Cybersécurité pour avocats et experts-comptables : secret professionnel et obligations 2026

Un avocat ou un expert-comptable ne détient pas seulement des données : il détient des secrets que la loi lui interdit de révéler. Quand les dossiers d’un cabinet sortent à cause d’une cyberattaque, l’incident n’est donc pas seulement informatique, il touche à la confiance sur laquelle repose la profession. En 2023, l’ANSSI relevait qu’une douzaine de cabinets d’avocats français avaient été compromis par rançongiciel depuis 2017, un chiffre qu’elle jugeait très probablement sous-évalué, puisque les cabinets ne font pas partie des opérateurs d’importance vitale ni des opérateurs de services essentiels (rapport CERTFR-2023-CTI-004).

Cet article, qui sert de référence sur le sujet, rassemble ce qu’un cabinet doit savoir en 2026 : ce que disent les textes sur le secret professionnel (article 66-5 de la loi du 31 décembre 1971 pour les avocats, article 21 de l’ordonnance du 19 septembre 1945 pour les experts-comptables), comment le RGPD s’y ajoute, quels incidents ont réellement touché la profession, quelles mesures l’ANSSI et le Conseil national des barreaux recommandent, où héberger ses données face au CLOUD Act et au FISA américains, comment encadrer l’IA générative, si NIS2 vous concerne et comment réagir à une attaque. Les informations sont à jour au 3 novembre 2026. Ce guide ne remplace pas un avis juridique : pour une situation précise, rapprochez-vous de votre ordre ou de votre barreau.

L’essentiel à retenir

• Le secret professionnel est d’ordre public. Pour l’avocat, il couvre, en conseil comme en défense, les consultations, les correspondances, les notes d’entretien et toutes les pièces du dossier, quel que soit le support. Pour l’expert-comptable, l’article 21 de l’ordonnance de 1945 le soumet aux peines de l’article 226-13 du Code pénal : un an d’emprisonnement et 15 000 euros d’amende.
• Selon l’ANSSI (rapport de 2023), les attaques à finalité lucrative sont la principale menace observée contre les cabinets d’avocats, avec une part croissante de double extorsion (chiffrement puis menace de publication) et d’attaques par le prestataire informatique.
• Un cabinet est aussi responsable de traitement au sens du RGPD : sécurité des données, encadrement des sous-traitants, notification d’une violation à la CNIL sous 72 heures.
• Les premières défenses sont connues : sauvegarde hors ligne, authentification multifacteur, aucun équipement personnel pour le travail, chiffrement des données sensibles, vérification par un second canal de tout changement de RIB.
• L’ANSSI cite le CLOUD Act et le FISA parmi les risques d’extraterritorialité pour les données hébergées dans le cloud. Le CNB estime que très peu de messageries cloud garantissent la protection du secret, rappelle que les solutions de sociétés américaines relèvent du FISA et propose sa propre messagerie, en @avocat.fr.
• Ni les avocats ni les experts-comptables ne figurent parmi les secteurs listés par NIS2, dont la transposition française n’était pas adoptée à notre connaissance au 3 novembre 2026. Leurs clients, eux, peuvent l’être, et leur demanderont des garanties.
• Pour être indemnisé par un assureur cyber, il faut déposer plainte dans les 72 heures suivant la connaissance de l’atteinte (article L. 12-10-1 du Code des assurances).

Pourquoi les cabinets d’avocats et d’expertise comptable sont des cibles ?

Dans son rapport « État de la menace informatique contre les cabinets d’avocats » (27 juin 2023), l’ANSSI explique l’exposition de la profession par trois facteurs, qui valent largement pour les cabinets d’expertise comptable :

1. L’accès à des données sensibles sur les clients et les procédures, que des attaquants peuvent vouloir dérober ou revendre.
2. Les échanges avec les véritables cibles : un cabinet peut être compromis pour atteindre ses clients, qui présentent un intérêt pour l’attaquant.
3. Les recettes financières du cabinet, qu’un attaquant peut tenter d’extorquer.

Le même rapport décrit une surface d’attaque qui ne cesse de s’étendre : numérisation des procédures judiciaires, interconnexion entre le réseau du cabinet et ceux de ses prestataires, manque de cloisonnement entre équipements personnels et professionnels, télétravail, mauvaises pratiques. Il relève aussi que la majorité des avocats exercent en petite structure, sans responsable de la sécurité des systèmes d’information (RSSI) et sans sensibilisation suffisante. L’ANSSI distingue trois grandes familles de menaces : les attaques à but lucratif, l’espionnage et les opérations de déstabilisation. Selon ce rapport, les premières étaient la principale menace observée en nombre d’attaques.

Le Conseil national des barreaux (CNB) reprend ce constat dans sa page « Menaces cyber : le CNB fait le point » du 27 août 2026 : les cabinets d’avocats figurent, écrit-il, parmi les cibles privilégiées des cyberattaquants, et le facteur humain est souvent à l’origine des violations de données. Côté expertise comptable, le Conseil national de l’Ordre (CNOEC) est membre du dispositif public Cybermalveillance.gouv.fr depuis 2024, avec l’objectif de renforcer son engagement contre la cybercriminalité et de sensibiliser les cabinets et leurs clients, d’après la page que le dispositif lui consacre.

Un cabinet comptable concentre, de son côté, des bilans, des liasses fiscales, des bulletins de paie, des relevés et des RIB, des pièces d’identité de dirigeants et de salariés. C’est notre lecture, pas une statistique : tout ce qui permet de monter une fraude crédible contre un client se trouve au même endroit, et c’est précisément pour cela qu’un seul accès compromis peut toucher des dizaines d’entreprises à la fois. Pour replacer ce risque dans le paysage général, voir notre analyse Pourquoi les PME sont les cibles préférées des hackers et notre pilier sur le coût réel d’une cyberattaque. Les indépendants qui exercent seuls trouveront les bases dans notre guide pour les indépendants et auto-entrepreneurs.

Le secret professionnel : ce que disent les textes pour chaque profession

Le secret professionnel n’est pas une simple règle de discrétion. Il est la base juridique qui transforme un incident de sécurité en question de déontologie. Voici ce que disent les textes, tels que nous avons pu les consulter.

Pour les avocats : article 66-5 de la loi de 1971 et article 2 du RIN

L’article 66-5 de la loi n° 71-1130 du 31 décembre 1971 (version en vigueur depuis le 30 mars 2011, consultée au 3 novembre 2026) couvre par le secret professionnel, en toutes matières, conseil ou défense : les consultations adressées par l’avocat à son client ou destinées à celui-ci, la correspondance entre le client et son avocat, celle entre avocats (sauf les courriers portant la mention « officielle »), les notes d’entretien et, plus généralement, toutes les pièces du dossier.

