Cyberattaque et cyberassurance: déclarer le sinistre, notifier la CNIL et sécuriser l’indemnisation

Une cyberattaque déclenche une course contre la montre, entre déclaration à l’assureur, dépôt de plainte et notifications réglementaires. La CNIL impose un délai de 72 heures quand des données personnelles sont touchées. Pour certaines entreprises, la directive NIS2 ajoute une alerte à l’ANSSI en 24 heures.

Le paradoxe des crises cyber tient au décalage entre l’urgence opérationnelle, remettre l’activité sur pied, et l’urgence administrative, documenter, notifier, déclarer. Une mauvaise séquence, ou un dossier incomplet, peut fragiliser la prise en charge assurantielle, au moment même où l’entreprise a besoin d’expertise, d’assistance technique et de liquidités pour absorber le choc.

Dans la pratique, trois chantiers avancent en parallèle: la gestion technique de l’incident, la constitution des preuves et du dossier, et les obligations de notification. Le point de bascule se joue souvent dans les premières heures, quand l’entreprise comprend la nature de l’intrusion, l’étendue des systèmes concernés et la présence éventuelle de données personnelles dans le périmètre compromis.

Déclarer le sinistre à l’assureur, sans casser la garantie

La première attente d’un contrat de cyberassurance est une prise en charge rapide des frais d’urgence, expertise, assistance, remédiation. Dans les faits, l’activation dépend du respect des modalités de déclaration de sinistre prévues au contrat, souvent sur un délai court, et de la capacité à produire des éléments concrets sur l’attaque, son impact et les mesures engagées.

Un point revient dans les retours d’expérience: après la déclaration, l’assureur mandate généralement une expertise avant tout versement. Cette étape peut devenir un filtre. D’après un article de Bitdefender, l’indemnisation peut être refusée à l’issue de l’expertise, en raison d’une clause de sécurité non respectée ou d’une pièce manquante dans le dossier ^[1]. Autrement dit, la gestion du sinistre ne se limite pas à « prévenir l’assureur », elle consiste à sécuriser la preuve que l’entreprise a respecté les conditions contractuelles et a documenté l’incident.

Concrètement, la discipline documentaire compte autant que la réponse technique. Il s’agit de conserver les traces utiles, journaux, alertes, chronologie, premières mesures de confinement, et de pouvoir expliquer les décisions prises. Cette logique est proche de celle d’un sinistre industriel: l’expert cherchera à comprendre le scénario, la cause probable, et la conformité des mesures de prévention attendues.

À titre de comparaison, dans d’autres branches d’assurance, incendie ou dégâts des eaux, l’assureur attend des éléments datés, photos, constats, factures. En cyber, la matière probante change, logs, images disques, tickets d’intervention, mais l’exigence reste la même: un dossier solide, cohérent, et aligné avec les obligations du contrat.

Plainte, preuves, banque: le triptyque opérationnel des premières heures

Le réflexe de « réparer d’abord » est fréquent. Or plusieurs recommandations convergent vers une séquence plus rigoureuse: préserver les preuves, formaliser les démarches, puis remédier. Le site cybermalveillance.gouv.fr recommande de déposer plainte en fournissant toutes les preuves en possession, avant toute action de remédiation, et d’identifier l’origine et l’étendue de l’attaque pour corriger ce qui doit l’être et éviter un nouvel incident ^[2].

Cette logique répond à deux impératifs. D’un côté, une action trop rapide peut écraser des indices utiles, ou rendre plus difficile l’analyse forensique. De l’autre, la plainte contribue à structurer le dossier, y compris pour l’assureur, qui attend une description factuelle des événements et des pertes. Il ne s’agit pas de judiciariser la crise, mais d’installer une traçabilité.

Le même guide recommande d’alerter la banque si des informations permettant de réaliser des transferts de fonds ont pu être dérobées ^[2]. C’est un détail qui devient central quand l’attaque vise la trésorerie, compromission d’identifiants, tentatives de virements, fraude au président. La banque peut adapter des contrôles, surveiller des opérations, ou bloquer certaines instructions selon les procédures internes.

