Qui prévenir en cas de cyberattaque ? CNIL, ANSSI, assurance, police : le guide complet

Cyberattaque en cours : au delà de l’urgence technique, une question se pose immédiatement, qui prévenir, dans quel ordre, et sous quel délai. La réponse courte : votre prestataire informatique dès la première minute, votre assureur cyber sous 48 à 72 heures selon votre contrat, la police ou la gendarmerie via 17Cyber sous 72 heures si vous envisagez de payer une rançon (c’est une condition posée par la loi LOPMI pour être remboursé), la CNIL sous 72 heures si des données personnelles ont pu être exposées, et l’ANSSI sous 24 heures uniquement si votre entreprise est une entité essentielle ou importante au sens de la directive NIS2, ce qui ne concerne qu’une minorité de PME. Pour toutes les autres, cybermalveillance.gouv.fr et son guichet 17Cyber restent l’interlocuteur public de référence.

Ce guide détaille, pour chaque interlocuteur (CNIL, ANSSI, assureur, police, régulateurs sectoriels, salariés, clients), ce qui est réellement obligatoire, ce qui est recommandé, et sous quel délai agir. Il complète notre guide sur les 24 premières heures après une cyberattaque et notre guide complet de cybersécurité pour PME, qui pose les bases de toute démarche de sécurisation.

Panorama : les interlocuteurs à prévenir en cas de cyberattaque

Une cyberattaque déclenche potentiellement jusqu’à huit obligations ou démarches distinctes, qui ne s’appliquent pas toutes à toutes les entreprises. Le tableau suivant donne une vue d’ensemble avant d’entrer dans le détail de chaque interlocuteur.

Avant de détailler chaque ligne, rappelons que la première urgence reste technique : isoler les systèmes touchés et solliciter votre prestataire informatique ou votre RSSI. Notre plan de réponse à incident pour les PME détaille cette phase initiale, que ce guide vient compléter côté obligations et interlocuteurs externes.

La CNIL : notifier une violation de données personnelles sous 72h

Contrairement à une idée reçue, l’obligation de notifier la CNIL ne dépend ni de la taille de l’entreprise ni de son secteur d’activité : elle s’applique à toute organisation qui traite des données personnelles, dès lors qu’un incident constitue une violation au sens des articles 33 et 34 du RGPD (destruction, perte, altération ou divulgation non autorisée de données). C’est une différence essentielle avec les obligations ANSSI ou sectorielles, beaucoup plus restrictives en termes de périmètre.

• Le délai de notification à la CNIL est de 72 heures à compter de la prise de connaissance de la violation, week-ends et jours fériés inclus, via le téléservice dédié.
• La notification n’est obligatoire que si la violation présente un risque pour les droits et libertés des personnes concernées. En l’absence de risque, l’incident doit tout de même être documenté dans un registre interne.
• Si le risque est élevé, les personnes concernées (clients, salariés, prospects) doivent en plus être informées directement, sans délai injustifié.
• Le défaut de notification est sanctionné jusqu’à 10 millions d’euros, cumulable avec une sanction pour défaut de sécurité pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Notre article détaille l’ensemble des obligations RGPD concrètes des PME en matière de cybersécurité. Un cas pratique fréquent : un piratage de page Facebook ou de compte professionnel peut exposer des messages privés de clients ou des formulaires de leads publicitaires, ce qui déclenche exactement les mêmes obligations que celles détaillées ici.

ANSSI et CERT-FR : qui doit signaler dans le cadre de NIS2

C’est le point de confusion le plus fréquent chez les dirigeants de PME : l’ANSSI (Agence nationale de la sécurité des systèmes d’information) et son centre opérationnel, le CERT-FR, ne sont pas l’interlocuteur de la majorité des PME françaises. L’obligation de leur signaler un incident concerne les opérateurs d’importance vitale (OIV) historiques, et depuis la transposition de la directive européenne NIS2, les entités essentielles (EE) et entités importantes (EI).

• Sont qualifiées entités essentielles les structures d’au moins 250 salariés, ou dont le chiffre d’affaires dépasse 50 millions d’euros et le bilan 43 millions d’euros, dans l’un des 18 secteurs couverts par NIS2 (énergie, santé, transport, numérique, eau, espace, administration publique…).
• Sont qualifiées entités importantes les structures d’au moins 50 salariés, ou dépassant 10 millions d’euros de chiffre d’affaires et de bilan, dans des secteurs comme l’agroalimentaire, la gestion des déchets, la fabrication ou les dispositifs médicaux.
• Une PME sous ces seuils peut malgré tout être concernée indirectement si elle est sous-traitante ou fournisseur d’un service numérique critique pour une entité essentielle ou importante.

