Un écran verrouillé avec une demande de rançon, des virements partis vers un IBAN inconnu, une boîte mail qui envoie des factures à vos clients : la question qui vient dans la minute est toujours la même. Qui contacter en cas de piratage informatique — et dans quel ordre ? La réponse n’est ni « la police », ni « mon informaticien ». C’est une séquence, avec des délais opposables : 24 heures pour l’alerte précoce à l’ANSSI si vous êtes une entité régulée, 72 heures pour la CNIL si des données personnelles sont touchées, cinq jours ouvrés au plus pour l’assureur. Ce guide donne l’ordre exact des appels, en distinguant le cas du particulier de celui de la PME — qui obéit à des obligations que le premier n’a pas.
⏱ L’essentiel en 30 secondes
- Avant d’appeler : déconnectez du réseau, n’éteignez pas, notez l’heure, faites des captures.
- Point d’entrée unique : 17Cyber.gouv.fr, guichet police-gendarmerie adossé à Cybermalveillance.gouv.fr, tchat 24h/24 avec un policier ou un gendarme.
- Argent en jeu : la banque d’abord (opposition), puis Perceval pour une fraude à la carte bancaire.
- Plainte : THESEE en ligne pour les escroqueries Internet listées ; commissariat ou procureur pour une intrusion ou un rançongiciel d’entreprise.
- PME uniquement : CNIL sous 72 h si des données personnelles sont concernées, ANSSI sous 24 h si vous relevez de NIS2, assureur cyber sans attendre.
- Un particulier mobilise 2 à 3 interlocuteurs, une PME 6 à 8 : la liste se prépare avant, pas pendant.
🚨 Attaque en cours pendant que vous lisez ceci ? Passez directement au plan d’urgence ransomware : les 3 gestes des 5 premières minutes, puis les 6 réflexes dans l’ordre.
Avant le premier appel : trois gestes qui conditionnent tout le reste
Déconnecter sans éteindre. Débranchez le câble réseau, coupez le Wi-Fi, isolez la machine touchée — mais laissez-la sous tension. Éteindre efface la mémoire vive, où se trouvent les traces les plus utiles : processus actifs, connexions en cours, parfois des clés de chiffrement. C’est la recommandation constante des fiches réflexe de Cybermalveillance.gouv.fr sur les rançongiciels.
Horodater. Notez l’heure exacte de découverte de l’incident et par quel signe : c’est elle qui fait courir le délai de 72 heures de la CNIL et celui de 24 heures de l’ANSSI.
Conserver. Captures du message de rançon ou du mail frauduleux, en-têtes complets des courriels, journaux de connexion, relevés bancaires. Ne « nettoyez » rien avant validation d’un technicien et, si vous êtes assuré, de votre assureur.
L’erreur qui coûte le plus cher : restaurer les sauvegardes dans l’heure, avant toute analyse. On efface les traces, on ne sait pas par où l’attaquant est entré — et il revient par la même porte quelques semaines plus tard. La restauration se fait après identification du vecteur d’entrée. C’est aussi ce qui sépare une sauvegarde réellement exploitable en cas d’incident d’une sauvegarde chiffrée en même temps que le reste.
La séquence complète des premières 72 heures
Les étapes 6 et 7 concernent exclusivement les organisations, et la 7 uniquement les entités régulées.
- H+0 — Isoler, horodater, conserverDéconnexion sans extinction, heure notée, captures et journaux mis de côté. En PME, prévenez le dirigeant : les décisions qui suivent (arrêt de production, communication clients, paiement ou non) ne relèvent pas de l’informatique.
- H+0 — La banque, si de l’argent est en jeuVirement frauduleux, carte compromise, accès à l’espace bancaire : appelez avant tout le reste. Certains virements peuvent encore être rappelés dans les premières heures.
- H+1 — 17Cyber et Cybermalveillance.gouv.frLe parcours en ligne de 17Cyber.gouv.fr qualifie l’incident, délivre les gestes d’urgence adaptés et ouvre si nécessaire un tchat avec un policier ou un gendarme. Point d’entrée public unique et gratuit.
- H+2 — L’assureur cyber, puis le prestataireSi vous avez une assurance cyber, appelez la cellule d’assistance avant toute intervention : c’est elle qui mandate l’expert et prend les frais en charge. Sinon, activez votre prestataire ou un spécialiste de la réponse à incident.
- H+24 à H+72 — La plainteTHESEE pour les escroqueries en ligne de son périmètre, commissariat ou gendarmerie pour une intrusion ou un rançongiciel. Perceval en complément si une carte bancaire a été utilisée.