Le Règlement intérieur national (RIN), article 2, précise l’étendue et les devoirs qui en découlent :

• le secret est d’ordre public, général, absolu et illimité dans le temps (article 2.1) ;
• il vaut quels qu’en soient les supports, matériels ou immatériels, « papier, télécopie, voie électronique » (article 2.2) ;
• il protège notamment les consultations, les correspondances, les notes d’entretien, les pièces du dossier, le nom des clients, l’agenda de l’avocat et les maniements de fonds (article 2.2) ;
• l’avocat doit faire respecter le secret par les membres du personnel de son cabinet et il répond des violations commises ; ce devoir vise aussi toute personne qui coopère avec lui dans son activité professionnelle (article 2.3).

Deux conséquences pratiques pour la cybersécurité. D’abord, le secret n’est pas limité aux dossiers : l’agenda, la liste des clients et les mouvements de fonds sont couverts, donc l’accès à une messagerie ou à un logiciel de gestion expose déjà des éléments protégés. Ensuite, le devoir de faire respecter le secret par ceux qui coopèrent avec l’avocat s’applique, dans notre lecture, aux prestataires qui ont accès aux données : l’infogérant, l’hébergeur, l’éditeur du logiciel de gestion. L’ANSSI le dit autrement en recommandant d’analyser les risques que ces prestataires font peser « sur le secret de l’instruction, le secret professionnel ou le secret des affaires ». Le secret étant illimité dans le temps, la durée de vie des données à protéger peut aussi dépasser celle de certains algorithmes de chiffrement actuels, sujet que nous traitons dans notre article sur la cryptographie post-quantique.

Pour les experts-comptables : article 21 de l’ordonnance de 1945

Pour l’expertise comptable, le texte de base est l’article 21 de l’ordonnance n° 45-2138 du 19 septembre 1945 (version consolidée consultée au 3 novembre 2026). Sous réserve de toute disposition législative contraire, il soumet au secret professionnel les experts-comptables, les salariés visés par ses articles 83 ter et 83 quater, les experts-comptables stagiaires et les professionnels partiellement autorisés à exercer l’activité d’expertise comptable, « dans les conditions et sous les peines fixées par l’article 226-13 du Code pénal ». Il étend l’obligation aux membres des organismes juridictionnels et des autres organismes de l’Ordre, sauf pour les questions purement administratives, et prévoit des cas de levée du secret, notamment lorsqu’une information judiciaire ou des poursuites sont engagées.

Le code de déontologie de la profession, annexé au décret n° 2012-432 du 30 mars 2012, fait par ailleurs du secret professionnel l’un des principes fondamentaux, selon les présentations qu’en donnent plusieurs cabinets ; nous n’avons pas pu en vérifier le texte article par article, et nous ne citons donc pas de numéro. La sanction pénale, elle, est identique pour les deux professions : l’article 226-13 du Code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende la révélation d’une information à caractère secret par une personne qui en est dépositaire par état ou par profession.

Une fuite de données est-elle une violation du secret professionnel ?

C’est la question que posent presque tous les cabinets, et la réponse est nuancée. L’article 226-13 sanctionne la révélation d’un secret, ce qui vise d’abord un acte volontaire : une victime de cyberattaque n’est pas, du seul fait de l’attaque, l’auteur de ce délit. En revanche, l’ANSSI écrit que la fuite de données à caractère personnel « peut également porter atteinte au secret professionnel et engager la responsabilité des avocats » au regard de la loi Informatique et Libertés et du RGPD. Autrement dit, le risque principal d’un cabinet mal protégé n’est pas tant la sanction de l’article 226-13 que la mise en cause de sa responsabilité pour défaut de sécurité, la perte de confiance de ses clients et les sanctions de la CNIL. Cette lecture est la nôtre : pour qualifier une situation précise, consultez un avocat spécialisé ou votre ordre.

Secret professionnel et RGPD : une double obligation de sécurité

Un cabinet traite des données personnelles : coordonnées des clients, mais aussi, selon les dossiers, données de condamnations pénales, informations familiales, financières, de santé ou salariales. Il est donc responsable de traitement au sens du RGPD, avec des obligations qui s’ajoutent au secret. Le tableau ci-dessous les met côte à côte.

Le CNB rappelle, dans son guide, que les avocats ne doivent faire appel qu’à des prestataires présentant des garanties suffisantes en matière de mesures techniques et organisationnelles, ce qui reprend l’article 28 du RGPD, et il a publié un guide « Les avocats et le RGPD » (deuxième édition, mai 2023). Pour la partie sanctions, notre analyse sur le RGPD et la cybersécurité en PME détaille les plafonds et la pratique de la CNIL, et notre pilier sur la responsabilité du dirigeant en cas de cyberattaque traite de la mise en cause personnelle. Les professionnels de santé relèvent d’un cadre voisin, avec la certification HDS en plus : voir notre article sur la cybersécurité du cabinet médical.

Ce qui s’est réellement passé : les incidents documentés

Les statistiques sectorielles sont rares, mais plusieurs incidents sont bien documentés. Nous ne retenons ici que ceux qui reposent sur un rapport officiel ou sur la communication de la victime.

Sept cabinets d’avocats français touchés par leur infogérant. Le rapport de l’ANSSI de juin 2023 indique que le groupe cybercriminel Everest aurait exfiltré les données et chiffré les systèmes d’au moins sept cabinets d’avocats français, à la suite de la compromission de leur prestataire d’infogérance. Les données de certains ont ensuite été publiées. Parmi les victimes figurait un cabinet spécialisé dans la réparation des dommages corporels, qui avait représenté des parties civiles dans de grands procès : des éléments de dossiers d’instruction, dont des procès-verbaux d’audition et des rapports d’autopsie, ont ainsi été rendus publics. C’est l’illustration la plus nette du risque fournisseur pour la profession.

