Notification incident cyber : 4 délais critiques à ne pas manquer
Notification incident cyber : 4 délais critiques à ne pas manquer
La notification incident cyber est l’un des rares sujets où l’improvisation coûte immédiatement de l’argent. Pendant que vos équipes techniques tentent de comprendre ce qui se passe, plusieurs compteurs réglementaires et contractuels ont déjà démarré — sans que personne, dans la plupart des organisations, ne sache lesquels ni depuis quand.
Le problème n’est pas la complexité des règles. Il tient au fait que ces délais ne relèvent ni du même texte, ni de la même autorité, ni de la même logique. Certains sont réglementaires, un autre conditionne votre indemnisation par l’assurance, et le régime le plus commenté n’est pas encore applicable en France.
Cet article fait le tri : ce qui s’impose aujourd’hui, ce qui arrive, et à quel moment exact le chronomètre se déclenche.
Table des matières
Le point de départ : la prise de connaissance
Avant de parler des délais, il faut s’entendre sur leur origine. Aucun de ces compteurs ne démarre au moment de l’attaque. Ils démarrent au moment où l’organisation en prend connaissance.
Cette nuance a des conséquences pratiques importantes. Une intrusion présente depuis six semaines et découverte un mardi matin ouvre ses délais ce mardi matin. À l’inverse, une alerte remontée par un salarié le vendredi soir et traitée le lundi a consommé deux jours de délai sans que personne n’en ait conscience.
À retenir
Le moment de la prise de connaissance doit être horodaté et tracé dès la première alerte. C’est cette heure qui fera référence en cas de contrôle — et c’est elle qu’un auditeur vous demandera de prouver.
D’où l’importance d’une main courante tenue dès la détection : qui a su quoi, à quelle heure, par quel canal. Sans ce document, vous ne pourrez ni justifier votre respect des délais, ni expliquer un éventuel dépassement.
CNIL — 72 heures
C’est l’obligation la plus connue, et la seule qui s’applique déjà à toutes les organisations sans exception sectorielle.
L’article 33 du RGPD impose de notifier à la CNIL toute violation de données à caractère personnel dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance.
Trois précisions changent la façon de gérer cette obligation.
La notification peut être incomplète. Le texte prévoit explicitement une notification en plusieurs temps : vous signalez ce que vous savez dans les 72 heures, puis vous complétez. Attendre d’avoir tous les éléments pour notifier est une erreur fréquente.
Un dépassement doit être motivé. Si la notification intervient au-delà de 72 heures, elle doit s’accompagner des motifs du retard. Le retard n’est donc pas rédhibitoire — l’absence d’explication l’est davantage.
Toutes les violations ne se notifient pas. L’obligation tombe si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Mais attention : l’article 33.5 impose de documenter toutes les violations dans un registre interne, y compris celles que vous ne notifiez pas. C’est ce registre que la CNIL consultera en priorité lors d’un contrôle.
Une seconde obligation existe en parallèle. L’article 34 impose d’informer les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés. Cette communication n’a pas de délai chiffré — elle doit intervenir dans les meilleurs délais.
Plainte pénale — 72 heures
C’est le délai le plus souvent ignoré, et son oubli se paie cash.
Depuis avril 2023, l’article L12-10-1 du code des assurances conditionne l’indemnisation des pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte par la victime.
Cette disposition, issue de la loi d’orientation et de programmation du ministère de l’Intérieur, concerne les victimes agissant dans le cadre d’une activité professionnelle.
Concrètement : si votre assurance cyber prévoit une indemnisation et que vous déposez plainte au-delà de 72 heures, l’assureur est fondé à refuser de payer.
À retenir
Le dépôt de plainte n’est pas une formalité tardive à traiter une fois la crise passée. C’est une action à mener dans les trois premiers jours, au même titre que la notification CNIL.
La plainte se dépose auprès de la police ou de la gendarmerie. Pour les organisations, un signalement peut également être fait auprès de la plateforme cybermalveillance.gouv.fr, mais celui-ci ne remplace pas le dépôt de plainte proprement dit.
Assurance — selon votre contrat
Aucun délai légal ici, mais une échéance contractuelle qui vous engage tout autant.
La plupart des polices cyber prévoient un délai de déclaration de sinistre court — souvent quelques jours ouvrés — et exigent une notification préalable avant tout engagement de dépenses. Faire intervenir un prestataire de réponse à incident sans en avoir informé l’assureur peut suffire à faire écarter la prise en charge de cette dépense.
Deux actions à mener avant toute crise : relever le délai exact inscrit dans votre contrat, et identifier le numéro d’urgence de l’assureur. Ces deux informations doivent figurer dans votre plan de gestion de crise, pas dans un classeur au service juridique.
Consultez nos services de gestion de crise pour structurer ce volet.
ANSSI — le régime actuel et celui qui vient
C’est ici que la confusion est la plus grande, parce que le régime le plus commenté n’est pas encore en vigueur en France.
Ce qui s’applique aujourd’hui
Seules certaines catégories d’organisations sont actuellement soumises à une obligation de déclaration auprès de l’ANSSI : les opérateurs d’importance vitale au titre de la loi de programmation militaire, et les opérateurs de services essentiels désignés sous le régime NIS1.
Le secteur de la santé dispose d’un régime propre : les établissements doivent signaler sans délai les incidents graves de sécurité de leurs systèmes d’information via le dispositif de signalement dédié.