- H+72 maximum — La CNILSi des données personnelles ont été exposées avec un risque pour les personnes, la notification sur notifications.cnil.fr est obligatoire sous 72 heures.
- H+24 / H+72 / M+1 — L’ANSSI, entités réguléesEntités essentielles et importantes au sens de NIS2 : alerte précoce sous 24 h, notification détaillée sous 72 h, rapport final sous un mois, via MonEspaceNIS2.
- J+2 à J+15 — Les tiers impactésClients, fournisseurs, salariés : si leurs données ou leurs échanges sont concernés, ils doivent être prévenus. Une facture frauduleuse partie de votre messagerie engage votre réputation, pas celle de l’attaquant.
Qui devez-vous contacter ? Le test en 6 questions
Cybermalveillance.gouv.fr et 17Cyber : le point d’entrée national
Cybermalveillance.gouv.fr est le dispositif national d’assistance aux victimes d’actes de cybermalveillance, porté par le GIP ACYMA. Ses missions : assister les victimes, sensibiliser aux risques numériques, observer la menace.
Il apporte deux choses à une victime. Un parcours d’assistance : vous décrivez ce qui vous arrive, la plateforme identifie la menace parmi une cinquantaine de fiches (rançongiciel, hameçonnage, piratage de compte, faux support technique…) et délivre la marche à suivre. Et une mise en relation avec des prestataires référencés : plus d’un millier de professionnels, dont environ deux cents titulaires du label ExpertCyber.
Depuis le 17 décembre 2024, la porte d’entrée s’appelle 17Cyber.gouv.fr. Lancé par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, c’est la version cyber du 17 : un guichet unique, gratuit, ouvert en permanence. Le parcours se déroule en trois temps — un diagnostic en ligne, des conseils immédiats adaptés à la menace identifiée, puis, si la gravité est confirmée, un tchat avec un policier ou un gendarme 24h/24 pour les premiers conseils d’urgence et l’orientation judiciaire.
Pourquoi commencer par là : 17Cyber est le seul point d’entrée qui traite en une fois le volet technique et le volet judiciaire. Vous en ressortez avec un diagnostic, des gestes d’urgence et la bonne voie de plainte pour votre cas — ce qui évite le déplacement inutile au commissariat pour une escroquerie relevant de THESEE, ou l’inverse.
Ce que ces dispositifs ne sont pas : un service d’urgence qui intervient chez vous. Ils orientent, qualifient et mettent en relation ; l’intervention technique reste à votre charge — d’où l’intérêt d’avoir identifié son prestataire cybersécurité avant l’incident. En cas de danger immédiat pour les personnes, le 17 et le 112 restent les numéros à composer.
Déposer plainte : THESEE ou commissariat, comment choisir
Deux voies existent, et elles ne couvrent pas les mêmes faits.
THESEE : la plainte en ligne pour les escroqueries Internet
THESEE est le téléservice du ministère de l’Intérieur ouvert depuis mars 2022, accessible sur service-public.fr avec FranceConnect. Il permet de déposer plainte sans se déplacer, en une dizaine de minutes, pour un périmètre précis d’escroqueries commises sur Internet : achat sur un faux site marchand ; arnaque aux petites annonces, côté faux vendeur comme faux acheteur ; piratage de messagerie ou usurpation d’identité pour escroquer vos contacts ; chantage en ligne.
Les signalements alimentent une base nationale qui permet de rapprocher des faits isolés : une plainte THESEE a une valeur même quand le préjudice individuel est faible. Le recours au téléservice reste facultatif — police et gendarmerie ne peuvent pas refuser une plainte au motif qu’il existe.
Commissariat, gendarmerie ou procureur : pour tout le reste
Une intrusion dans le système d’information d’une entreprise, un rançongiciel qui chiffre les serveurs d’une PME, une exfiltration de base de données : ces faits sortent du périmètre de THESEE. La plainte se dépose au commissariat ou à la brigade de gendarmerie, ou par lettre recommandée au procureur de la République du tribunal judiciaire compétent.
Le cadre pénal est clair. L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de deux ans d’emprisonnement et 60 000 € d’amende, porté à trois ans et 100 000 € si l’intrusion a entraîné la suppression ou la modification de données. L’article 323-2, qui vise le fait d’entraver ou de fausser le fonctionnement d’un système — ce que fait précisément un rançongiciel — prévoit cinq ans et 150 000 € d’amende.