Des mots de passe en clair dans un fichier texte. Début 2022, les opérateurs du rançongiciel LockBit 2.0 ont annoncé la publication de documents du ministère de la Justice, dérobés sur le système d’un cabinet d’avocats français dont les données avaient été chiffrées. Selon l’ANSSI, les données publiées contenaient des contrats de travail, des photos d’identité et un fichier texte stockant des identifiants et mots de passe qui auraient pu donner accès à un compte bancaire et au réseau privé virtuel des avocats (RPVA). L’agence note que la majorité des compromissions de cabinets français qu’elle a constatées depuis 2017 relevaient de LockBit 2.0, et cite comme facteurs aggravants des vulnérabilités non corrigées, les interdépendances avec les prestataires et de mauvaises pratiques comme le stockage de mots de passe en clair.

In Extenso, avril 2021. Le réseau d’expertise comptable In Extenso (5 000 collaborateurs, 250 bureaux) a annoncé le 14 avril 2021 avoir été victime d’une attaque par rançongiciel qui paralysait la plus grande partie de son système informatique, alors que la comptabilité de plus de 100 000 clients était potentiellement touchée, selon la dépêche de l’AFP reprise par Solutions Numériques. Le groupe avait arrêté tout son système pour limiter la propagation, et les salariés étaient privés de leurs outils habituels. L’article ne mentionne ni vol ni fuite de données. L’épisode reste un cas d’école : l’attaque est tombée à une période où les bilans clôturés au 31 décembre doivent être validés avant mai.

Welyb, septembre 2026. Welyb, portail d’échange de documents utilisé par des cabinets comptables et commercialisé sous le nom de Portail AGIRIS CONNECT par le groupe ISAGRI, a détecté un incident de sécurité le 1er septembre 2026, jour de l’entrée en vigueur de la réforme de la facturation électronique. D’après la synthèse de Génération NT, qui relaie les informations communiquées par l’éditeur, l’accès non autorisé à un composant technique a exposé des noms, adresses, téléphones, courriels, raisons sociales, numéros SIREN ou SIRET et des mots de passe hachés. Rien n’indique, à ce stade, que des factures, des documents comptables ou des coordonnées bancaires aient été consultés, et l’éditeur déclare avoir notifié la CNIL. Le nombre de cabinets et de personnes concernés n’est pas public, et la cause technique n’a pas été communiquée. Le risque principal, selon cette même synthèse, est l’hameçonnage ciblé : un fraudeur qui connaît le nom d’un cabinet, de ses clients et leurs adresses peut se faire passer pour l’un d’eux afin d’obtenir un faux paiement ou un changement de RIB.

Ce dernier cas ne concerne pas le cabinet lui-même, mais un outil sur lequel ses clients se connectent. Il rejoint la leçon des attaques sur les éditeurs de logiciels de santé, que nous avons analysée dans notre article sur le cabinet médical : le périmètre à protéger inclut les fournisseurs. Notre article sur les attaques par la chaîne d’approvisionnement décrit ce mécanisme, et celui sur la facturation électronique et les plateformes agréées aide à distinguer une plateforme agréée d’un simple portail d’échange.

Les six scénarios d’attaque à connaître

Les sources officielles décrivent des attaques très variées, mais six scénarios reviennent sans cesse. Le tableau les résume, avec la source de chaque exemple et le réflexe qui leur correspond.

Quelques précisions utiles. Sur la double extorsion, l’ANSSI rapporte l’exemple d’un cabinet américain qui, en 2016, a vu ses documents de travail paralysés pendant au moins trois mois : les outils de déchiffrement envoyés après le paiement se seraient révélés inexploitables, et les attaquants auraient réclamé une rançon plus élevée. Le cabinet a estimé ses pertes totales à 700 000 dollars. Sur le dernier scénario, l’ANSSI juge particulièrement exposés les cabinets qui ont des filiales à l’étranger, traitent avec des entreprises étrangères ou plaident dans des litiges impliquant des organisations liées à des gouvernements conduisant des attaques informatiques. Elle ajoute que la vente de services offensifs à des acteurs privés fait monter le niveau de menace : la compromission d’un compte Gmail était proposée, selon elle, pour environ 450 euros en mars 2021.

Le cinquième scénario ne vise pas les cabinets, mais il explique pourquoi la double authentification est la mesure la plus rentable. Dans son rapport d’incident sur les cyberattaques contre la DGFiP, publié fin septembre 2026, l’ANSSI décrit une attaque qu’elle juge non sophistiquée : l’attaquant disposait d’identifiants valides ou expirés, dont l’origine évoquée est le vol par des logiciels espions sur des ordinateurs non administrés par l’administration, et deux portails n’étaient pas protégés par une authentification forte, d’après le compte rendu de Next. Nous avons détaillé l’affaire dans notre article sur le piratage des impôts, de l’ANTS et de l’Éducation nationale. Si une administration de cette taille a été prise en défaut par des identifiants volés, un cabinet de cinq personnes doit raisonner de la même façon.

Deux facteurs aggravants traversent tous ces scénarios. Le premier est humain : le CNB souligne que le facteur humain est souvent à l’origine des violations de données, ce qu’il appelle la « menace de l’initié » (voir notre article sur la menace interne). Le second est technologique : dans son Panorama de la cybermenace 2025, l’ANSSI estime que l’IA générative est un potentiel accélérateur des capacités offensives, tout en précisant que son usage par les attaquants dépend de leurs objectifs et surtout de leur niveau de maturité. Un courriel d’hameçonnage bien rédigé, un appel avec la voix d’un associé ou un faux ordre de virement convaincant sont des scénarios que l’IA peut rendre plus accessibles : c’est notre lecture, pas une affirmation de l’agence. Nos articles sur la fraude au président, le spear phishing, le clonage vocal et le quishing décrivent ces techniques et les moyens de les déjouer. Pour le rançongiciel, voir comment les PME sont ciblées et faut-il payer la rançon.

Avocats : RPVA, CARPA et échanges avec les confrères

La profession d’avocat a trois particularités qui appellent des mesures spécifiques.

Le RPVA. Le réseau privé virtuel des avocats relie les cabinets à certaines entités judiciaires de l’État, au moyen d’une surcouche installée sur le navigateur et d’une clé matérielle (token USB). L’ANSSI en tire trois recommandations (R17 à R19) : protéger physiquement la clé et son secret d’authentification pour qu’ils restent sous la maîtrise de l’utilisateur et ne soient jamais partagés, même temporairement ; ne pas utiliser, autant que possible, un mode de connexion dégradé reposant sur une authentification vulnérable, comme l’envoi d’un SMS ; et dédier un navigateur aux accès RPVA, durci et distinct de celui de la navigation courante. Elle cite aussi comme mauvaise pratique la numérisation des clés personnelles du RPVA, qui pourrait faciliter l’accès d’attaquants à des données sensibles. Dans le cas du cabinet touché par LockBit 2.0, les identifiants publiés auraient pu donner accès au RPVA.

