Cyberattaque : que faire en 72 h et que couvre l'assurance ?

Assurance cyber · TPE et PME

Cyberattaque : que faire en premier ?

Isolez immédiatement les appareils touchés du réseau, sans les éteindre, puis appelez la hotline d’assistance de votre assurance cyber. Ne contactez pas les attaquants et ne payez rien. Vous disposez ensuite de 72 heures pour porter plainte : sans plainte dans ce délai, l’assureur peut refuser de vous indemniser. Si des données personnelles sont touchées, la CNIL doit aussi être prévenue dans les 72 heures.

⚡ L’essentiel en 30 secondes

Isoler, ne pas éteindre : débranchez du réseau les postes touchés pour stopper la propagation et conserver les traces.
Plainte sous 72 heures : condition d’indemnisation de l’assurance cyber pour les professionnels (article L12-10-1 du Code des assurances, issu de la loi n° 2023-22 du 24 janvier 2023).
CNIL sous 72 heures si des données personnelles sont touchées et qu’il existe un risque pour les personnes (article 33 du RGPD).
L’assurance cyber prend en charge la cellule de crise, la restauration des systèmes, les pertes d’exploitation et la responsabilité envers les tiers, selon les garanties souscrites.
Phishing et fraude au virement relèvent souvent d’une option : à vérifier avant le sinistre, pas après.

Les gestes des premières heures

Les premières heures déterminent l’ampleur des dégâts et la qualité de votre dossier d’indemnisation. Voici l’ordre à suivre, que l’attaque soit un rançongiciel, un piratage de messagerie ou une fraude.

Isolez les appareils touchésDébranchez-les du réseau (câble et Wi-Fi) sans les éteindre : l’extinction peut effacer des traces utiles à l’enquête et aux experts.

Appelez l’assistance de votre assurance cyberLa hotline mobilise une cellule de crise : expert en cybersécurité, conseil juridique, communication. Respectez le délai de déclaration prévu par votre contrat.

Ne contactez pas les attaquants, ne payez rienToute décision sur une éventuelle rançon se prend avec l’assureur et ses experts, jamais seul.

Fraude au virement : alertez votre banque tout de suiteDemandez le rappel des fonds sans attendre : plus la demande est rapide, plus les chances de récupérer l’argent sont réelles.

Conservez toutes les preuvesMessages, demande de rançon, journaux de connexion, captures d’écran, relevés bancaires : ils serviront à la plainte et au dossier d’indemnisation.

💡 Vous n’avez pas d’assurance cyber ?

Le dispositif public 17Cyber, porté par Cybermalveillance.gouv.fr avec la police et la gendarmerie, aide les entreprises victimes à faire un premier diagnostic et à trouver un prestataire. La plainte reste indispensable.

Les 72 heures qui comptent

Deux délais de 72 heures courent en parallèle à partir du moment où vous avez connaissance de l’attaque : l’un conditionne votre indemnisation, l’autre relève de vos obligations envers les personnes dont vous traitez les données.

72 h

Plainte : condition d’indemnisation (art. L12-10-1 C. assur.)

72 h

Notification à la CNIL si données personnelles (art. 33 RGPD)

24/7

Assistance de crise prévue par la plupart des contrats cyber

La plainte

Elle se dépose auprès de la police, de la gendarmerie ou par écrit au procureur de la République. Depuis la loi n° 2023-22 du 24 janvier 2023, l’article L12-10-1 du Code des assurances impose ce dépôt dans les 72 heures suivant la connaissance de l’attaque pour que les pertes et dommages soient indemnisés. La règle vise les entreprises et les professionnels assurés pour ce risque.

La CNIL

Si l’attaque touche des données personnelles (clients, salariés, patients) et présente un risque pour les personnes, l’article 33 du RGPD impose de notifier la violation à la CNIL dans les 72 heures. Si le risque est élevé, les personnes concernées doivent elles-mêmes être informées (article 34). Les frais de notification font partie des garanties habituelles d’un contrat cyber.

Ce que prend en charge l’assurance cyber

Un contrat cyber couvre à la fois l’urgence, la remise en route et les conséquences financières de l’attaque. Le détail et les plafonds figurent dans vos conditions particulières.

✓

Assistance et cellule de crise : hotline, expert en cybersécurité, conseil juridique, communication de crise.

✓

Restauration des systèmes et des données à partir de vos sauvegardes.

✓

Pertes d’exploitation : la perte de marge pendant l’arrêt, après un délai de carence exprimé en heures.

✓

Responsabilité civile envers vos clients et partenaires, et frais de notification (CNIL, personnes concernées).

✓

Cyber-extorsion : gestion de la demande de rançon et, selon les contrats et sous conditions, sa prise en charge.

✓

Cyber-fraude (fraude au virement, au président, faux fournisseur) : le plus souvent en option, avec des procédures de contrôle des paiements exigées.

Pourquoi une indemnisation peut être refusée ou réduite

La plupart des litiges ne portent pas sur l’attaque elle-même, mais sur le respect des conditions du contrat. Les causes les plus fréquentes sont connues, et presque toutes se préviennent avant le sinistre.

