Après une cyberattaque, la plainte conditionne l’indemnisation parce que la loi l’impose : depuis le 24 avril 2023, l’article L. 12-10-1 du Code des assurances subordonne le versement de toute indemnité couvrant les pertes et dommages d’une atteinte à un système informatique au dépôt d’une plainte dans les 72 heures. Sans plainte dans ce délai, l’assureur n’a pas à payer, même si votre contrat couvre le risque.
Pour une PME, ce délai tombe au pire moment : les serveurs sont bloqués, les équipes cherchent à redémarrer et la priorité semble technique. C’est pourtant dans ces trois jours que se joue une partie de l’indemnisation. Cet article explique ce que dit la loi, qui elle vise, comment calculer le délai, quelles garanties sont concernées et comment déposer plainte sans perdre de temps.
Ce que dit l’article L. 12-10-1
Le texte tient en une phrase : l’indemnité prévue par un contrat d’assurance pour couvrir les pertes et dommages causés par une atteinte à un système de traitement automatisé de données est versée à condition que la victime ait porté plainte au plus tard 72 heures après avoir eu connaissance de l’atteinte.
Trois éléments en découlent :
- les infractions visées sont celles des articles 323-1 à 323-3-1 du Code pénal : accès ou maintien frauduleux dans un système, entrave à son fonctionnement, introduction, extraction ou modification frauduleuse de données ;
- le délai est de 72 heures, décompté à partir de la connaissance de l’atteinte et non de la date de l’attaque ;
- les victimes concernées sont les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle.
L’article a été créé par l’article 5 de la loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) du 24 janvier 2023.
Pourquoi le législateur a lié plainte et indemnisation
La règle sert d’abord la lutte contre la cybercriminalité. La direction générale du Trésor la présente comme un moyen d’intensifier cette lutte : une plainte rapide permet aux enquêteurs de recueillir les traces tant qu’elles existent et d’identifier les auteurs.
En faisant de la plainte une condition de paiement, le législateur a transformé l’assurance en relais : une entreprise qui veut être indemnisée doit informer les forces de l’ordre. Pour l’entreprise, la plainte a aussi un intérêt propre : elle date officiellement les faits et permet de faire reconnaître son préjudice.
Qui est concerné, et pour quelles attaques
L’obligation vise toute victime agissant dans un cadre professionnel. Selon la FAQ du Trésor, cela inclut :
- les sociétés, associations et administrations publiques ;
- les indépendants et entrepreneurs individuels ;
- toute personne physique attaquée dans le cadre de son activité professionnelle.
Un particulier attaqué dans sa vie privée n’est pas soumis à cette condition, même si la plainte reste recommandée.
Côté attaques, la FAQ précise que toutes les cyberattaques sont concernées, notamment les rançongiciels et autres logiciels malveillants, l’hameçonnage, le défaçage d’un site, le vol de données, le déni de service, l’interception de communications et l’exploitation d’une faille logicielle. Une panne accidentelle ou une erreur de manipulation, sans intrusion malveillante, n’entre pas dans le champ des infractions visées.
Le délai de 72 heures : point de départ et pièges
Le délai court à partir du moment où vous constatez les dommages causés par l’attaque. Une intrusion ancienne découverte aujourd’hui fait donc partir le délai aujourd’hui. Ce mécanisme protège l’entreprise victime d’une attaque silencieuse, mais il impose de réagir dès la découverte.
Plusieurs points méritent votre attention :
- le délai n’est jamais prolongé, y compris pendant un week-end ou lorsque l’attaque a lieu à l’étranger ;
- l’alerte n’est pas une plainte : appeler le 17, utiliser l’application Ma Sécurité ou le dispositif 17Cyber permet d’être orienté, mais ne remplit pas l’obligation ;
- la preuve de la date vous incombe en pratique : un récépissé de plainte ou un accusé de réception postal est indispensable ;
- l’origine cyber peut apparaître plus tard : si vous ignoriez qu’un incendie ou une panne avait une cause informatique, aucune plainte n’était exigée. Si l’origine cyber est établie ensuite, vous pouvez porter plainte, mais l’assureur n’indemnisera pas deux fois le même préjudice.