La CARPA et les fonds des clients. Le règlement des fonds clients passe par les CARPA, et c’est une cible de fraude. Selon le CNB, les attaquants compromettent une messagerie ou interceptent des échanges pour substituer leur RIB à celui d’un client, d’une CARPA ou d’un partenaire, dans les règlements clients, les opérations immobilières, les transactions commerciales et les versements transitant par une CARPA. Les recommandations du CNB sont simples : vérifier tout changement de RIB par un second canal, contrôler les codes BIC et banque (notamment ceux de la CARPA), utiliser une adresse professionnelle sécurisée et le dispositif e-Partage du CNB pour échanger les RIB, et sensibiliser l’ensemble du personnel. Son guide de 2023 va plus loin : ne jamais transmettre un RIB par courriel, et, pour les CARPA, ne jamais accepter un RIB reçu par cette voie. Le CNB observe que la plupart des victimes de ces fraudes n’ont pas d’adresse rattachée à un nom de domaine professionnel. Pour le volet technique côté domaine, notre guide sur SPF, DKIM et DMARC explique comment limiter l’usurpation de votre adresse.

Les échanges avec les confrères. L’article 3 du RIN pose que tous les échanges entre avocats, verbaux ou écrits, quel qu’en soit le support, sont par nature confidentiels, y compris par voie électronique, sous réserve d’exceptions (correspondances équivalant à un acte de procédure, ou ne renvoyant à aucun échange confidentiel antérieur). La conséquence pratique est directe : une messagerie compromise expose non seulement les échanges avec les clients, mais aussi toute la correspondance confraternelle. C’est l’une des raisons pour lesquelles le CNB insiste sur la protection de la messagerie, que nous traitons plus bas.

Experts-comptables : portails clients, logiciels en ligne et accès pour le compte des clients

Pour un cabinet d’expertise comptable, la surface d’attaque est moins judiciaire et plus applicative. Nous n’avons pas trouvé, dans nos recherches, de rapport de l’ANSSI consacré à cette profession comme celui qui existe pour les avocats ; les points ci-dessous combinent les incidents documentés plus haut, les recommandations générales de l’agence et notre analyse.

• Les portails d’échange et logiciels en ligne. Un cabinet fait transiter bilans, relevés, factures et pièces justificatives par des portails et des logiciels hébergés par des éditeurs. Le cas Welyb montre que l’incident peut survenir chez l’éditeur, sans que le cabinet ait commis la moindre faute, et que ses clients s’adressent ensuite à lui. Selon la configuration, un compte compromis sur un logiciel de comptabilité en ligne permet de consulter les écritures et d’en exporter les données ; connecté à la banque, il peut aussi servir à des opérations de paiement. Appliquez au fournisseur les mêmes questions que celles de la section sur l’hébergement.
• Les accès pour le compte des clients. Un cabinet dispose couramment d’accès aux espaces fiscaux, sociaux et bancaires de ses clients, ce qui fait de chaque poste de travail une porte d’entrée vers plusieurs organisations à la fois. Il est donc utile de limiter ces accès aux collaborateurs qui en ont besoin, de les révoquer au départ d’un salarié et de journaliser leur usage, comme l’ANSSI le recommande pour les cabinets d’avocats (besoin d’en connaître et journalisation).
• La facturation électronique. La réforme est entrée en vigueur le 1er septembre 2026. Elle multiplie les plateformes, les notifications et les changements de coordonnées, donc les occasions de fraude. Notre article sur la facturation électronique obligatoire explique comment choisir une plateforme agréée et repérer les faux messages.
• Les pics d’activité. L’attaque contre In Extenso est tombée en avril, au moment où les bilans clôturés au 31 décembre doivent être validés. Les périodes de clôture, de liasse fiscale et de paie sont aussi celles où une indisponibilité coûte le plus cher : prévoyez le mode dégradé avant ces périodes.
• Les clients, relais de la fraude. Un fraudeur peut usurper l’identité d’un cabinet pour demander à ses clients un virement ou un nouveau RIB, comme le redoute la synthèse consacrée à Welyb. Prévenez vos clients de votre procédure (aucun changement de coordonnées bancaires par courriel) : c’est gratuit et efficace. Notre guide sur la réputation après une cyberattaque montre pourquoi cette confiance se préserve en amont.

Un dernier point de méthode : selon la mission, un cabinet d’expertise comptable peut être responsable de traitement ou sous-traitant de son client au sens du RGPD. Cette qualification, à faire au cas par cas avec votre conseil, détermine les clauses à prévoir dans la lettre de mission et les obligations de notification en cas d’incident.

Douze mesures prioritaires pour un cabinet

L’ANSSI propose, dans son rapport sur les cabinets d’avocats, trente recommandations centrées sur la confidentialité, et le CNB a publié en octobre 2023 un guide pratique en dix fiches (authentification, habilitations, matériel, sauvegarde, nomadisme, échanges, réseau, maintenance, sensibilisation, prestataires). Nous en avons tiré douze mesures, utiles aussi aux experts-comptables. La troisième colonne indique la source pour que vous puissiez retrouver le détail.

Pour passer de la liste à la pratique, nos guides détaillent chaque chantier : la double authentification, les gestionnaires de mots de passe, la gestion des mises à jour, la règle 3-2-1 de sauvegarde, le chiffrement au repos et en transit, le choix entre EDR, MDR et XDR, le télétravail, le BYOD et la formation des équipes. Pour la fuite de données par négligence, voir aussi notre article sur la prévention des pertes de données. Pour formaliser l’ensemble, notre pilier sur la politique de sécurité informatique propose un modèle, et l’audit cybersécurité PME de SIAC Media permet de mesurer l’écart avec ces douze mesures.

Messagerie, partage de documents et sauvegardes : le choix qui engage le secret

Dans son guide de 2023, le CNB pose la question en une phrase : l’infrastructure de messagerie et sa sécurité participent à la protection du secret professionnel. Il distingue deux cas, selon que le cabinet prend en charge ou non son infrastructure de messagerie.

• Le cabinet utilise une offre cloud. Le CNB constate que, parmi les nombreuses messageries cloud, très peu remplissent les conditions propres à garantir la protection du secret professionnel, et que les solutions de sociétés américaines sont soumises au FISA (voir la section suivante).
• Le cabinet héberge lui-même ou fait héberger sa messagerie. Il doit s’assurer, en s’appuyant sur le guide de l’ANSSI pour les TPE et PME, de disposer d’une analyse antivirus en amont des boîtes aux lettres et du chiffrement TLS des échanges, notamment pour l’authentification. Le guide recommande aussi de ne pas exposer directement les serveurs de messagerie sur Internet.