À apporter au dépôt de plainte : un descriptif chronologique daté des faits, les captures du message de rançon ou des courriels frauduleux, les en-têtes complets des mails, les journaux techniques, les relevés bancaires, la liste des systèmes touchés, et l’identité du représentant légal pour une personne morale. Un dépôt documenté est traité tout autrement qu’un récit oral.
Vous ne savez pas qui appeler en premier ?
C’est exactement ce qu’on met à plat en 30 minutes : votre liste d’appels, vos obligations réelles, vos points faibles.
Perceval : quand une carte bancaire a été utilisée frauduleusement
Perceval est le téléservice de la gendarmerie nationale dédié au signalement des fraudes à la carte bancaire, accessible via service-public.fr avec FranceConnect. Trois conditions doivent être réunies.
| Condition | Pourquoi | Si ce n’est pas le cas |
|---|---|---|
| Vous êtes toujours en possession de votre carte | Perceval traite l’usage frauduleux des coordonnées, pas le vol de l’objet | Carte volée ou perdue : plainte classique |
| Vous n’êtes pas à l’origine des opérations contestées | Le signalement porte sur des débits que vous n’avez pas autorisés | Litige commercial : médiation, pas Perceval |
| Vous avez déjà fait opposition auprès de votre banque | L’opposition stoppe l’hémorragie, Perceval documente | Faites opposition d’abord, signalez ensuite |
Le signalement génère un récépissé à transmettre à votre banque à l’appui de la demande de remboursement : c’est son utilité pratique principale. Le remboursement relève, lui, des articles L. 133-18 et suivants du Code monétaire et financier, qui posent le principe du remboursement des opérations non autorisées, sauf négligence grave du porteur. C’est sur cette notion que se cristallisent les refus : voir nos recours quand une banque refuse de rembourser après un hameçonnage.
Perceval ne vaut pas plainte : c’est un signalement. Pour que des poursuites soient engagées, déposez plainte en parallèle — via THESEE si les faits entrent dans son périmètre, au commissariat sinon.
La CNIL : la notification obligatoire sous 72 heures
C’est ici que le parcours du particulier et celui de la PME divergent. Un particulier piraté n’a rien à déclarer à la CNIL. Une entreprise, une association ou une collectivité qui traite des données personnelles, oui — la taille n’entre pas en ligne de compte.
L’article 33 du RGPD impose au responsable de traitement de notifier à l’autorité de contrôle toute violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes, dans les meilleurs délais et si possible 72 heures au plus tard après en avoir pris connaissance. En France, sur le téléservice notifications.cnil.fr.
Quatre points sont mal compris :
- Le délai part de la prise de connaissance, pas de la survenance : si l’intrusion date de mars et que vous la découvrez le 20 juillet à 9 h, le compteur démarre à cet instant.
- Il se compte en heures calendaires, week-ends et jours fériés inclus.
- Une violation ne se limite pas au vol de données : le RGPD vise aussi la destruction, la perte, l’altération et l’accès non autorisé. Un rançongiciel qui rend une base clients indisponible est une violation, même sans exfiltration.
- Une notification initiale incomplète est admise, et vaut mieux qu’une déclaration exhaustive hors délai. Ne retenez pas la notification en attendant les conclusions de l’analyse technique.
Si la violation est susceptible d’engendrer un risque élevé, l’article 34 impose en outre d’informer individuellement les personnes concernées, en langage clair : nature de la violation, conséquences probables, mesures prises, point de contact. C’est l’étape qui, mal faite, transforme un incident technique en crise de réputation.
Le coût du silence : le manquement à l’obligation de notification relève du plafond de l’article 83.4 du RGPD, soit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Au-delà du montant théorique, la CNIL sanctionne surtout ce qu’elle constate après la notification : absence de mesures élémentaires, mots de passe faibles, absence de journalisation. Nous avons détaillé ce que risque concrètement une PME dans notre analyse des sanctions CNIL applicables aux PME.
L’ANSSI : uniquement si vous êtes une entité régulée
L’Agence nationale de la sécurité des systèmes d’information n’est pas le service d’urgence des PME. Elle est l’autorité compétente pour les entités soumises à obligations : opérateurs d’importance vitale, opérateurs de services essentiels, et le périmètre élargi défini par la directive NIS2. Pour ces entités, la notification se fait en trois temps.
| Échéance | Livrable | Contenu attendu |
|---|---|---|
| 24 heures | Alerte précoce | Signalement de l’incident significatif, suspicion d’acte malveillant ou d’impact transfrontalier |
| 72 heures | Notification détaillée | Évaluation initiale : gravité, impacts, indicateurs de compromission |
| 1 mois | Rapport final | Description complète, cause première, mesures d’atténuation appliquées |
Le point d’entrée est MonEspaceNIS2, la plateforme sur laquelle les entités concernées s’enregistrent et déposent leurs notifications ; le pré-enregistrement y est ouvert depuis fin 2025. La transposition française s’inscrit dans la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l’adoption s’est poursuivie en 2026 : les échéances opérationnelles dépendent des textes d’application, et mieux vaut suivre les publications de l’ANSSI qu’une date circulant sur le web. Voir aussi notre page sur l’ANSSI, MonEspaceNIS2 et la notification d’incident.
