Incident de sécurité : qui prévenir, dans quels délais ?

Quand un incident de sécurité survient, plusieurs horloges se déclenchent en même temps. Elles n’ont ni le même destinataire, ni le même délai, ni le même point de départ — et respecter l’une ne vaut pas respecter les autres. La plus mal connue n’est même pas réglementaire : sans plainte déposée dans les soixante-douze heures, l’assureur n’a pas à indemniser.

---

1. Les horloges qui partent ensemble

La difficulté d’un incident n’est pas de savoir qu’il faut notifier : c’est de savoir combien de notifications distinctes sont dues, à qui, et à compter de quand. Le tableau ci-dessous recense celles qui concernent le plus souvent une structure de taille moyenne. Toutes ne jouent pas dans chaque dossier, mais chacune se vérifie.

Le sous-traitant, lui, n’a pas de délai chiffré : il notifie la violation au responsable du traitement dans les meilleurs délais après en avoir pris connaissance. C’est cette notification qui fait courir les soixante-douze heures du responsable — d’où l’intérêt d’avoir contractualisé le canal et la forme de cette alerte avant l’incident.

2. Le point de départ n’est pas le même d’une horloge à l’autre

C’est l’erreur la plus coûteuse de la matière, et elle se commet en toute bonne foi. Les délais paraissent identiques — deux fois soixante-douze heures — mais ils ne courent pas du même événement.

Le délai de notification à la CNIL court de la connaissance de la violation de données. Le délai de dépôt de plainte court de la connaissance de l’atteinte au système. Or ces deux moments sont rarement simultanés : une intrusion peut être détectée un lundi et l’exfiltration de données n’être établie que le jeudi. Dans cette configuration, l’horloge de l’assurance a déjà expiré quand celle de la CNIL commence.

La déclaration à l’ANSSI, elle, se rattache à l’incident lui-même et à son impact sur la continuité du service, indépendamment de toute donnée personnelle. Une panne d’origine malveillante sans fuite de données peut ainsi déclencher cette horloge-là seule.

3. Toute violation ne se notifie pas — mais toute violation se documente

La notification à la CNIL n’est due que si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Une violation sans risque n’a pas à être notifiée, et l’appréciation appartient au responsable du traitement.

Cette dispense a une contrepartie qu’on oublie : toute violation doit être documentée, y compris celle qui n’est pas notifiée — faits, effets, mesures prises. Cette documentation permet à la CNIL de vérifier le respect de l’article, et son absence transforme une décision défendable en manquement autonome.

Lorsque toutes les informations ne peuvent pas être réunies dans le délai, elles peuvent être communiquées de manière échelonnée, sans autre retard indu. Notifier de façon incomplète dans les soixante-douze heures reste donc préférable à notifier tardivement un dossier complet.

4. Informer les personnes, et les trois cas où l’on en est dispensé

L’information des personnes concernées obéit à un seuil plus élevé que la notification à l’autorité : elle n’est due que si la violation est susceptible d’engendrer un risque élevé. Elle décrit la nature de la violation en termes clairs et simples, et reprend les points essentiels de la notification faite à l’autorité.

Trois situations en dispensent. La première tient aux mesures techniques déjà en place, appliquées aux données touchées, et rendant celles-ci incompréhensibles pour qui n’est pas autorisé — le chiffrement est l’exemple donné par le texte. La deuxième tient aux mesures prises après coup, qui garantissent que le risque élevé n’est plus susceptible de se matérialiser. La troisième tient aux efforts disproportionnés que la communication individuelle exigerait ; il est alors procédé à une communication publique ou à une mesure d’effet équivalent.

La première dispense mérite un mot, parce qu’elle est souvent invoquée à tort : elle suppose que les mesures aient été appliquées aux données affectées. Un chiffrement des sauvegardes ne dispense de rien lorsque l’exfiltration a porté sur une base en clair.

5. Soixante-douze heures pour porter plainte, sinon l’assureur ne paie pas

C’est la disposition la moins connue et la plus brutale. Le versement d’une somme au titre d’une clause d’assurance couvrant les pertes causées par une atteinte à un système de traitement automatisé de données est subordonné au dépôt d’une plainte au plus tard soixante-douze heures après la connaissance de l’atteinte. La règle vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle.

Trois points de vigilance, dans l’ordre où ils se posent en pratique. Le délai court de la connaissance de l’atteinte, non de sa qualification juridique ni de l’évaluation du préjudice : attendre le rapport de l’investigateur pour déposer plainte revient à le laisser expirer. Le renvoi opéré par le texte porte sur les atteintes aux systèmes de traitement automatisé de données, ce qui laisse hors du champ les sinistres d’origine purement accidentelle ou humaine — la portée exacte de ce renvoi se discute et mérite d’être confrontée à la rédaction de la police. Enfin, la condition est légale : aucune stipulation contractuelle ne peut y suppléer.

La lecture inverse existe et se plaide : le texte conditionne le versement d’une somme « en application de la clause » visant à indemniser les pertes causées par une telle atteinte, de sorte qu’une garantie couvrant un autre fait générateur — une erreur de manipulation, une défaillance de prestataire — échapperait à la condition. La discussion se mène sur la rédaction de la police, pas sur le principe.