Le CNB ajoute une règle de bon sens : tous les courriels n’exigent pas le même niveau de protection, c’est la sensibilité de l’information qui détermine le moyen de communication. Concrètement, nous retenons trois niveaux :

1. Information non sensible : le courriel convient.
2. Information couverte par le secret, stratégique pour un dossier ou à caractère personnel : le CNB recommande d’éviter le courriel simple, de chiffrer le contenu et, pour l’envoi de pièces à un client, d’utiliser une solution de mise à disposition de documents plus sûre que le courriel. Pour recevoir des pièces d’un client, il recommande d’ouvrir un lien vers un dossier sécurisé sur une solution de stockage dont le choix garantit le secret.
3. Coordonnées bancaires : jamais par courriel, avec confirmation par un second canal.

Ce que propose le CNB aux avocats. Après avoir annoncé en 2023 une solution française, le CNB a mis à disposition le 14 février 2024 une messagerie sécurisée en @avocat.fr, destinée à remplacer le Cloud privé des avocats lancé en 2014. À son lancement, le service était gratuit pour les avocats pendant trois ans. D’après la page officielle e-Mail et e-Drive, e-Mail est réservée aux avocats en exercice inscrits à un barreau français, e-Drive offre 50 Go pour 2,20 euros HT par mois, et l’espace e-Drive est hébergé sur des serveurs situés en France. La souscription passe par les identifiants e-Dentitas ou la Clé Avocat. Le guide de 2023 annonçait une connexion par la clé Avocat ou le compte e-Dentitas, avec une authentification double facteur, là où les messageries du marché ne sont protégées que par un mot de passe. Pour les échanges de fichiers et de RIB, le CNB propose aussi l’outil e-Partage.

Deux limites sont à connaître. Les pages officielles que nous avons consultées ne précisent pas le lieu d’hébergement de la messagerie e-Mail elle-même (seul e-Drive est indiqué en France), et leurs affirmations sur la confidentialité sont de nature commerciale, sans détail technique ni indication sur les sous-traitants. Rien n’empêche de poser au CNB les mêmes questions qu’à tout prestataire.

Pour les experts-comptables. Nous n’avons pas identifié de solution commune équivalente proposée par l’Ordre. Le choix repose donc sur le cabinet : adresse sur un nom de domaine professionnel protégé par SPF, DKIM et DMARC, portail d’échange sécurisé plutôt que pièces jointes, et un fournisseur évalué avec la grille de la section suivante. Notre comparatif Microsoft 365 contre Google Workspace aide à mesurer ce que l’on gagne et ce que l’on expose avec ces suites.

Les sauvegardes. L’ANSSI recommande une sauvegarde hors ligne régulière, par exemple mensuelle, conservée dans un lieu physique sécurisé (un disque externe dans un coffre, par exemple). C’est la copie que le rançongiciel ne peut pas chiffrer. Si vous recourez en plus à une sauvegarde en ligne, chiffrez les données avant qu’elles quittent le cabinet, sachez où elles sont stockées et testez la restauration. Notre comparatif des outils de sauvegarde cloud et notre pilier sur la cyber-résilience détaillent ces choix.

Souveraineté : CLOUD Act, FISA et secret professionnel

La question de la souveraineté n’est pas idéologique pour un avocat ou un expert-comptable : elle découle du secret. L’ANSSI écrit que la généralisation du cloud a introduit de nouvelles menaces pour les données hébergées par les cabinets d’avocats, car la nature du cloud rend complexe la localisation précise du stockage et que la confidentialité des données peut être menacée par l’extraterritorialité de certaines législations, « notamment le Cloud Act et le Foreign Intelligence Surveillance Act (FISA) américains ». Le CNB, dans son guide, est plus direct : les solutions proposées par les sociétés américaines sont soumises au FISA, qui autorise les administrations américaines à collecter les données personnelles détenues par les personnes morales de droit américain. C’est pour cette raison qu’il a développé ses propres outils, hébergés en France.

Le CLOUD Act, adopté aux États-Unis le 23 mars 2018, permet aux autorités américaines d’exiger d’un fournisseur soumis au droit américain les données qu’il détient ou contrôle, y compris lorsqu’elles sont stockées hors des États-Unis. Le critère n’est donc pas l’adresse du centre de données, mais la juridiction à laquelle le fournisseur est soumis : héberger en France chez une société de droit américain ne suffit pas, à lui seul, à lever le risque. Notre guide de la cybersécurité souveraine anti-CLOUD Act détaille le mécanisme et les alternatives.

Deux repères aident à comparer les offres. Le premier est la qualification SecNumCloud de l’ANSSI : son référentiel 3.2 (8 mars 2022) prévoit, pour se protéger des lois extra-européennes, des plafonds de capital de 24 % pour un actionnaire individuel et de 39 % pour l’ensemble des actionnaires, lorsqu’ils sont des entités hors de l’Union européenne (référentiel, page 51). À notre connaissance, aucun texte n’impose SecNumCloud à un cabinet libéral ; c’est un repère, pas une obligation. Le second est le pays d’hébergement : la Suisse bénéficie d’une décision d’adéquation de la Commission européenne, datée de 2000 et confirmée par le réexamen publié le 15 janvier 2024, qui permet les transferts de données personnelles depuis l’Union sans garanties supplémentaires (Office fédéral de la justice). L’adéquation concerne la protection des données personnelles : elle ne dit rien, en soi, de la protection du secret professionnel, qui reste à apprécier.

Pour concrétiser ces repères sans compétence technique, posez ces cinq questions à tout fournisseur qui touche à vos dossiers (messagerie, logiciel de gestion, stockage, sauvegarde, outil d’IA) :

1. Où mes données sont-elles stockées, sauvegardées et administrées, et des équipes situées hors de l’Union européenne peuvent-elles y accéder à distance ?
2. Votre société, votre maison mère ou votre hébergeur sont-ils soumis à une législation d’un pays tiers (capital, contrôle, sous-traitants) ? Quelles mesures sont prévues si une autorité étrangère demande l’accès à mes données ?
3. Le contenu est-il chiffré, et qui détient les clés ?
4. Comment récupérer mes données si je change de prestataire : format, délai, coût ?
5. En cas d’incident, sous quel délai m’informez-vous, et quel engagement de confidentialité signez-vous pour ceux de vos salariés qui accèdent à mes données ?