Pour les entités effectivement régulées, la notification suit un calendrier échelonné : une alerte précoce sous 24 heures auprès de l’ANSSI, indiquant si l’incident est suspecté d’origine malveillante et s’il a un impact transfrontalier, puis une notification détaillée sous 72 heures, et enfin un rapport final sous un mois. Si l’incident implique également des données personnelles, la notification à l’ANSSI sous 24h et celle à la CNIL sous 72h sont deux obligations indépendantes et cumulatives. Les sanctions pour les entités essentielles peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, avec des conséquences possibles pour le dirigeant lui-même, un sujet que nous détaillons dans notre article sur la responsabilité du dirigeant de PME en cas de cyberattaque.

Pour la grande majorité des PME françaises qui ne sont ni OIV ni EE/EI, l’interlocuteur public de référence n’est pas l’ANSSI mais cybermalveillance.gouv.fr, dont nous détaillons le rôle dans la section suivante. Pour savoir précisément si votre entreprise entre dans le périmètre NIS2, notre guide de mise en conformité NIS2 pour PME et notre article sur ce que la directive NIS2 change pour votre PME détaillent les critères d’éligibilité.

Assurance cyber : déclarer le sinistre dans les délais du contrat

Si votre entreprise dispose d’un contrat d’assurance cyber, le délai de déclaration est généralement plus strict que pour un sinistre classique : comptez 48 à 72 heures selon les conditions générales, contre 5 jours ouvrés minimum pour la plupart des autres types de sinistres professionnels. Contactez la hotline de gestion de crise de votre assureur dès la découverte de l’incident, même avant d’avoir une vision complète de son ampleur : les premiers éléments (nature de l’incident, systèmes touchés, impact estimé) suffisent à activer le contrat.

Deux démarches sont souvent confondues alors qu’elles répondent à des logiques différentes : la déclaration de sinistre auprès de l’assureur active la prise en charge et la mobilisation des prestataires de gestion de crise prévus au contrat (informatique légale, communication, juridique), tandis que le dépôt de plainte auprès des autorités conditionne, lui, le droit à indemnisation dans certains cas précis. Depuis la loi LOPMI de 2023, le remboursement d’une éventuelle rançon par l’assurance est conditionné au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque, ce qui en fait une échéance à ne surtout pas manquer si le paiement d’une rançon est envisagé.

Notre guide complet de l’assurance cyber pour PME détaille ce que couvrent réellement ces contrats, et notre article ransomware, faut-il payer la rançon revient en détail sur cette condition LOPMI et sur ce que recommandent les experts en la matière.

Police, gendarmerie et 17Cyber : pourquoi porter plainte est indispensable

La police nationale, la gendarmerie nationale et cybermalveillance.gouv.fr ont mis en place 17Cyber, un guichet unique gratuit et accessible 24h/24, conçu spécifiquement pour orienter rapidement les victimes de cybermalveillance, particuliers comme professionnels, vers la bonne procédure. Un diagnostic en ligne permet d’identifier la nature de la menace subie et d’obtenir des conseils immédiats, avant, si nécessaire, une orientation vers un dépôt de plainte en commissariat, en brigade de gendarmerie, ou en ligne via la pré-plainte numérique.

Le dépôt de plainte doit être envisagé systématiquement, même lorsque l’entreprise a repris le contrôle de ses systèmes ou ne compte pas payer de rançon : il constitue une preuve utile pour l’assurance, alimente les enquêtes qui permettent de démanteler des groupes de cybercriminels, et conditionne, on l’a vu, l’indemnisation d’une rançon sous 72 heures. Conservez toutes les preuves disponibles avant toute remise en état des systèmes : captures d’écran, journaux de connexion, e-mails suspects, horodatages. Notre guide sur les 24 premières heures après une cyberattaque et notre article sur le ransomware et la manière dont les PME françaises sont ciblées détaillent comment préserver ces preuves correctement.

Santé, finance, collectivités : les obligations sectorielles spécifiques

Au delà du socle commun (CNIL, police, assureur), certains secteurs d’activité imposent une déclaration supplémentaire à leur régulateur, indépendamment du statut NIS2 de l’entreprise.