Êtes-vous concerné ? NIS2 élargit fortement le périmètre par rapport à NIS1, en croisant des critères de secteur avec des seuils de taille — au-delà de 50 salariés ou 10 M€ de chiffre d’affaires pour les entités importantes, avec des exceptions sectorielles. Une PME de sous-traitance industrielle, un fournisseur de services numériques ou un prestataire de santé peuvent être concernés sans le savoir. Le doute se lève avec un test de périmètre, pas avec une intuition.
Assureur cyber et prestataire : les deux appels privés à ne pas inverser
Si votre entreprise dispose d’un contrat cyber, l’assureur ou le courtier fait partie des tout premiers appels — avant le prestataire technique. La raison est contractuelle : ces contrats intègrent presque tous une cellule d’assistance joignable en continu qui mandate elle-même l’expert en réponse à incident et le juriste. Faire intervenir votre informaticien habituel avant d’avoir prévenu l’assureur expose à un refus de prise en charge des frais.
Sur les délais, l’article L. 113-2 du Code des assurances interdit de stipuler un délai de déclaration inférieur à cinq jours ouvrés. C’est un plancher légal : les contrats cyber demandent en pratique une déclaration immédiate. Vérifiez aussi deux clauses classiques — l’obligation de dépôt de plainte et les exclusions liées au défaut de mesures élémentaires (pas de sauvegardes, pas de double authentification, systèmes en fin de support), détaillées dans notre guide de la cyberassurance pour PME.
Votre prestataire informatique est ensuite utile, à condition de ne pas lui demander ce qu’il ne peut pas faire. Un infogéreur généraliste gère un parc, des sauvegardes, une messagerie ; la réponse à incident — analyse forensique, identification du vecteur d’entrée, recherche de persistance — est un métier distinct.
Ce que fait un infogéreur
Isoler les machines, couper les accès, évaluer l’étendue, restaurer une fois le feu vert donné, remonter les services. Indispensable au retour à l’activité.
Ce que fait un spécialiste réponse à incident
Analyser les traces, déterminer par où l’attaquant est entré, vérifier qu’il n’a pas laissé de porte dérobée, produire un rapport exploitable pour l’assureur et la CNIL.
Ce que personne ne peut faire
Déchiffrer des fichiers correctement chiffrés sans la clé, ou garantir la suppression des données exfiltrées après paiement.
Le conflit d’intérêts se pose sans détour : si l’incident résulte d’une faille de configuration ou d’une sauvegarde défaillante, votre prestataire est à la fois le pompier et une partie prenante possible du sinistre. Sur un incident grave, une expertise indépendante — mandatée par l’assureur ou choisie parmi les prestataires référencés par Cybermalveillance.gouv.fr — évite ce biais. Financièrement, les frais de réponse et l’immobilisation d’activité dépassent largement la ligne « informatique », comme le montre l’analyse du coût réel d’une cyberattaque pour une PME.
Ne payez pas la rançon. La position constante de l’ANSSI et de Cybermalveillance.gouv.fr est de ne pas céder : le paiement ne garantit ni la restitution des données ni leur non-diffusion, il finance l’écosystème criminel et désigne l’entreprise comme une cible solvable. Cette décision, si elle se pose, ne se prend jamais dans les premières heures ni sans conseil juridique.