Un fournisseur européen n’est pas automatiquement meilleur : comparez aussi ses certifications, son historique d’incidents et la réversibilité de son offre. Nos articles sur le serveur physique ou le cloud souverain, sur la gestion des risques tiers, sur le choix d’un prestataire informatique de confiance et notre pilier sur la sécurité cloud pour PME prolongent cette démarche. Le label ExpertCyber de Cybermalveillance.gouv.fr, délivré à l’issue d’un audit, aide à repérer un prestataire de proximité (service « Mon ExpertCyber » sur Cybermalveillance.gouv.fr).

Pour aller plus loin sur ces alternatives, voir notre article sur kSuite, l’alternative souveraine à Microsoft 365 et notre pilier sur l’écosystème Infomaniak pour les PME. L’hébergement du site du cabinet compte aussi : voir pourquoi un assureur cyber demande où est hébergé votre site.

IA générative au cabinet : les règles du CNB et de l’Ordre des experts-comptables

L’IA générative entre dans les cabinets par l’initiative individuelle (un collaborateur qui colle un projet de conclusions ou un tableau de comptes dans un chatbot) et par les logiciels spécialisés qui intègrent des modèles de langage. Les deux voies posent la même question : qu’advient-il du contenu saisi ?

Ce que dit le CNB. Le 17 mars 2026, le CNB a adopté un guide sur la déontologie et l’intelligence artificielle, présenté comme un cadre déontologique complet et un guide opérationnel : risques, bonnes pratiques, recommandations concrètes et exemples de jurisprudence récente. Il rappelle les exigences de la profession : protection du secret professionnel, respect du RGPD, compétence, prudence, indépendance, information du client et fixation équilibrée des honoraires. Le texte intégral du guide n’ayant pas pu être consulté pour cet article, nous nous appuyons sur la présentation officielle du CNB. Le CNB avait déjà publié, le 20 juin 2025, une grille d’auto-évaluation pour comparer les logiciels juridiques dotés d’IA générative, qui examine la souveraineté des outils, la confidentialité, la sécurisation des données des cabinets et la possible réutilisation des données des clients par les grands modèles de langage.

Ce que dit l’Ordre des experts-comptables. Selon une chronique du Journal du Net du 7 juillet 2026, qui reprend ces documents sans les citer directement, la charte d’usage de l’IA du CNOEC recommande une vigilance particulière sur les outils qui accèdent à la messagerie ou aux données des clients, avec un accent sur la confidentialité et le RGPD. La même chronique résume le guide du CNB ainsi : le secret professionnel interdit de transmettre des données confidentielles à une IA générative sans garanties suffisantes, et les résultats doivent faire l’objet d’une vérification humaine systématique. Pour le texte exact de la charte, rapprochez-vous de votre conseil régional.

Voici les réflexes que nous recommandons en complément. Ce sont nos recommandations, pas des obligations reprises de ces guides :

1. Aucune donnée identifiante de client dans un chatbot grand public. Les conditions d’un service gratuit ou standard ne sont pas celles d’un contrat de sous-traitance. Notre pilier sur ChatGPT et l’IA générative en entreprise détaille les risques.
2. Pour un outil spécialisé, exigez des garanties écrites : contrat de sous-traitance conforme à l’article 28 du RGPD, lieu de stockage et d’administration, engagement de ne pas réutiliser vos contenus pour entraîner des modèles. Les avocats peuvent s’aider de la grille du CNB.
3. Relisez et vérifiez tout contenu généré avant qu’il ne sorte du cabinet : le professionnel reste responsable de ce qu’il signe.
4. Méfiez-vous des outils qui se connectent à la messagerie ou aux dossiers. Ils élargissent l’accès de l’IA à des données couvertes par le secret. Notre article sur les agents IA autonomes décrit ces risques.
5. Écrivez une règle d’usage pour toute l’équipe. Le générateur de charte IA de SIAC Media permet d’en produire une première version, et notre pilier sur la charte IA en PME explique comment l’adapter.
6. Étudiez les modèles que vous maîtrisez. Faire tourner un modèle en local, sur un poste ou un serveur du cabinet, peut éviter l’envoi de textes à un tiers (voir comment exploiter un LLM local sans fuite de données et notre pilier sur l’IA en local), et des acteurs européens existent (voir notre guide sur Mistral AI pour les PME). Cela ne dispense ni de sécuriser le poste ni de respecter le RGPD.

Les usages non déclarés sont le premier danger : notre pilier sur le Shadow AI en entreprise explique comment les repérer sans les interdire à l’aveugle, et notre article sur l’IA pour la conformité RGPD montre l’usage inverse, l’IA au service de la conformité. Pour situer l’ensemble des technologies, notre pilier IA en cybersécurité PME : panorama complet des technologies 2026 sert de carte.

NIS2 et DORA : les cabinets sont-ils concernés ?

La directive NIS2 (UE 2022/2555) s’applique aux entités de taille moyenne ou grande des secteurs qu’elle liste. L’annexe I, secteurs hautement critiques, comprend notamment l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau potable et les eaux usées, l’infrastructure numérique, la gestion des services TIC pour les entreprises, l’administration publique et l’espace. L’annexe II, autres secteurs critiques, comprend les services postaux, la gestion des déchets, les produits chimiques, les denrées alimentaires, la fabrication, les fournisseurs numériques et la recherche. Les services juridiques et la comptabilité ne figurent dans aucune des deux listes, d’après les présentations que nous avons consultées (nisd2.eu, Leto) ; le texte de la directive, disponible sur EUR-Lex, fait foi. En conséquence, un cabinet d’avocats ou d’expertise comptable n’est pas, en tant que tel, dans le champ, sauf s’il relève par ailleurs d’un secteur listé.

Côté calendrier, la France n’a pas achevé la transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui porte aussi sur la directive sur les entités critiques et sur DORA, a été adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l’Assemblée nationale le 10 septembre 2025. Son examen en séance, prévu le 7 octobre 2026, a été retiré de l’ordre du jour le 6 octobre, sans nouvelle date, selon Leto. Nous n’avons pas trouvé trace d’une adoption au 3 novembre 2026 : vérifiez l’état du dossier sur le site de l’Assemblée nationale avant de vous appuyer sur cette date.

