• La loi LOPMI fixe des orientations pour le ministère de l'Intérieur et renforce notamment la lutte contre la cybercriminalité.

• L’article L. 12-10-1 du Code des assurances encadre certaines conditions d’indemnisation en cas de cyberattaque : le dépôt de plainte doit notamment intervenir au plus tard dans les 72 heures suivant la connaissance de l’atteinte.

• Certaines démarches s’imposent après la cyberattaque pour favoriser votre indemnisation : sécurisez vos systèmes, préservez les preuves, contactez rapidement votre assureur et effectuez les déclarations nécessaires.

La LOPMI est une loi d'orientation qui programme les moyens et certaines priorités du ministère de l'Intérieur pour 2023-2027, notamment face aux nouveaux enjeux sécuritaires.

Une loi programmant les moyens de la police, la gendarmerie et la sécurité civile pour 2023-2027

La loi n° 2023-22 du 24 janvier 2023, dite loi d’orientation et de programmation du ministère de l'Intérieur (LOPMI), programme principalement les moyens de la Police nationale, de la Gendarmerie nationale et de la sécurité civile pour la période 2023-2027. Elle porte également sur la transformation numérique du ministère et comprend un chapitre consacré à la lutte contre la cybercriminalité¹. 

Les dispositions de la LOPMI portent notamment sur l’organisation des forces de sécurité, l’ordre public et les outils juridiques destinés à combattre certaines infractions numériques. La loi adapte également plusieurs règles de procédure pénale, dans lesquelles peuvent notamment intervenir les officiers de police judiciaire, le procureur de la République ou, selon les affaires, un juge d’instruction.

Que change la loi LOPMI pour l’indemnisation du risque cyber ?

L’article 5 de la loi n° 2023-22 du 24 janvier 2023 a créé l’article L. 12-10-1 du Code des assurances. Depuis son entrée en vigueur le 24 avril 2023, il prévoit que le versement d’une indemnité au titre d’une clause couvrant certaines atteintes informatiques est conditionné au dépôt de plainte au plus tard dans les 72 heures suivant la connaissance de l’atteinte par la victime².

Ce même article L. 12-10-1 vise uniquement les atteintes à un système de traitement automatisé de données mentionnées aux articles 323-1 à 323-3-1 du Code pénal, par exemple :

• intrusion ou maintien frauduleux dans un système informatique : par exemple, un pirate qui accède sans autorisation au réseau ou au serveur d’une entreprise ;

• blocage ou perturbation du fonctionnement d’un système : par exemple, une attaque qui rend un logiciel, un serveur ou un site indisponible ;

• introduction, suppression ou modification frauduleuse de données : par exemple, l’altération de fichiers, de bases de données ou de paramètres informatiques ;

• extraction, copie ou transmission frauduleuse de données : par exemple, le vol de fichiers clients ou de données confidentielles après une intrusion ;

• utilisation ou mise à disposition d’outils spécialement conçus pour commettre ces attaques, hors motif légitime de recherche ou de sécurité informatique.

Les dispositions de la LOPMI ne signifient donc pas que tout type d'attaque informatique ouvre automatiquement droit à indemnisation : la prise en charge dépend aussi des garanties, exclusions et conditions du contrat d'assurance cyber. Cette règle s’applique aux personnes morales ainsi qu’aux personnes physiques lorsque l’incident survient dans le cadre de leur activité professionnelle. Le législateur a donc réservé cette obligation aux victimes professionnelles.

Après une attaque contre votre entreprise, agissez rapidement pour limiter ses conséquences techniques et financières, tout en respectant les démarches prévues par la loi et votre contrat d'assurance cyber.

16 % des TPE-PME interrogées déclarent avoir subi un ou plusieurs incidents de cybersécurité au cours des 12 derniers mois⁴.

1. Sécuriser les systèmes touchés et préserver les preuves

Dès que vous détectez une attaque, commencez par limiter sa propagation. Prévenez votre équipe ou votre prestataire informatique et isolez, si nécessaire, les équipements compromis du réseau. Évitez toutefois de supprimer ou d’altérer des éléments qui pourraient être utiles pour comprendre le type d'attaque et établir les faits.

Conservez un maximum de preuves, notamment :

• les captures d’écran et messages reçus ;
• les courriels ou fichiers suspects ;
• les journaux de connexion ;
• les supports de stockage ou équipements concernés ;
• une chronologie de l’incident et des actions réalisées.

Ces éléments pourront faciliter le diagnostic technique, la déclaration auprès de votre assureur et le dépôt de plainte. Ils pourront aussi aider les enquêteurs à caractériser l’infraction, notamment au regard du Code pénal, et à déterminer le type d'attaque dont l’entreprise a été victime.

2. Déposer plainte au plus tard dans les 72 heures

Dans les cas couverts par l’article L. 12-10-1, l’entreprise victime d’une cyberattaque doit déposer plainte auprès des autorités compétentes au plus tard 72 heures après avoir eu connaissance de l’atteinte. Ce dépôt de plainte constitue une condition de l’indemnisation prévue par l’article L. 12-10-1 pour les atteintes relevant des articles 323-1 à 323-3-1 du Code pénal. Il est donc préférable de ne pas attendre d’avoir identifié toutes les conséquences du sinistre ².