Particulier ou PME : deux parcours qui ne se ressemblent pas
La différence n’est pas une question de moyens mais de nature juridique. Un particulier est une victime. Une entreprise est à la fois une victime, un responsable de traitement, un employeur, un cocontractant — et parfois une entité régulée : elle doit rendre des comptes en même temps qu’elle encaisse le choc.
| Interlocuteur | Particulier | TPE / PME | Délai | Obligatoire ? |
|---|---|---|---|---|
| 17Cyber.gouv.fr | Oui, en premier | Oui, en premier | Immédiat | Non, mais recommandé |
| Banque | Si moyens de paiement touchés | Si virement ou compte pro touché | Immédiat | Contractuel |
| Perceval | Oui, fraude carte bancaire | Rarement (cartes pro) | Après opposition | Non |
| THESEE | Escroqueries en ligne listées | Seulement si les faits entrent dans le périmètre | Sans délai légal | Non |
| Plainte commissariat / procureur | Si hors périmètre THESEE | Oui, quasi systématique | Prescription : 6 ans (délit) | Exigée par l’assurance |
| CNIL | Non concerné | Oui si données personnelles à risque | 72 h | Oui (art. 33 RGPD) |
| ANSSI / MonEspaceNIS2 | Non concerné | Entités régulées NIS2 uniquement | 24 h / 72 h / 1 mois | Oui si concerné |
| Assureur cyber | Si garantie cyber au contrat MRH | Oui si contrat cyber | 5 jours ouvrés minimum légal | Contractuel |
| Personnes concernées | Prévenir ses contacts | Clients, salariés, partenaires si risque élevé | Meilleurs délais | Oui (art. 34 RGPD) |
Un particulier piraté mobilise deux à trois interlocuteurs, une PME six à huit — dont deux avec des délais réglementaires contraignants et un, l’assureur, dont la réactivité conditionne l’indemnisation. Cet écart explique pourquoi improviser fonctionne à peu près pour un particulier et pas du tout pour une entreprise.
Les erreurs à éviter et la fiche contacts à préparer
Certaines réactions instinctives coûtent plus cher que l’attaque : éteindre les machines (on détruit les traces), restaurer immédiatement (on efface les preuves et on réintroduit le point d’entrée), attendre d’y voir clair avant de notifier la CNIL (le délai ne se suspend pas), faire intervenir un technicien avant l’assureur (risque de non-prise en charge), communiquer sans cadrage (un message imprécis crée une seconde crise), ne rien dire aux salariés (ce sont eux qui verront les anomalies suivantes) et négocier seul avec les attaquants (toute prise de contact fait de vous une cible qualifiée, même sans paiement).
La contre-mesure tient sur une page.
| Rôle | À renseigner | Pourquoi maintenant |
|---|---|---|
| Décideur de crise | Nom, mobile personnel, suppléant | Les décisions d’arrêt d’activité ne se délèguent pas |
| Prestataire informatique | Astreinte, périmètre contractuel, délai d’intervention | Savoir ce qui est couvert avant de le découvrir un dimanche |
| Assureur / courtier cyber | N° de contrat, ligne d’assistance 24/7 | C’est cet appel qui déclenche la prise en charge |
| Référent RGPD / DPO | Nom, accès au registre des traitements | Notifier en 72 h suppose de savoir quelles données sont concernées |
| Banque(s) | Numéro d’opposition, conseiller, procédure de rappel de virement | Les premières heures sont les seules où un virement peut être stoppé |
| Contact ANSSI (si NIS2) | Compte MonEspaceNIS2, référent déclaré | Créer un compte sous 24 h de pression est une mauvaise idée |
Où ranger cette fiche : hors du système d’information — imprimée, ou dans un coffre-fort numérique accessible depuis un téléphone. Le jour où le domaine est chiffré, un « procédure de crise.docx » stocké sur le serveur ne sert plus à rien. Et testez-la : un exercice d’une heure révèle en général deux ou trois trous. C’est aussi le meilleur support de sensibilisation des équipes à la cybersécurité, parce qu’il met les gens en situation.
Votre entreprise saurait-elle qui appeler ce soir ?
Liste d’appels, obligations CNIL et NIS2 réelles, périmètre du contrat d’assurance, état des sauvegardes : un spécialiste fait le point avec vous en 30 minutes et vous repartez avec votre fiche de crise. Offert, sans engagement.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Qui contacter en cas de piratage informatique
Qui contacter en premier en cas de piratage informatique ?
Faut-il porter plainte après un piratage informatique ?
Peut-on porter plainte en ligne pour un piratage informatique ?
Une PME doit-elle prévenir la CNIL après un piratage ?
Faut-il prévenir l’ANSSI après une cyberattaque ?
Combien de temps ai-je pour déclarer un sinistre à mon assurance cyber ?
Pour aller plus loin : la marche à suivre face à un rançongiciel en entreprise, les garanties d’un contrat de cyberassurance, ou les critères de choix d’un prestataire cybersécurité pour PME. Et si vous préférez traiter le sujet avant d’en avoir besoin, votre diagnostic cybersécurité offert vous donne en 30 minutes votre liste d’appels, vos obligations réelles et l’état de vos sauvegardes.
Laisser un commentaire