Cela ne signifie pas que le sujet vous est étranger. NIS2 oblige les entités concernées à traiter la sécurité de leur chaîne d’approvisionnement, c’est-à-dire de leurs fournisseurs et prestataires. Un cabinet qui travaille pour une entité concernée, par exemple un groupe industriel, un établissement de santé ou une entreprise de transport, peut donc recevoir des questionnaires de sécurité et des clauses contractuelles, ce qui est notre analyse et non une règle propre aux professions réglementées. Il en va de même pour DORA, qui vise les entités financières et leurs prestataires de services TIC : un cabinet n’est pas, en tant que tel, un prestataire TIC, mais ses clients du secteur financier peuvent lui demander des garanties. Notre pilier sur les nouvelles obligations réglementaires 2026 et notre article sur DORA pour les PME font le point, et notre guide complet de la cybersécurité PME 2026 situe ces textes dans une stratégie d’ensemble.

Assurance cyber, responsabilité et plainte sous 72 heures

Le CNB recommande dans sa page du 27 août 2026 de souscrire une assurance cyber en amont, car aucune mesure ne supprime totalement le risque. Il rappelle surtout la règle qui conditionne l’indemnisation : l’article L. 12-10-1 du Code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023 et applicable depuis le 24 avril 2023, subordonne le versement d’une indemnité contractuelle pour les pertes et dommages causés par une atteinte à un système de traitement automatisé de données (articles 323-1 à 323-3-1 du Code pénal) au dépôt d’une plainte par la victime dans les 72 heures suivant sa connaissance de l’atteinte. Il vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle, donc les cabinets. Selon le CNB, l’indemnisation suppose aussi la preuve de l’atteinte et des pertes subies, et l’assurabilité dépend fortement de la conformité au RGPD, notamment des mesures de sécurité mises en place en amont.

Ce délai de 72 heures ne doit pas être confondu avec celui de la notification à la CNIL, qui est aussi de 72 heures mais court à compter de la constatation de la violation et répond à une autre obligation. Dans les deux cas, l’horloge démarre tôt : prévoyez à l’avance qui dépose plainte, qui notifie et qui a le numéro de l’assureur. Pour votre contrat, vérifiez ce que couvre votre assurance de responsabilité civile professionnelle et s’il existe une garantie ou une police cyber distincte. Nos articles sur l’assurance cyber pour PME (pilier), sur les refus d’indemnisation et sur les budgets cybersécurité détaillent les clauses et les montants.

Que faire en cas de cyberattaque ? Les 72 premières heures

Les réflexes ci-dessous combinent la checklist du guide du CNB (octobre 2023), les consignes de sa page du 27 août 2026 et les obligations du RGPD. Agissez dans l’ordre, sans attendre de tout comprendre.

1. Isolez la machine touchée. Déconnectez-la du réseau (câble ou Wi-Fi) sans l’éteindre, pour conserver les informations utiles à l’analyse, et ne connectez aucun autre appareil au réseau.
2. Prévenez l’équipe et activez une cellule de crise si la situation l’exige. Documentez chaque étape : date, heure, personne qui a découvert l’incident, description factuelle, actions réalisées.
3. Appelez votre assistance technique, votre assureur et, si besoin, Cybermalveillance.gouv.fr. Vérifiez dans votre police les conditions de déclaration du sinistre.
4. Changez sans délai les mots de passe et les codes d’authentification, depuis un appareil sain, et conservez les preuves (captures d’écran, impressions).
5. Passez en mode dégradé. Récupérez les données depuis la sauvegarde sur un poste ou un serveur isolé, et pensez aux échéances : procédurales pour un avocat, fiscales et sociales pour un cabinet comptable. Prévenez par écrit les interlocuteurs concernés avant qu’elles ne tombent (conseil de bon sens, pas une obligation reprise des guides).
6. Déposez plainte dans les 72 heures suivant votre connaissance de l’atteinte, pour préserver vos droits auprès de l’assureur. Le CNB cite les articles 323-1 et suivants (atteintes aux systèmes de traitement automatisé de données), 313-1 et suivants (escroquerie) et 226-15 (secret des correspondances) du Code pénal.
7. Documentez la violation de données et notifiez la CNIL sous 72 heures si elle est susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, informez les personnes concernées en précisant la nature de la violation, ses conséquences possibles, un contact et les mesures prises.
8. Alertez les personnes susceptibles d’être touchées : clients, CARPA, banque, partenaires, en particulier si un risque de fraude au RIB existe. Précisez-leur votre procédure de vérification des coordonnées bancaires.

Sur la rançon, l’ANSSI, citée par le CNB, rappelle que son paiement ne garantit ni la récupération des données ni leur confidentialité. Dans les sources que nous avons consultées, nous n’avons pas trouvé d’obligation générale de déclarer une cyberattaque à l’ordre ou au barreau ; l’informer peut néanmoins être utile, et votre ordre peut vous orienter. Pour la conduite détaillée d’un incident, consultez notre plan de réponse à incident, notre article sur les 24 premières heures, notre pilier Qui prévenir en cas de cyberattaque et, pour savoir si vos données circulent déjà, notre guide sur la fuite de données sur le dark web.

Plan d’action sur 90 jours

Un cabinet n’a pas besoin d’un service informatique pour progresser vite. Voici un séquencement réaliste, à adapter à la taille de votre structure.

1. Jours 1 à 30 : voir clair et boucher les trous les plus larges. Inventoriez les données (logiciel de gestion, messagerie, portails, sauvegardes, téléphones, outils d’IA) et la liste de vos prestataires. Activez la double authentification sur la messagerie, le logiciel de gestion et les accès sensibles (RPVA pour les avocats, portails de clients pour les experts-comptables). Passez à des mots de passe uniques avec un coffre-fort. Faites une sauvegarde hors ligne et testez une restauration. Posez les cinq questions de souveraineté à vos principaux fournisseurs.
2. Jours 31 à 60 : mettre en conformité. Vérifiez les contrats de sous-traitance au sens du RGPD et les engagements de confidentialité, créez un registre des violations de données, écrivez la procédure « jamais de RIB par courriel », chiffrez les disques, retirez les droits d’administrateur des comptes quotidiens, appliquez les mises à jour en attente et interdisez les équipements personnels pour le travail. Pour les avocats, évaluez la messagerie et l’espace de stockage du CNB.
3. Jours 61 à 90 : tenir dans la durée. Formez toute l’équipe (avocats, collaborateurs, assistants, salariés du cabinet comptable), désignez un référent sécurité, rédigez une règle d’usage de l’IA, simulez une panne d’une journée en mode dégradé, relisez votre contrat d’assurance et faites réaliser un audit pour mesurer l’écart restant.