• Santé : les établissements de santé, les structures médico-sociales, les centres de radiothérapie et les laboratoires de biologie ont l’obligation, depuis la loi de modernisation du système de santé de 2016, de déclarer tout incident de sécurité informatique via le portail de signalement des événements sanitaires indésirables. La déclaration est transmise à l’agence régionale de santé (ARS) et à l’Agence du numérique en santé, avec l’appui technique du CERT-Santé.
• Finance : banques, assurances et fintechs sont soumises au règlement européen DORA depuis janvier 2025. Un incident majeur doit être classifié sous 4 heures en interne, puis notifié à l’ACPR (Autorité de contrôle prudentiel et de résolution) sous 24 heures, suivi d’un rapport intermédiaire sous 72 heures et d’un rapport final sous un mois. Les sanctions peuvent atteindre 2 % du chiffre d’affaires mondial.
• Collectivités territoriales : elles peuvent s’appuyer sur les CSIRT régionaux, relais territoriaux de l’ANSSI, en plus de cybermalveillance.gouv.fr.
• Opérateurs d’importance vitale : les OIV historiques (énergie, transport, eau, télécoms critiques) restent soumis à leurs obligations de déclaration à l’ANSSI définies par la loi de programmation militaire, antérieures à NIS2 et qui continuent de s’appliquer en parallèle.

Si votre PME n’entre dans aucune de ces catégories, ce qui est le cas de la grande majorité des entreprises françaises, le socle CNIL, assureur, police et cybermalveillance.gouv.fr couvre l’essentiel de vos obligations.

Salariés, clients et prestataires : les autres parties à informer

Au delà des obligations légales, plusieurs parties prenantes doivent être informées pour des raisons de bon sens opérationnel et de confiance, même lorsque la loi ne l’impose pas explicitement.

• Les salariés et le CSE : le silence pendant une crise favorise la rumeur et l’inquiétude. Une communication interne maîtrisée, même partielle dans les premières heures, limite les fuites incontrôlées et maintient la confiance des équipes.
• Les clients et partenaires : l’information est obligatoire si leurs données personnelles sont exposées avec un risque élevé (article 34 du RGPD), mais elle reste souvent recommandée en deçà de ce seuil pour préserver la relation commerciale, en particulier si l’incident affecte un service qu’ils utilisent directement.
• Le prestataire informatique et l’hébergeur : ils doivent être mobilisés dès les premières minutes pour l’aspect technique, mais aussi pour préserver la chaîne de preuves nécessaire à l’enquête judiciaire et à l’expertise d’assurance.
• La banque : en cas de compromission de moyens de paiement, une opposition immédiate limite l’ampleur du préjudice financier.

Formaliser à l’avance qui est autorisé à communiquer en interne comme en externe pendant une crise, y compris sur l’usage d’outils d’IA générative pour rédiger des messages officiels, évite les prises de parole désordonnées. Le générateur de charte IA de SIAC Media permet de produire rapidement ce type de document, dans la continuité de notre guide complet sur la charte IA pour PME.

Dans quel ordre et sous quels délais prévenir chacun

Voici une chronologie de référence qui synthétise l’ensemble des délais présentés dans ce guide.

Les erreurs qui aggravent la situation

• Payer une rançon avant d’avoir déposé plainte, ce qui fait perdre le droit au remboursement par l’assurance dans le cadre de la loi LOPMI.
• Attendre d’avoir toutes les réponses techniques avant de prévenir qui que ce soit : les délais légaux courent dès la prise de connaissance de l’incident, pas une fois l’analyse terminée.
• Nettoyer ou réinstaller les systèmes trop tôt, avant d’avoir conservé les preuves nécessaires à l’enquête et à l’expertise d’assurance.
• Penser que « notre PME est trop petite pour NIS2, donc rien à faire », en oubliant que le RGPD, lui, s’applique à toutes les entreprises sans seuil de taille dès qu’elles traitent des données personnelles.
• Oublier d’informer en interne (CSE, salariés), ce qui laisse la place aux rumeurs et fragilise la gestion de crise.
• Communiquer publiquement sans avoir consulté son assureur, au risque de nuire à la couverture prévue par le contrat.