Votre entreprise dispose de plusieurs solutions pour déposer plainte ou être orientée vers la démarche adaptée :

• déposer plainte en ligne lorsque la nature des faits le permet, notamment pour certaines atteintes aux biens lorsque l’auteur est inconnu ;
• utiliser 17Cyber, un service public gratuit accessible 24 h/24 et 7 j/7, pour obtenir un diagnostic, des recommandations et être orienté vers la démarche adaptée ;
• échanger avec un policier ou un gendarme via 17Cyber lorsque la situation le nécessite ;
• se rendre dans un commissariat de police ou une brigade de gendarmerie pour déposer plainte directement.

Bon à savoir

Les dispositions de la LOPMI imposent ici un délai maximum de 72 heures, distinct du délai de déclaration auprès de l’assureur.

3. Contacter rapidement son assurance cyber

Dans le même temps, contactez le service d’assistance de votre compagnie d’assurance dès que vous avez connaissance de la cyberattaque. Selon votre contrat d'assurance cyber et les garanties souscrites, votre assureur peut notamment vous aider à :

• identifier les premières mesures permettant d’empêcher l’aggravation du sinistre ;
• vérifier l’étendue de votre couverture et les exclusions éventuelles ;
• organiser l’intervention d’un expert informatique pour analyser l’incident, stopper l’attaque ou restaurer des systèmes ;
• coordonner la gestion de crise et préparer la reprise de l’activité ;
• identifier les justificatifs et les délais à respecter.

L’assistance peut jouer un rôle décisif dès les premières heures du sinistre. En revanche, cela ne vous dispense pas du dépôt de plainte exigé par l’article L. 12-10-1 lorsqu’il s’applique, ni de la déclaration du sinistre.

4. Déclarer le sinistre dans le délai prévu par le contrat

En plus du dépôt de plainte à réaliser au plus tard dans les 72 heures, vous devez informer votre assureur de la cyberattaque dans le délai prévu par votre contrat d'assurance. Le délai de déclaration du sinistre ne peut pas être inférieur à 5 jours ouvrés, sauf cas particuliers prévus par la loi⁵.

Votre déclaration peut notamment comporter :

• la nature, la date et les circonstances de la cyberattaque ;
• la liste des matériels, logiciels ou systèmes concernés ;
• une première estimation des pertes et dommages ;
• le justificatif du dépôt de plainte ;
• les différentes preuves en votre possession.

L’article L. 113-2 encadre également les conséquences possibles d’une déclaration tardive. N’attendez donc pas d’avoir chiffré définitivement le sinistre avant de prévenir votre assureur. La mise en œuvre des garanties dépend ensuite des conditions du contrat.

Le dépôt de plainte prévu par l’article L. 12-10-1 et la notification à la Commission nationale de l'informatique et des libertés (CNIL) répondent à deux obligations différentes. En effet, une cyberattaque n’a pas à être systématiquement déclarée à la CNIL.

En revanche, votre entreprise doit obligatoirement notifier la CNIL si la cyberattaque provoque une violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes. Cette notification doit intervenir dans les meilleurs délais et, si possible, au plus tard dans les 72 heures suivant sa constatation. Vous devez également documenter en interne toutes les violations intervenues⁶.

Bon à savoir

En cas de risque élevé, les personnes concernées par la violation de leurs données personnelles doivent également être informées dans les conditions prévues par le RGPD.

+ 11 % : c’est la progression du nombre de contrats d’assurance cyber en France en 2025⁷.

La couverture dépend du contrat souscrit, du type d'attaque et de ses conséquences. Selon les garanties choisies, une assurance cyber peut notamment prévoir :

• une assistance informatique et une gestion de crise : intervention d’experts, diagnostic de l’incident, sécurisation des systèmes, restauration de données et accompagnement pour reprendre l’activité ;
• la prise en charge de certains dommages, pertes d’exploitation et frais supplémentaires : par exemple des coûts de restauration ou les conséquences d’une interruption d’activité, dans les conditions prévues au contrat ;
• une couverture de certaines fraudes informatiques : selon la nature de l’infraction, les événements garantis et les exclusions du contrat ;
• une garantie de responsabilité civile : lorsqu’une attaque entraîne la mise en cause de l’entreprise par un client, un partenaire ou un autre tiers.

L’assurance intervient lorsque le risque se réalise, mais la prévention reste essentielle. Des mesures simples permettent de réduire l’exposition de votre entreprise et de faciliter sa réaction en cas d’incident. Vous pouvez notamment :

• réaliser des sauvegardes régulières, dont certaines déconnectées du réseau ;

• installer rapidement les mises à jour de sécurité des systèmes et logiciels ;

• utiliser des mots de passe robustes et activer l’authentification multifacteur ;

• limiter les droits d’accès aux seules personnes qui en ont besoin ;

• sensibiliser vos collaborateurs au phishing et aux autres techniques d’ingénierie sociale ;

• préparer une procédure précisant les contacts à prévenir, les systèmes à isoler et les preuves à conserver.

Définir une procédure de réaction aux cyberattaques est essentiel pour favoriser la continuité de l’activité, simplifier la constitution du dossier d’assurance et réagir rapidement en cas d’attaque cyber.