Reste que la crise cyber a aussi une dimension humaine. Cybermalveillance.gouv.fr souligne qu’une attaque peut provoquer une surcharge d’activité et un sentiment de sidération, d’humiliation ou de culpabilité, susceptibles d’entamer l’efficacité des équipes ^[2]. Dans un dossier assurantiel comme dans une notification CNIL, cette réalité plaide pour des rôles clairs, un référent technique, un référent juridique, et une chaîne de validation courte.

CNIL: notification sous 72 heures et information des personnes

Le cadre le plus structurant, pour une large partie des entreprises, reste le RGPD. Si des données personnelles ont été compromises, la notification à la CNIL doit intervenir dans les 72 heures après la découverte de l’intrusion, en application de l’article 33 du RGPD, rappelle Bitdefender ^[1]. Cybermalveillance.gouv.fr reprend la même exigence: notifier l’incident à la CNIL dans les 72 heures si des données personnelles ont pu être consultées, modifiées ou détruites ^[2].

La CNIL précise le raisonnement attendu: il faut déterminer si l’organisation met en œuvre un traitement de données personnelles, si ces données ont fait l’objet d’une violation, perte de disponibilité, d’intégrité ou de confidentialité, et si l’incident constitue un risque pour la vie privée des personnes concernées ^[3]. La notification doit être faite « dans les meilleurs délais, au plus tard dans les 72 heures », via le téléservice de l’autorité ^[3].

La CNIL admet une notification en deux temps: une notification initiale rapide après constatation de la violation, puis une notification complémentaire après avoir réuni les informations requises, dans le délai de 72 heures si possible après la première ^[3]. Si le délai est dépassé, l’organisation doit expliquer les motifs du retard lors de la notification ^[3]. Cette approche correspond à la réalité des incidents: au début, l’entreprise sait qu’elle a un problème, mais pas encore tout ce qui a été exfiltré, altéré ou chiffré.

Deuxième étage de la fusée: l’information des personnes. Selon la CNIL, si l’incident constitue un risque élevé pour la vie privée des personnes concernées, l’organisation doit également notifier l’incident aux personnes concernées ^[3]. Et « en cas de doute », la CNIL invite à notifier l’incident, l’autorité indiquant s’il est nécessaire d’informer les personnes ^[3].

Pour mesurer l’écart entre théorie et pratique, il suffit de regarder la chronologie typique d’une attaque: détection, triage, confinement, restauration, puis analyse approfondie. Le RGPD impose d’intégrer la conformité dans cette séquence, sans attendre que tout soit clair. Cela implique, très tôt, une documentation interne: quand l’incident a été découvert, quelles données sont potentiellement concernées, quels systèmes ont été touchés, quelles mesures ont été prises, et quels risques sont identifiés.

NIS2: alerte ANSSI en 24 heures pour les entités concernées

À la contrainte RGPD peut s’ajouter une contrainte sectorielle: la directive NIS2. Bitdefender pose la question clé: l’entreprise relève-t-elle des entités essentielles ou importantes soumises à NIS2? Dans ce cas, il faut alerter l’ANSSI dans les 24 heures, transmettre une notification détaillée dans les 72 heures et un rapport final sous un mois ^[1]. Le même article insiste sur la difficulté opérationnelle: ces obligations s’additionnent, avec « deux autres délais de 72 heures », CNIL si des données personnelles sont touchées, ANSSI si l’entreprise relève de NIS2 ^[1].

Cette accumulation de délais change la gouvernance de crise. Elle impose de savoir, dès le départ, si l’organisation entre dans le périmètre NIS2, et de disposer d’un circuit de décision capable de produire une alerte précoce, même avec une information imparfaite. Autrement dit, la conformité ne se déclenche pas « après la crise », elle fait partie de la réponse à incident.