Les points qui font échouer un dossier

• Plainte déposée au-delà de 72 heures : l’indemnisation est alors exclue par la loi.
• Conditions de sécurité non respectées : sauvegardes trop anciennes, antivirus non à jour, double authentification absente alors qu’elle était exigée.
• Déclaration inexacte à la souscription : une fausse déclaration intentionnelle peut entraîner la nullité du contrat (article L113-8 du Code des assurances) ; une erreur non intentionnelle, une indemnité réduite (article L113-9).
• Pertes d’exploitation mal justifiées : la perte de marge doit être démontrée chiffres à l’appui, après le délai de carence prévu au contrat.
• Fraude non couverte : la fraude au virement relève souvent d’une option qui n’avait pas été souscrite.

📋 Le réflexe à avoir dès aujourd’hui

Relisez les conditions de sécurité de votre contrat et vérifiez qu’elles sont réellement appliquées. C’est sur ce point que se jouent la plupart des refus.

Changer d’assurance cyber après un sinistre

Oui, c’est possible à l’échéance annuelle, avec un préavis de deux mois (article L113-12 du Code des assurances). Si votre assureur a contesté une partie de vos pertes ou si vos garanties se sont révélées insuffisantes, c’est le moment de comparer.

Lors de la nouvelle souscription, le sinistre passé doit être déclaré en réponse aux questions de l’assureur (article L113-2 du Code des assurances). Un dossier bien présenté, avec les mesures de sécurité ajoutées depuis l’attaque, facilite l’acceptation et le tarif. En tant que courtier, nous préparons ce dossier et comparons les assureurs spécialistes du cyber.

Préparez-vous avant l’attaque

Assistance de crise, restauration, pertes d’exploitation, responsabilité civile : nous plaçons votre contrat auprès d’un assureur spécialiste du cyber, avec des garanties adaptées à votre activité.

Obtenir mon devis cyber → Découvrir l’assurance cyber

📚 Textes et sources de référence

Article L12-10-1 du Code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’Intérieur — plainte sous 72 heures, condition d’indemnisation des cyberattaques.
Règlement (UE) 2016/679 (RGPD), articles 33 et 34 — notification des violations de données à la CNIL sous 72 heures et information des personnes concernées.
Code des assurances, articles L113-2, L113-8 et L113-9 — déclaration du risque et conséquences d’une déclaration inexacte.
Code des assurances, article L113-12 — résiliation à l’échéance annuelle avec préavis de deux mois.
Cybermalveillance.gouv.fr et le dispositif 17Cyber — assistance publique aux victimes de cyberattaques.

Questions fréquentes

Que faire en premier en cas de cyberattaque ?

Isolez les appareils touchés du réseau sans les éteindre, appelez la hotline d’assistance de votre assurance cyber si vous en avez une, ne contactez pas les attaquants et conservez toutes les preuves. Déposez ensuite plainte dans les 72 heures : c’est une condition d’indemnisation fixée par l’article L12-10-1 du Code des assurances.

Faut-il porter plainte pour être indemnisé par l’assurance cyber ?

Oui. Depuis la loi n° 2023-22 du 24 janvier 2023, l’article L12-10-1 du Code des assurances conditionne l’indemnisation des pertes liées à une cyberattaque au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque, pour les entreprises et les professionnels.

Faut-il prévenir la CNIL après une cyberattaque ?

Oui, si des données personnelles sont touchées et que la violation présente un risque pour les personnes : l’article 33 du RGPD impose de la notifier à la CNIL dans les 72 heures. Si le risque est élevé, les personnes concernées doivent aussi être informées (article 34 du RGPD).

L’assurance cyber rembourse-t-elle une rançon ?

Certains contrats peuvent prendre en charge une rançon, sous conditions strictes : accord préalable de l’assureur et de ses experts, et dépôt de plainte dans les 72 heures. Les autorités recommandent de ne pas payer, car le paiement ne garantit ni la récupération des données ni l’absence de nouvelle attaque.

La fraude au virement ou le phishing sont-ils couverts ?

Pas toujours. La fraude au virement, la fraude au président ou l’escroquerie par e-mail relèvent le plus souvent d’une option « cyber-fraude », avec des conditions de procédure, par exemple une double vérification des paiements. Il faut le vérifier dans vos conditions particulières.

Peut-on changer d’assurance cyber après un sinistre ?

Oui, à l’échéance annuelle du contrat, en respectant le préavis de deux mois prévu par l’article L113-12 du Code des assurances. Le sinistre devra être déclaré au nouvel assureur lors de la souscription : une déclaration incomplète peut entraîner une réduction ou un refus d’indemnisation.

Gwenaëlle DURET

Courtière indépendante en assurances · Maîtrise en droit des assurances (Université Jean Moulin Lyon 3) · ORIAS 26009325 · Publié le 2 octobre 2026

« Après une cyberattaque, l’indemnisation se joue sur des détails : un délai de plainte, une sauvegarde, une option souscrite ou non. Mieux vaut les vérifier avant le sinistre. »

Ressources