Pour le suivi, notre modèle d’audit avec checklist PDF (pilier) structure l’état des lieux, et le pilier politique de sécurité informatique transforme les décisions en document. Pour financer la démarche, voir les aides et subventions disponibles en 2026, et pour consolider l’accès des équipes, notre pilier sur l’gestion des identités et des accès. Le glossaire de la cybersécurité et de l’IA explique les termes techniques de ce plan.

Questions fréquentes sur la cybersécurité des avocats et des experts-comptables

Une cyberattaque sur mon cabinet est-elle une violation du secret professionnel ?

L’article 226-13 du Code pénal sanctionne la révélation volontaire d’un secret, ce qui ne décrit pas, en soi, la situation d’une victime de cyberattaque. Mais l’ANSSI indique qu’une fuite de données peut porter atteinte au secret professionnel et engager la responsabilité des avocats au regard de la loi Informatique et Libertés et du RGPD. Le risque porte donc surtout sur la responsabilité pour défaut de sécurité, les sanctions de la CNIL et la perte de confiance. Pour une situation précise, consultez un avocat spécialisé.

Un avocat peut-il utiliser une messagerie grand public ou américaine ?

Nous n’avons pas trouvé de texte qui l’interdise en termes exprès. Le CNB estime toutefois que très peu de messageries cloud remplissent les conditions propres à garantir la protection du secret professionnel, et il rappelle que les solutions de sociétés américaines sont soumises au FISA. Pour les informations couvertes par le secret, il recommande de chiffrer le contenu et de recourir à une solution de partage de documents adaptée. Il propose lui-même une messagerie en @avocat.fr et un espace e-Drive hébergé en France.

Un expert-comptable peut-il confier ses données à un logiciel en ligne ?

Oui, mais il reste tenu au secret professionnel et doit choisir son fournisseur avec soin. Demandez où les données sont stockées et administrées, quelle juridiction s’applique au fournisseur et à ses sous-traitants, comment récupérer vos données et sous quel délai l’éditeur vous prévient en cas d’incident, et formalisez ces engagements par contrat. Le cas Welyb rappelle que l’incident peut survenir chez l’éditeur.

Faut-il notifier la CNIL en cas de fuite de données ?

Toute violation de données personnelles doit être consignée. Elle doit être notifiée à la CNIL dans les 72 heures suivant sa constatation si elle est susceptible d’engendrer un risque pour les droits et libertés des personnes, et les personnes concernées doivent être informées si ce risque est élevé (articles 33 et 34 du RGPD, rappelés par le guide du CNB).

Dans quel délai faut-il déposer plainte pour être indemnisé par son assureur ?

Dans les 72 heures suivant la connaissance de l’atteinte, selon l’article L. 12-10-1 du Code des assurances, qui s’applique aux personnes morales et aux personnes physiques agissant à titre professionnel. Vérifiez aussi les conditions de déclaration de votre contrat.

Faut-il payer une rançon ?

L’ANSSI, citée par le CNB, rappelle que le paiement ne garantit ni la récupération des données ni leur confidentialité. Un rapport de l’agence cite le cas d’un cabinet américain dont les outils de déchiffrement reçus après paiement auraient été inexploitables. La meilleure protection reste une sauvegarde hors ligne testée.

Peut-on utiliser ChatGPT pour travailler sur un dossier client ?

Nous déconseillons de saisir toute donnée identifiante de client dans un chatbot grand public. Le CNB a adopté en mars 2026 un guide de déontologie sur l’IA, et le CNOEC a publié une charte d’usage : selon les analyses que nous avons consultées, le secret professionnel interdit de transmettre des données confidentielles à une IA générative sans garanties suffisantes, et les résultats doivent être vérifiés par un humain.

La directive NIS2 s’applique-t-elle aux cabinets d’avocats et d’expertise comptable ?

Les services juridiques et la comptabilité ne figurent pas parmi les secteurs listés par la directive, d’après les présentations consultées ; un cabinet n’est donc pas, en tant que tel, dans le champ. La transposition française n’avait pas été adoptée à notre connaissance au 3 novembre 2026. Vos clients concernés peuvent en revanche vous demander des garanties au titre de la sécurité de leur chaîne d’approvisionnement.

Les petits cabinets sont-ils vraiment visés ?

Oui. L’ANSSI relève que la majorité des avocats exercent en petite structure, sans RSSI et sans sensibilisation suffisante. Le guide du CNB compare les attaquants à des cambrioleurs : beaucoup s’en prennent d’abord aux cibles les plus faciles. Un cabinet qui applique les mesures de base devient moins rentable à attaquer.

Où trouver les guides officiels ?

Pour les avocats : le rapport de l’ANSSI « État de la menace informatique contre les cabinets d’avocats » (27 juin 2023, trente recommandations), le guide pratique « La sécurité numérique du cabinet d’avocat » du CNB (octobre 2023, trois parties et dix fiches) et la page du CNB du 27 août 2026. Pour les experts-comptables, rapprochez-vous de votre conseil régional et des ressources de Cybermalveillance.gouv.fr. Dans les deux cas, Cybermalveillance.gouv.fr propose assistance aux victimes et prestataires labellisés.

Conclusion

Pour un avocat ou un expert-comptable, la cybersécurité n’est pas une option technique : c’est la manière concrète de tenir une promesse que la loi impose. Les sources officielles convergent sur ce qu’il faut faire. L’ANSSI montre que les attaques lucratives, la double extorsion et la compromission des prestataires sont déjà arrivées dans des cabinets français, et le CNB traduit ces menaces en réflexes précis : sauvegarde hors ligne, double authentification, vérification par un second canal de tout changement de RIB, messagerie et stockage compatibles avec le secret. Le RGPD et l’obligation de plainte sous 72 heures fixent le calendrier d’une crise.

La bonne séquence consiste à commencer par ce qui protège le plus pour le moins cher (double authentification, sauvegarde hors ligne, procédure RIB), à vérifier ensuite où vivent vos données et qui y accède, puis à encadrer l’IA et à former l’équipe. Cette démarche s’inscrit dans votre stratégie globale, présentée dans notre guide complet de la cybersécurité PME 2026 et dans notre panorama des technologies IA en cybersécurité. Pour mesurer rapidement où se situent vos priorités, l’audit cybersécurité PME de SIAC Media est le point de départ le plus simple, et la checklist de 10 actions permet de commencer aujourd’hui.