Pour une entreprise assurée en France et attaquée hors du territoire, la plainte peut être déposée dans le pays concerné, dans les 72 heures, si l’attaque y constitue aussi une infraction. Si votre contrat n’est pas soumis au Code des assurances français, l’obligation légale ne s’applique pas, mais votre contrat peut prévoir une condition comparable.
Les garanties concernées, et celles qui ne le sont pas
La condition de plainte porte sur l’indemnisation des pertes et dommages consécutifs à l’attaque : pertes d’exploitation, frais de reconstitution des données, préjudices financiers, selon ce que prévoit votre contrat. Elle s’applique quel que soit le contrat qui couvre ces pertes, contrat cyber dédié ou extension d’un autre contrat.
Elle ne joue pas sur tout. La FAQ du Trésor indique que la garantie de frais d’assistance d’urgence, lorsqu’elle est prévue au contrat, peut être actionnée sans incidence de l’article L. 12-10-1, que les frais soient avancés ou remboursés par l’assureur. Vous pouvez donc appeler la cellule d’assistance de votre assureur avant même d’avoir porté plainte.
À l’inverse, la plainte ne suffit pas à être indemnisé : tout dépend des garanties d’une assurance cyber-risques que vous avez souscrites, de leurs exclusions et des plafonds d’indemnisation prévus. Vous devez aussi déclarer le sinistre à votre assureur dans le délai prévu par le contrat, qui ne peut être inférieur à cinq jours ouvrés selon l’article L113-2.
Porter plainte en 6 étapes
La plainte se dépose dans une brigade de gendarmerie, un commissariat ou par courrier au procureur de la République. La FAQ du Trésor précise que la plainte en ligne n’est, pour l’instant, possible que pour certaines infractions ciblées.
- Notez l’heure de la découverte : c’est le point de départ des 72 heures. Consignez-la par écrit, avec le nom de la personne qui a constaté l’incident.
- Préservez les traces : captures d’écran du message de rançon, journaux de connexion, courriels suspects. N’effacez rien et ne réinstallez pas les machines avant d’avoir sauvegardé les éléments utiles.
- Alertez et faites-vous orienter : 17, Ma Sécurité ou 17Cyber, en parallèle de l’appel à l’assistance de votre assureur ou de votre prestataire informatique.
- Rédigez une chronologie des faits et des actions entreprises, dans l’ordre.
- Déposez plainte sur place, ou par lettre recommandée avec accusé de réception adressée au procureur, ce qui fournit une preuve datée. Si le représentant légal ne peut pas se déplacer, la personne mandatée apporte une copie de sa pièce d’identité, un extrait Kbis et un mandat daté et signé.
- Transmettez le récépissé à l’assureur avec votre déclaration de sinistre, et conservez une copie de l’ensemble.
Plainte, assureur, CNIL : trois démarches distinctes
La plainte ne dispense d’aucune autre démarche. Lorsqu’une cyberattaque touche des données personnelles, trois obligations se superposent, avec des délais proches mais des destinataires différents.
| Démarche | Fondement | Destinataire | Délai | Si elle manque |
|---|---|---|---|---|
| Dépôt de plainte | Art. L. 12-10-1 du Code des assurances | Police, gendarmerie ou procureur | 72 heures après la connaissance de l’atteinte | Pas d’indemnisation des pertes et dommages |
| Déclaration de sinistre | Contrat d’assurance et art. L113-2 | Assureur | Délai du contrat, au moins 5 jours ouvrés | Déchéance possible si prévue au contrat et si le retard cause un préjudice à l’assureur |
| Notification d’une violation de données personnelles présentant un risque | Art. 33 du RGPD | CNIL | 72 heures si possible après la constatation, avec justification en cas de retard | Manquement au RGPD |
La CNIL demande en outre de documenter en interne tout incident, quel que soit son niveau de risque, et d’informer les personnes concernées en cas de risque élevé. Le point sur la mise en conformité RGPD des TPE et PME aide à préparer ces procédures.
