GUIDE SIGNALEMENT · ÉDITION 2026
Cyberattaque.
Qui appeler en premier ?
L'ordre des signalements change tout.
Votre entreprise vient de subir une cyberattaque. Avant même de comprendre ce qui s'est passé, plusieurs signalements peuvent être légalement obligatoires — et d'autres fortement recommandés pour activer vos garanties assurance. ANSSI, cybermalveillance.gouv.fr, CNIL, gendarmerie, assureur : ce guide explique dans quel ordre les contacter et ce que vous devez leur dire.
Signalement obligatoire ou recommandé selon votre situation
Il n'existe pas d'obligation universelle de déclarer une cyberattaque — mais plusieurs obligations spécifiques peuvent s'appliquer en fonction du type d'attaque, des données touchées et du statut de votre organisation. Ce tableau récapitule les principales situations.
Même quand aucun signalement n'est légalement obligatoire, déposer plainte est fortement recommandé: c'est une condition préalable à l'activation de la quasi-totalité des assurances cyber depuis la loi du 24 janvier 2023 (art. L. 12-10-1 du Code des assurances).
Premier réflexe pour toutes les entreprises
Quelle que soit la nature de l'attaque, cybermalveillance.gouv.fr est le point d'entrée universel créé par le gouvernement français. Gratuit, accessible 24h/24, il génère un numéro de déclaration officiel et vous met en contact avec des prestataires certifiés PRIS.
Notifier la CNIL si des données personnelles ont été exposées
Si votre cyberattaque a touché des données personnelles (données clients, RH, fournisseurs…), la notification à la CNIL est obligatoire dans les 72 heures suivant la prise de connaissance, conformément à l'article 33 du RGPD. Ce délai court dès votre découverte, pas après résolution de l'incident.
La notification se fait sur notifications.cnil.fr. Une notification partielle est acceptée si l'étendue exacte n'est pas encore connue — vous pouvez la compléter ensuite. Le non-respect du délai de 72h est sanctionné indépendamment du fond de la violation.
Pour les détails complets de ce que la CNIL attend dans votre notification, les cas où les personnes concernées doivent également être informées, et l'échelle des sanctions, consultez notre guide dédié : Violation de données RGPD — 72 heures pour agir.
Porter plainte pour cyberattaque : où, quoi apporter
Depuis la loi du 24 janvier 2023, le dépôt de plainte est une condition préalableà l'activation des garanties assurance cyber. Il doit être effectué dans les délais fixés par votre contrat — généralement avant de faire intervenir un prestataire externe à la charge de l'assurance. Conservez le récépissé.
Pour les incidents d'envergure ou impliquant une infrastructure critique, l'OCLCTIC (Office central de lutte contre la criminalité liée aux technologies de l'information) peut être saisi directement. Un expert IR peut faciliter cette démarche et rédiger la plainte technique.
Déclarer le sinistre dans les délais — ce que votre contrat impose
La majorité des contrats d'assurance cyber fixent un délai de déclaration de 24 à 72 heures après la découverte de l'incident. Un retard peut entraîner la déchéance de garantie, même si le sinistre est couvert. Prévenez votre assureur dès les premières heures, même sans connaître l'étendue exacte des dégâts.
Avant de mandater un prestataire externe, vérifiez si votre contrat impose que l'assureur approuve préalablement l'intervention. Certaines polices n'indemnisent que les experts figurant sur leur panel agréé. En cas de doute, demandez une validation écrite rapide — l'assureur a intérêt à limiter les dommages.
Signalement ANSSI pour les opérateurs d'importance vitale
Si votre organisation a été désignée Opérateur d'Importance Vitale (OIV) ou Opérateur de Services Essentiels (OSE) par l'ANSSI, le signalement des incidents de sécurité significatifs est obligatoire et soumis à des délais stricts définis par arrêté sectoriel.
Les OIV (opérateurs critiques désignés par le Premier ministre en application de la LPM) sont soumis à des règles de sécurité spécifiques (IVIOS) et doivent déclarer tout incident significatif à l'ANSSI via le portail dédié. Les délais de déclaration varient de quelques heures à 24h selon la criticité.
Les OSE (opérateurs de services essentiels désignés en application de la directive NIS) sont tenus de signaler les incidents ayant un impact sur la continuité du service. Depuis la directive NIS2 transposée en 2024, le périmètre des OSE a été considérablement élargi — vérifiez si votre secteur est concerné.
Dans les deux cas, l'ANSSI peut mandater ses propres équipes ou des PRIS qualifiés pour l'investigation. Le signalement ANSSI ne dispense pas du dépôt de plainte ni, le cas échéant, de la notification CNIL.
CyberUrgence met en relation avec des experts certifiés PRIS disponibles en moins de 15 minutes pour prendre en charge l'ensemble des signalements — cybermalveillance, CNIL, plainte, assurance — en parallèle de l'investigation forensique. Diagnostic de départ gratuit.
Diagnostic initial gratuit — un expert qualifie votre situation en quelques minutes et évalue la criticité. Vous ne payez que si vous décidez de poursuivre.
Diagnostic gratuit