Un professionnel victime d’une cyberattaque doit porter plainte au plus tard 72 heures après avoir constaté l’atteinte pour pouvoir être indemnisé par son assurance. Cette condition, prévue à l’article L. 12-10-1 du code des assurances depuis le 24 avril 2023, s’applique même si votre contrat ne la mentionne pas.
Ce guide détaille les démarches à mener pendant ces trois jours. Pour les garanties elles-mêmes, consultez notre guide sur l’assurance cyber des TPE et indépendants.
Rédaction : MME Assurances — Informations vérifiées le 5 novembre 2026.
Qui est concerné ?
D’après la FAQ de la Direction générale du Trésor, la règle vise les personnes physiques et morales victimes d’une cyberattaque dans le cadre de leur activité professionnelle : entreprises, associations, administrations, mais aussi indépendants et entrepreneurs individuels.
Un particulier attaqué dans sa vie privée n’est pas soumis à cette condition pour être indemnisé, si son contrat prévoit une couverture. La plainte reste recommandée dans tous les cas.
Quelles attaques sont visées ?
Toutes les cyberattaques, notamment :
- les logiciels malveillants, dont les rançongiciels ;
- l’hameçonnage ;
- le vol de données ;
- le déni de service qui rend un site ou un service indisponible ;
- la modification non sollicitée d’un site internet ;
- l’interception de communications ;
- l’exploitation d’une faille non corrigée.
À partir de quand courent les 72 heures ?
Le délai commence lorsque vous avez connaissance de l’atteinte, c’est-à-dire lorsque vous constatez les dommages. Une intrusion ancienne découverte aujourd’hui fait donc partir le délai aujourd’hui. Le délai n’est jamais prolongé, y compris si l’attaque survient pendant un déplacement à l’étranger.
| Moment | Action |
|---|---|
| Dès la découverte | Isoler les machines touchées, couper l’accès internet du réseau attaqué, débrancher les sauvegardes connectées. Ne pas effacer ni réinstaller. |
| Dans la foulée | Alerter les forces de l’ordre (17, application Ma Sécurité ou dispositif 17Cyber), prévenir l’assistance de votre contrat cyber s’il y en a une. |
| Avant 72 heures | Déposer plainte en commissariat, en gendarmerie ou par courrier au procureur de la République. |
| Sous 72 heures également | Si des données personnelles sont touchées : notification à la CNIL lorsque la violation présente un risque pour les personnes. |
Où et comment déposer plainte ?
La plainte se dépose dans une brigade de gendarmerie, un commissariat ou par courrier au procureur de la République. Dans ce dernier cas, la lettre recommandée avec accusé de réception donne une preuve datée, utile pour démontrer le respect du délai. La plainte en ligne n’est possible que pour certaines infractions. La fiche Service-Public sur le dépôt de plainte propose un modèle de courrier.
L’alerte par le 17 ou 17Cyber permet d’être orienté rapidement, mais elle ne remplace pas la plainte.
Pour préparer la plainte :
- conservez les traces : captures d’écran, messages de rançon, journaux, fichiers suspects ;
- notez chronologiquement ce qui s’est passé et ce que vous avez fait ;
- si le représentant légal ne peut pas se déplacer, munissez-vous d’une copie de sa pièce d’identité, d’un extrait Kbis et d’un mandat daté et signé.
La fiche réflexe de Cybermalveillance.gouv.fr recommande de déposer plainte avant de réinstaller les appareils touchés, pour préserver les preuves.
Que se passe-t-il en cas de retard ?
Sans plainte dans les 72 heures, l’assureur peut refuser d’indemniser les pertes et dommages liés à l’attaque. À l’inverse, une plainte dans les délais ne suffit pas : l’indemnisation dépend toujours des garanties du contrat.
La FAQ du Trésor précise que la garantie d’assistance d’urgence prévue par un contrat peut être mobilisée indépendamment de cette condition. Appeler l’assistance est donc utile même avant d’avoir déposé plainte.
Questions fréquentes
La plainte dispense-t-elle de prévenir la CNIL ?
Non. La plainte et la notification d’une violation de données à la CNIL sont deux démarches indépendantes, même si leur délai est identique. Voir notre guide sur la fuite de données en entreprise.
Mon contrat ne parle pas de plainte : la règle s’applique-t-elle ?
Oui, pour un contrat soumis au code des assurances français. La règle découle de la loi ; elle n’a pas besoin d’être reprise dans le contrat.
Mon entreprise est attaquée à l’étranger : où porter plainte ?
Une entreprise française assurée en France peut porter plainte en France, ou dans le pays concerné si l’attaque y constitue aussi une infraction. Dans les deux cas, le délai reste de 72 heures.
Un sinistre classique (incendie, dégât des eaux) peut-il être bloqué par cette règle ?
La condition ne s’applique que si vous avez connaissance d’une atteinte informatique. Si l’origine cyber n’est découverte qu’après, l’assureur n’a pas à indemniser une seconde fois le même préjudice.
Pour les autres protections de votre activité, consultez nos guides sur la responsabilité civile professionnelle, l’assurance décennale des artisans et la prévoyance des indépendants, ou l’ensemble de nos guides mutuelle, prévoyance et autres assurances.
Sources et documents de référence
- Direction générale du Trésor : FAQ sur l’obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances).
- Service-Public : porter plainte.
- 17Cyber : assistance des victimes de cyberattaque.
- Cybermalveillance.gouv.fr : fiche réflexe rançongiciels.
- CNIL : notifier une violation de données personnelles.
Cette information générale ne remplace ni la lecture des conditions générales et particulières d’un contrat, ni un conseil juridique ou technique adapté à votre situation.