Pour savoir précisément quelles obligations s’appliquent à votre entreprise avant même qu’un incident ne survienne, un audit cybersécurité PME permet d’identifier votre statut réglementaire (NIS2, secteur régulé…) et de préparer vos procédures de notification en amont, sur le même principe que notre modèle d’audit cybersécurité pour PME.

Où stocker les preuves de l’incident : l’enjeu de la souveraineté

Un aspect souvent négligé dans la gestion des obligations de notification concerne l’endroit où sont hébergées les preuves techniques de l’incident : journaux de connexion, alertes de détection, sauvegardes de logs, échanges de communication de crise. Beaucoup de PME utilisent des outils de détection (EDR, XDR, SIEM en mode SaaS) opérés par des éditeurs américains soumis au CLOUD Act, ce qui signifie que ces preuves, potentiellement sensibles, peuvent en théorie être demandées par les autorités américaines indépendamment du droit européen.

Il ne s’agit pas de renoncer aux meilleurs outils de détection en pleine crise, mais de reprendre le contrôle de ce qui est réellement sous votre maîtrise : archiver la documentation de l’incident, les échanges de crise et les preuves conservées pour l’enquête sur un stockage hébergé en Europe et soumis au RGPD. Cette logique de souveraineté appliquée à ce qui est concrètement pilotable par une PME est développée dans notre guide de cybersécurité souveraine anti CLOUD Act pour PME, et s’inscrit dans une approche plus large détaillée dans notre panorama complet des technologies de cybersécurité IA pour PME en 2026.

Questions fréquentes sur les obligations de notification

Une PME de 10 salariés doit-elle prévenir l’ANSSI en cas de cyberattaque ?
Non, sauf si elle est elle-même sous-traitante d’une entité essentielle ou importante au sens de NIS2. L’interlocuteur public de référence pour la quasi totalité des PME reste cybermalveillance.gouv.fr et son guichet 17Cyber.

Faut-il porter plainte avant de payer une rançon ?
Oui. Depuis la loi LOPMI, le remboursement d’une rançon par l’assurance cyber est conditionné à un dépôt de plainte dans les 72 heures suivant la connaissance de l’attaque, et le paiement d’une rançon ne garantit de toute façon pas la récupération des données.

Que risque une entreprise qui ne notifie pas la CNIL alors qu’elle y était tenue ?
Jusqu’à 10 millions d’euros pour le seul défaut de notification, cumulable avec une sanction pour défaut de sécurité pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Quelle est la différence entre cybermalveillance.gouv.fr et 17Cyber ?
17Cyber est le guichet unique 24h/24, lancé conjointement par la police nationale, la gendarmerie nationale et cybermalveillance.gouv.fr, qui oriente rapidement les victimes. Cybermalveillance.gouv.fr est la plateforme plus large derrière ce guichet, qui propose aussi des ressources, un annuaire de prestataires (Mon ExpertCyber) et des contenus de sensibilisation (SensCyber).

Dois-je informer mes clients d’une cyberattaque ?
C’est obligatoire si un risque élevé pèse sur leurs données personnelles, mais c’est souvent recommandé même en deçà de ce seuil, en particulier si l’incident affecte un service qu’ils utilisent directement.

Combien de temps ai-je pour déclarer à mon assurance cyber ?
Généralement 48 à 72 heures selon les conditions générales du contrat, un délai plus court que pour un sinistre professionnel classique. Vérifiez le délai exact prévu par votre police avant qu’un incident ne survienne.

Conclusion : préparer la liste des contacts avant l’incident, pas pendant

La question « qui prévenir » ne devrait jamais se poser pour la première fois le jour d’une cyberattaque. Le socle commun à retenir : votre assureur cyber sous 48 à 72 heures, la police ou la gendarmerie via 17Cyber sans attendre (indispensable sous 72h si un paiement de rançon est envisagé), la CNIL sous 72 heures si des données personnelles sont exposées, et l’ANSSI sous 24 heures uniquement si votre entreprise est régulée NIS2. Préparez dès aujourd’hui une fiche de contacts imprimée, accessible même si vos systèmes numériques sont hors service : coordonnées de votre assureur, numéro de contrat, contact de votre prestataire informatique, et lien vers 17Cyber.

Pour structurer cette préparation dans une démarche plus large, consultez notre guide complet de cybersécurité pour PME, notre panorama complet des technologies de cybersécurité IA pour PME en 2026, et notre plan de réponse à incident pour les PME.