6. NIS 2 : ce qui s’applique aujourd’hui en France, et ce qui ne s’applique pas encore

La directive NIS 2 n’est toujours pas transposée en droit français. Le projet de loi qui devait le faire — relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — a été adopté par le Sénat le 12 mars 2025 ; le texte de la commission spéciale de l’Assemblée nationale a été déposé le 10 septembre 2025. Au 2 septembre 2026, aucune loi n’est promulguée.

La conséquence pratique est nette : les obligations françaises issues de NIS 2 — enregistrement auprès de l’ANSSI, mesures de gestion des risques, signalement en plusieurs temps, responsabilité propre de l’organe de direction, sanctions — ne sont pas encore exigibles. Ce qui reste en vigueur, c’est le régime antérieur : les opérateurs de services essentiels et les fournisseurs de service numérique désignés sous l’empire de la loi de 2018 conservent leurs obligations, dont la déclaration des incidents à l’ANSSI sans délai.

La lecture inverse s’impose pourtant, et c’est elle qui commande l’action. Une directive non transposée ne crée pas d’obligation directe à la charge d’une entreprise, mais elle en crée deux indirectes. La première est contractuelle : les donneurs d’ordre déjà soumis répercutent leurs exigences sur leurs fournisseurs, sans attendre la loi française. La seconde est calendaire : les délais d’enregistrement et de mise en conformité qui suivront la promulgation seront courts, et une structure qui n’aura rien préparé les subira. Traiter le retard de transposition comme un répit est le contresens à éviter.

7. Ce qui se prépare avant, et ne se décide pas à chaud

Quatre décisions se prennent mal en pleine crise, parce qu’elles opposent l’urgence opérationnelle à l’intérêt juridique.

Préserver la preuve avant de restaurer. La tentation est de remettre en service au plus vite ; figer d’abord les journaux, les images disque et les éléments de compromission conditionne pourtant la notification, la plainte, la relation avec l’assureur et toute action ultérieure contre un tiers. Ce point s’écrit dans le plan de crise.

Encadrer ce qui s’écrit. Les échanges internes, les comptes rendus de cellule de crise et les rapports d’analyse pourront être lus par une autorité, un assureur ou un adversaire. Organiser en amont ce qui relève des échanges avec l’avocat et ce qui n’en relève pas évite des formulations spontanées difficiles à défendre.

Lire la police d’assurance avant le sinistre. Exclusions, obligations déclaratives, délais contractuels plus brefs que les délais légaux, imposition du prestataire d’intervention : découvrir ces stipulations pendant la crise est une situation banale et évitable.

Vérifier la chaîne de sous-traitance. Les clauses de sécurité, d’audit et de notification se révisent en temps calme. Un engagement de notifier en quelques heures qui ne peut pas être tenu ne protège personne : il ajoute un manquement.

Dans l’ordre

• Horodater et consigner le moment où la structure a eu connaissance de l’anomalie, par qui et par quel canal.
• Contenir l’incident, et figer les journaux et les supports avant toute restauration.
• Déposer plainte sans attendre la qualification technique : l’horloge de l’assurance est la plus courte et la moins rattrapable.
• Déterminer si des données à caractère personnel sont concernées, et si la violation est susceptible d’engendrer un risque, puis un risque élevé.
• Notifier la CNIL dans les soixante-douze heures, quitte à compléter ensuite de manière échelonnée.
• Relire les contrats clients et fournisseurs : les délais contractuels sont souvent les premiers à expirer.
• Documenter la violation dans tous les cas, y compris lorsqu’elle n’est pas notifiée.
• Déclarer à l’ANSSI si la structure est un opérateur de services essentiels.
• Articuler la communication publique avec ce qui a été notifié : une communication qui devance ou contredit une notification crée un risque propre.

Trois idées reçues

« Nous avons soixante-douze heures pour tout. » Deux délais de soixante-douze heures existent, mais ils ne courent pas du même événement et n’ont pas le même destinataire. Le plus souvent, celui de la plainte expire le premier.

« Pas de fuite de données, donc rien à notifier. » Une indisponibilité d’origine malveillante peut déclencher la déclaration à l’ANSSI, les obligations contractuelles envers les clients et la condition de plainte pour l’assurance, sans qu’aucune donnée personnelle n’ait été exposée.

« NIS 2 n’étant pas transposée, il n’y a rien à faire. » Les exigences arrivent d’abord par les contrats des donneurs d’ordre, et les délais de mise en conformité qui suivront la promulgation seront courts.

L’essentiel

Un incident de sécurité ne déclenche pas une obligation mais un faisceau d’obligations autonomes, dont les délais courent d’événements distincts. La question utile, dans les premières heures, n’est pas « faut-il notifier » mais « combien de notifications sont dues, à qui, et depuis quand chaque délai court ».

Deux horloges méritent une attention particulière parce qu’elles sont les plus courtes et les moins connues : celle des contrats clients, et celle du dépôt de plainte, dont dépend l’indemnisation par l’assureur. La seconde ne se rattrape pas.

Références