Le secteur financier relève quant à lui du règlement DORA, directement applicable depuis janvier 2025, qui impose une notification initiale suivie d’un rapport intermédiaire puis d’un rapport final aux autorités compétentes.
Pour toutes les autres organisations, aucune déclaration à l’ANSSI n’est obligatoire à ce jour. Elle reste vivement recommandée : l’agence apporte un appui opérationnel et contribue à la connaissance nationale de la menace.
Ce que prévoit NIS2
La directive NIS2 instaure un régime en trois temps pour les incidents significatifs :
Un rapport intermédiaire peut être demandé par l’autorité, et si l’incident est toujours en cours au moment du rapport final, un rapport d’avancement le remplace, le rapport définitif étant attendu dans le mois suivant la fin du traitement.
La directive impose également d’informer les destinataires du service lorsque l’incident est susceptible d’en affecter la fourniture.
L’état de la transposition française
La directive NIS2 devait être transposée avant le 17 octobre 2024. La France ne l’a pas fait.
Le véhicule législatif retenu — la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dite loi Résilience — transpose simultanément trois directives européennes. Adopté au Sénat en mars 2025, le texte est resté bloqué dans le parcours parlementaire, et la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet 2026 en demandant des sanctions financières.
Conséquence pratique : le régime 24h / 72h / un mois n’est pas encore opposable aux quelque 15 000 entités que NIS2 fera entrer dans le périmètre. Il le deviendra, avec des décrets d’application et une période de transition.
L’ANSSI a par ailleurs publié en mars 2026 son Référentiel Cyber France, qui précise les mesures techniques attendues. Les organisations concernées peuvent s’y appuyer dès maintenant, sans attendre la loi.
Téléchargez notre checklist de résilience pour évaluer votre préparation.
Tableau récapitulatif
| Destinataire | Délai | Point de départ | Statut |
|—|—|—|—|
| CNIL | 72 heures | Prise de connaissance | En vigueur |
| Personnes concernées | Meilleurs délais | Prise de connaissance | En vigueur si risque élevé |
| Plainte pénale | 72 heures | Connaissance de l’atteinte | En vigueur — condition d’indemnisation |
| Assureur | Contractuel | Selon police | Contractuel |
| ANSSI — OIV, OSE, santé | Sans délai | Selon régime | En vigueur pour ces catégories |
| Autorités financières — DORA | Échelonné | Classification de l’incident | En vigueur depuis janvier 2025 |
| ANSSI — NIS2 | 24h / 72h / 1 mois | Prise de connaissance | En attente de transposition |
Les erreurs qui coûtent cher
Attendre de tout comprendre avant de notifier. Les textes prévoient la notification progressive. Le réflexe inverse conduit systématiquement au dépassement.
Oublier la plainte. C’est l’erreur la plus coûteuse, parce qu’elle se découvre au moment de l’indemnisation, quand il est trop tard pour la corriger.
Ne pas horodater la découverte. Sans trace du moment de prise de connaissance, vous ne pouvez pas démontrer que vous avez respecté les délais.
Engager des dépenses avant d’appeler l’assureur. Le prestataire mobilisé en urgence risque de rester à votre charge.
Confondre notification et communication. Prévenir l’autorité de contrôle et informer vos clients répondent à des obligations distinctes, avec des contenus différents.
Questions fréquentes
À partir de quand court le délai de notification incident cyber ?
À partir de la prise de connaissance de l’incident par l’organisation, pas de sa survenance. Ce moment doit être horodaté et tracé dès la première alerte, car il constitue la référence en cas de contrôle.
Faut-il notifier la CNIL pour toute cyberattaque ?
Non. L’obligation ne concerne que les violations de données à caractère personnel susceptibles d’engendrer un risque pour les droits et libertés des personnes. En revanche, toutes les violations doivent figurer dans votre registre interne, y compris celles qui ne sont pas notifiées.
Suis-je soumis aux délais NIS2 aujourd’hui ?
Pas encore en France : la loi de transposition n’est pas promulguée. Les obligations actuelles concernent les OIV, les opérateurs de services essentiels, le secteur de la santé et, sous DORA, le secteur financier. Le régime NIS2 s’appliquera après promulgation et décrets.
Que se passe-t-il si je dépasse les 72 heures pour la CNIL ?
La notification tardive reste possible et doit s’accompagner des motifs du retard. Un dépassement justifié est traité différemment d’une absence de notification, qui constitue un manquement caractérisé.
Le signalement sur cybermalveillance.gouv.fr remplace-t-il la plainte ?
Non. Le signalement en ligne est utile pour être orienté vers un prestataire, mais seul le dépôt de plainte auprès de la police ou de la gendarmerie satisfait la condition posée par le code des assurances.
Ce qu’il faut retenir
La notification incident cyber repose sur trois échéances concrètes dans les premiers jours : 72 heures pour la CNIL en cas de violation de données, 72 heures pour le dépôt de plainte si vous voulez être indemnisé, et le délai contractuel de votre assureur.
Le régime NIS2, avec ses 24 heures d’alerte précoce, viendra s’y ajouter. Sa mise en œuvre en France dépend d’une loi qui n’est pas encore promulguée — mais les organisations concernées ont tout intérêt à s’y préparer dès maintenant, la mise en conformité se comptant en mois.
Le point commun à toutes ces obligations : elles supposent de savoir, dès la première heure, qui appelle qui et avec quelles informations. C’est précisément ce que formalise un plan de gestion de crise.
Prenez rendez-vous avec un expert pour un échange de 30 minutes, ou consultez nos autres articles sur la continuité d’activité.
