Cyberattaque en cours : ce que doit faire une PME dans les 72 premières heures en 2026

La gestion d'une cyberattaque suit une chronologie précise où chaque heure compte. Dans les toutes premières heures (H0), il s'agit d'activer une cellule de crise et de qualifier préliminairement l'incident — s'agit-il d'un rançongiciel, d'une fuite de données, d'une intrusion sans chiffrement ? Vers H+4, l'entreprise doit évaluer l'impact initial sur les données personnelles éventuellement concernées. Vers H+12, la décision de notifier ou non la CNIL et l'ANSSI doit être prise. Vers H+24, l'alerte précoce à l'ANSSI doit être transmise et le dépôt de plainte initié.

Ces 72 premières heures servent globalement à quatre priorités simultanées : contenir l'incident techniquement pour éviter sa propagation, préserver les preuves numériques (ne jamais réinitialiser précipitamment les systèmes touchés avant l'intervention d'experts), procéder aux notifications réglementaires obligatoires, et préparer une communication maîtrisée vers les clients, fournisseurs et prestataires concernés.

La notification à la CNIL doit être transmise dans les meilleurs délais dès la constatation d'une violation de données personnelles présentant un risque pour les droits et libertés des personnes concernées — le délai de référence communément retenu est de 72 heures, mais le texte impose en réalité une notification « dans les meilleurs délais », ce qui peut être plus strict selon les circonstances. Un point important et souvent mal compris : si toutes les informations techniques ne sont pas encore disponibles au moment de la notification initiale, celle-ci peut être complétée ultérieurement — l'enquête technique en cours ne doit jamais justifier de retarder le premier signalement.

Une entreprise qui attend d'avoir une vision complète de l'incident avant de notifier la CNIL prend un risque disproportionné : mieux vaut notifier tôt avec des informations partielles, puis compléter, que notifier tard avec un dossier complet mais hors délai.

La loi LOPMI (loi d'orientation et de programmation du ministère de l'Intérieur) a introduit une règle déterminante pour les entreprises assurées contre le risque cyber : sans dépôt de plainte dans un délai de 72 heures suivant la connaissance de l'attaque par la victime, l'assureur est légalement autorisé à refuser l'indemnisation du paiement d'une rançon. Cette règle vise à décourager le paiement discret de rançons sans traçabilité judiciaire, un phénomène que les pouvoirs publics cherchent à limiter.

Concrètement, il est conseillé de déposer plainte au commissariat de police ou à la brigade de gendarmerie compétente le plus rapidement possible après la découverte de l'incident, en tenant à disposition des enquêteurs tous les éléments de preuve technique déjà collectés (logs, captures d'écran de la demande de rançon, éléments d'horodatage) — la plainte peut, comme la notification CNIL, être complétée par la suite si l'enquête technique se poursuit.

En 2026, souscrire une assurance cyber ne suffit plus à garantir une indemnisation en cas de sinistre : les assureurs ont durci leurs conditions et exigent désormais de pouvoir prouver que l'entreprise est effectivement « cyber-assurable », via des mesures de sécurité minimales vérifiables, parfois par audit. De nombreux contrats conditionnent explicitement l'indemnisation à la présence effective de mesures précises — authentification multifacteur (MFA), sauvegardes testées régulièrement, solution de détection et réponse aux incidents (EDR).

Le piège le plus coûteux à ce stade : déclarer disposer de ces mesures au moment de la souscription sans que ce soit rigoureusement le cas. Une déclaration mensongère ou simplement approximative dans le questionnaire de souscription peut entraîner la nullité pure et simple du contrat, avec pour conséquence un refus total d'indemnisation après le sinistre et la perte des primes déjà versées — l'inverse exact de la protection recherchée.

Un contrat de cyberassurance bien construit couvre plusieurs volets distincts : le paiement éventuel d'une rançon (sous conditions strictes, notamment le dépôt de plainte évoqué plus haut), les frais de restauration des systèmes informatiques touchés, la perte d'exploitation consécutive à l'interruption d'activité, les conséquences d'une fuite de données (notification aux personnes concernées, éventuelle indemnisation de tiers), et l'assistance d'experts techniques et juridiques pendant la gestion de crise elle-même — un poste souvent sous-estimé alors qu'il conditionne la qualité de la réponse dans les 72 premières heures critiques.