Exemple : un cabinet comptable chiffré un vendredi soir
Exemple illustratif : un cabinet d’expertise comptable de 15 salariés découvre un vendredi à 19 heures que ses fichiers clients sont chiffrés et qu’un message réclame une rançon.
L’associé note l’heure, fait photographier les écrans et demande à son prestataire informatique d’isoler le réseau sans rien effacer. Il appelle la cellule d’assistance de son assureur, prévue à son contrat cyber, qui envoie un spécialiste dès le samedi. Il utilise 17Cyber pour être orienté, puis se rend le samedi matin à la gendarmerie avec la chronologie, les captures et un extrait Kbis. Le récépissé est daté du samedi, soit environ quinze heures après la découverte.
Le lundi, il adresse la déclaration de sinistre écrite à l’assureur avec le récépissé. Comme des données de clients ont pu être exfiltrées, il notifie la violation à la CNIL dans le même délai de 72 heures et prépare l’information des clients concernés.
Préparer la plainte avant l’attaque
La meilleure façon de tenir 72 heures est d’avoir anticipé. Intégrez la plainte à votre plan de réponse aux incidents :
- désignez qui porte plainte et préparez un mandat type signé par le représentant légal ;
- gardez à portée de main un extrait Kbis récent et la copie de la pièce d’identité du dirigeant ;
- notez les coordonnées de la brigade ou du commissariat le plus proche et le numéro de la cellule d’assistance de votre assureur ;
- vérifiez dans votre contrat les délais de déclaration et les conditions de la garantie assistance ;
- organisez la conservation des journaux et des sauvegardes hors ligne.
Ces réflexes s’inscrivent dans une démarche plus large pour renforcer la cybersécurité de l’entreprise et dans votre réflexion sur le rôle de l’assurance dans la gestion de crise.
Questions fréquentes
Peut-on porter plainte en ligne après une cyberattaque ?
Pas dans tous les cas. Selon la FAQ de la direction générale du Trésor, la plainte en ligne n’est possible que pour certaines infractions ciblées. La voie sûre reste le dépôt en gendarmerie ou au commissariat, ou un courrier au procureur de la République envoyé en recommandé avec accusé de réception, qui fournit une preuve datée.
Que se passe-t-il si l’attaque est découverte plusieurs semaines après l’intrusion ?
Le délai de 72 heures part de la découverte, pas de l’intrusion. Une attaque ancienne constatée aujourd’hui doit donc donner lieu à une plainte dans les trois jours qui suivent ce constat. Notez précisément la date et l’heure de la découverte, et qui l’a faite.
L’assistance d’urgence de l’assureur est-elle bloquée tant qu’on n’a pas porté plainte ?
Non. La FAQ du Trésor indique que la garantie de frais d’assistance d’urgence prévue au contrat peut être mobilisée sans incidence de l’article L. 12-10-1. La plainte reste en revanche indispensable pour l’indemnisation des pertes et dommages consécutifs à l’attaque.
La plainte dispense-t-elle de notifier la CNIL ?
Non. La plainte et la notification d’une violation de données personnelles à la CNIL sont deux démarches indépendantes, même si leur délai est comparable. La CNIL attend une notification initiale dans les 72 heures si possible, complétée ensuite si l’enquête se poursuit.
Sources
- Article L12-10-1 – Code des assurances – Légifrance, consulté le 19/10/2026
- Article L113-2 – Code des assurances – Légifrance, consulté le 19/10/2026
- FAQ sur l’obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances) – Direction générale du Trésor, consulté le 19/10/2026
- Notifier une violation de données personnelles – CNIL, consulté le 19/10/2026
