients inquiets.
Si l’entreprise envisage une action contre un prestataire, un ancien salarié, un concurrent, un fournisseur ou un hébergeur, elle devra démontrer le lien entre la faute alléguée et le dommage. Un rapport technique indépendant peut être déterminant, surtout lorsque plusieurs causes sont possibles : mot de passe faible, absence de double authentification, faille non corrigée, mauvaise configuration, accès laissé ouvert, défaut de sauvegarde, ou négligence d’un prestataire.
Dirigeant : éviter les décisions qui aggravent la responsabilité
Le dirigeant n’est pas censé être expert en cybersécurité, mais il doit organiser une réponse raisonnable. Les erreurs les plus fréquentes sont de minimiser l’incident, de tarder à notifier, de supprimer les traces, de communiquer trop vite, de négliger l’assurance, de ne pas déposer plainte, ou de laisser un prestataire gérer seul le sujet juridique.
Il faut créer une cellule de crise simple : direction, informatique, DPO ou référent données, avocat, assureur, prestataire technique, communication si nécessaire. Chaque décision importante doit être datée : isolation des systèmes, notification CNIL, dépôt de plainte, information des clients, déclaration assurance, choix de restauration, contact du prestataire en cause.
Cette traçabilité protège l’entreprise. Elle montre que les décisions ont été prises avec méthode, sur la base des informations disponibles, et non dans l’improvisation.
Paris et Île-de-France : les réflexes pratiques
Pour une entreprise située à Paris ou en Île-de-France, les démarches restent nationales pour la CNIL et l’assurance, mais la gestion pratique dépend souvent de l’organisation locale. La plainte peut être déposée auprès des autorités compétentes, avec un dossier technique suffisamment exploitable. Les échanges avec le prestataire informatique, l’hébergeur, la banque ou les principaux clients franciliens doivent être centralisés pour éviter les versions contradictoires.
Si un litige commercial suit l’incident, par exemple contre un prestataire SaaS, un infogérant, un fournisseur de paiement ou un partenaire contractuel, le tribunal compétent dépendra du contrat, de la qualité des parties et des clauses attributives de compétence. À Paris, les demandes urgentes peuvent imposer une stratégie rapide : obtenir des logs, faire cesser une atteinte, récupérer un accès, préserver des preuves ou contraindre un prestataire à remettre des éléments techniques.
L’intérêt d’une intervention locale n’est pas seulement géographique. Il est surtout opérationnel : réunir vite les pièces, cadrer la plainte, relire l’assurance, préparer la notification CNIL et sécuriser les échanges commerciaux dans un délai très court.
Checklist des 72 heures après cyberattaque
Dans les premières 72 heures, l’entreprise doit viser un résultat simple : contenir l’incident, protéger les personnes, préserver l’indemnisation et préparer les recours.
Il faut d’abord isoler les systèmes touchés, conserver les preuves techniques, identifier les données et traitements concernés, dater précisément la découverte, prévenir le prestataire informatique et vérifier les sauvegardes. Ensuite, il faut qualifier le risque RGPD, ouvrir ou compléter le registre interne des violations, décider si une notification CNIL initiale est nécessaire et préparer l’information des personnes si le risque est élevé.
En parallèle, il faut déposer plainte si une atteinte à un système informatique est caractérisée, surtout si un contrat d’assurance cyber existe. Il faut déclarer le sinistre à l’assureur, relire les exclusions, vérifier les prestataires imposés, conserver les justificatifs de pertes et éviter les déclarations définitives non vérifiées.
Enfin, il faut cartographier les contrats sensibles : clients, fournisseurs, hébergeur, prestataire informatique, banque, plateforme de paiement, sous-traitants de données. Une cyberattaque mal gérée devient vite un contentieux commercial. Une cyberattaque documentée, notifiée et traitée avec méthode peut au contraire limiter la sanction, préserver l’assurance et préparer une indemnisation.
Pour les entreprises, l’actualité ANTS montre surtout une chose : le risque cyber n’est plus abstrait. Le bon réflexe n’est pas d’attendre un rapport complet, mais d’organiser la preuve et les décisions dans les 72 premières heures.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous pouvons qualifier la cyberattaque, préparer les notifications utiles, sécuriser la preuve des pertes et cadrer la stratégie de recours, d’assurance ou de mise en demeure.
Pour une entreprise située à Paris ou en Île-de-France, l’analyse peut aussi intégrer les contrats commerciaux, les prestataires locaux, les preuves à préserver et l’urgence d’une procédure en référé si un accès ou des logs doivent être obtenus rapidement.
Voir aussi notre page dédiée aux avocats en droit des affaires à Paris.