À titre de comparaison, la Suisse a mis en place une obligation de signalement pour les exploitants d’infrastructure critique: à partir du 1er avril 2025, le premier signalement doit être effectué dans les 24 heures suivant la découverte de la cyberattaque, puis complété dans les 14 jours, selon une communication de l’Office fédéral de la cybersécurité ^[5]. Les architectures réglementaires diffèrent, mais la tendance est la même: accélérer la remontée d’information pour permettre l’assistance et l’alerte, et réduire le temps pendant lequel une attaque peut se propager.

Pour les entreprises concernées, la question n’est plus seulement « qui fait quoi », mais « qui peut décider vite ». La notification ANSSI, la notification CNIL, la déclaration à l’assureur, et la plainte, mobilisent des acteurs différents, DSI, RSSI, direction juridique, direction générale. Sans préparation, les délais se transforment en risque de non-conformité et en fragilité assurantielle.

Ce que couvre une assurance cyber, et ce qu’une crise révèle

Une police de cyber-risque intervient sur des impacts multiples: atteinte aux systèmes, perte de données, interruption, frais de restauration, responsabilité. HSB Canada, filiale de Munich Re, liste des scénarios fréquents, violations de données conduisant au vol d’identité et aux achats frauduleux, cyber-vandalisme, hacktivisme, espionnage entre concurrents, cyber-terrorisme ^[4]. L’assureur insiste aussi sur les conséquences possibles: perte de données incluant des renseignements d’identification personnels et des secrets commerciaux, systèmes compromis ou endommagés, perte de revenu, frais supplémentaires pour restaurer les systèmes et reconstituer les données, dommages à la réputation et poursuites en responsabilité civile ^[4].

Cette liste a une vertu: elle rappelle qu’une attaque n’est pas seulement un sujet informatique. Une exfiltration de données personnelles engage le RGPD et la relation client. Une compromission de secrets d’affaires devient un sujet de concurrence. Une interruption prolongée devient un sujet de continuité d’activité, donc de chiffre d’affaires et de chaîne d’approvisionnement. Et une fraude bancaire potentielle devient un sujet de trésorerie immédiate.

Dans ce paysage, l’assurance n’est pas un substitut à la préparation. Elle agit comme un mécanisme de transfert de risque, mais elle exige une exécution disciplinée: déclaration conforme, coopération avec l’expert, et respect des clauses de sécurité. Bitdefender rappelle que l’assureur peut refuser l’indemnisation après expertise si une clause n’a pas été respectée ou si une pièce manque ^[1]. La cyberassurance devient alors un test de maturité: capacité à prouver ce qui a été fait, quand, par qui, et sur quels systèmes.

Le fil conducteur est simple: une crise cyber est une crise probatoire. Chaque action, couper un accès, restaurer une sauvegarde, réinitialiser des mots de passe, doit être documentée. Cette documentation sert à la remédiation, à l’assurance, et aux autorités. Autrement dit, l’entreprise n’écrit pas seulement un récit pour se justifier, elle fabrique les éléments qui permettront d’être indemnisée, de notifier correctement, et de limiter les risques juridiques.

Le point le plus délicat reste la coordination: mener de front la technique, l’assurance, la plainte et les notifications, sans perdre de temps ni dégrader la qualité des informations transmises. Dans les crises les plus dures, la question qui tranche est celle de la gouvernance: qui détient la main sur la chronologie, et qui arbitre entre restaurer vite et préserver les preuves, quand les délais CNIL et NIS2 continuent de courir.

Tableau récapitulatif des délais cités

Source: Bitdefender, CNIL, Office fédéral de la cybersécurité (OFCS)

Dans ce cadre, la meilleure protection reste une organisation capable de déclencher vite, sur des bases factuelles, et d’aligner les exigences de l’assureur avec celles des autorités, sans attendre que l’incident soit « terminé ».