Cyberattaque en entreprise : les premières actions à mener

Une intrusion détectée un vendredi soir, un serveur qui chiffre ses propres fichiers, une alerte de votre prestataire informatique : la cyberattaque n'arrive jamais au bon moment. Or les décisions prises dans les premières heures conditionnent tout le reste • la reprise d'activité, bien sûr, mais aussi la validité des preuves, la couverture d'assurance et le respect de vos obligations légales.

Ce guide s'adresse aux dirigeants de TPE, PME et ETI. Il ne remplace ni votre prestataire cybersécurité, ni votre DPO, ni votre avocat : il vous aide à structurer les premières actions et à poser les bonnes questions aux bons interlocuteurs.

Qualifier l'incident sans précipitation

Avant d'agir, il faut comprendre • au moins sommairement • ce qui se passe. Trois questions structurent la qualification :

• •Quoi ? Intrusion, rançongiciel, fuite de données, compromission de messagerie, fraude au virement : chaque scénario appelle des réflexes différents.
• •Où ? Quels systèmes, quels comptes, quelles données sont touchés ou susceptibles de l'être ?
• •Depuis quand ? La date de découverte fait courir des délais légaux, notamment le délai de notification à la CNIL.

Notez immédiatement, par écrit et avec l'heure, tout ce que vous constatez. Cette chronologie deviendra la colonne vertébrale de votre dossier : déclaration d'assurance, plainte, notification CNIL et échanges avec vos conseils s'y référeront tous.

Isoler, sans détruire les preuves

Le réflexe naturel • tout éteindre, tout réinstaller • est souvent le pire. Éteindre brutalement une machine peut effacer des traces en mémoire ; réinstaller un serveur détruit les éléments dont les enquêteurs et l'assureur auront besoin.

La démarche généralement recommandée par les autorités spécialisées (ANSSI, Cybermalveillance.gouv.fr) consiste à isoler du réseau les machines compromises (déconnexion réseau, pas nécessairement extinction), préserver les journaux (logs), conserver une copie des messages suspects, et laisser les opérations techniques sensibles à des professionnels.

En parallèle, changez les mots de passe des comptes à privilèges depuis un poste sain et activez la double authentification là où elle manque.

Mobiliser les bons acteurs, dans le bon ordre

Une cyberattaque n'est pas qu'un sujet informatique. Dès les premières heures, quatre cercles doivent être activés :

1. Interne : direction, responsable informatique, DPO si vous en avez un, communication.
2. Technique : votre prestataire informatique ou un prestataire de réponse à incident. Le dispositif public Cybermalveillance.gouv.fr référence des prestataires de proximité.
3. Assurantiel : votre assureur cyber (ou multirisque professionnelle)

• la plupart des contrats imposent une déclaration rapide, parfois sous 48 heures, et certains conditionnent la prise en charge au respect de leur procédure de gestion de crise.

1. Juridique : un avocat, pour piloter la qualification des obligations (CNIL, contrats clients, prestataires) et sécuriser la stratégie contentieuse.

Vos obligations légales : la question des 72 heures

Si l'attaque a touché • ou a pu toucher • des données personnelles (fichiers clients, RH, comptes utilisateurs…), le RGPD impose de notifier la violation à la CNIL dans les 72 heures suivant sa découverte, dès lors qu'elle présente un risque pour les personnes concernées. En cas de risque élevé, les personnes elles-mêmes doivent être informées.

Trois précisions importantes :

• •Le délai court à compter de la découverte de la violation, pas de la fin de vos investigations. Une notification initiale peut être complétée ensuite.
• •Même lorsque la notification n'est pas requise, la violation doit être documentée dans votre registre interne des violations.
• •Certaines organisations relèvent en outre d'obligations sectorielles (santé, finance, opérateurs essentiels, directive NIS 2 transposée). Votre avocat ou votre DPO identifiera les régimes applicables.

Pour un premier repère, notre diagnostic violation de données RGPD vous situe en quatre questions • l'analyse définitive restant à valider par un professionnel.

Étapes : les premières 72 heures en pratique

1. Consigner la découverte

Notez date, heure, circonstances de la découverte et premiers constats. Désignez un pilote unique de la crise et ouvrez un journal de bord.

2. Isoler et préserver

Déconnectez les systèmes compromis du réseau sans les réinitialiser, préservez journaux et messages, faites réaliser les copies techniques par un professionnel.

3. Déclarer à l'assureur

Relisez votre contrat cyber : délais de déclaration, procédure imposée, prestataires agréés. Déclarez sans attendre la fin des investigations.

4. Évaluer l'obligation de notification CNIL

Avec votre DPO ou votre avocat, qualifiez la violation : données concernées, personnes exposées, niveau de risque. Notifiez sous 72 heures si le risque est caractérisé, documentez dans tous les cas.

5. Déposer plainte

La plainte pénale documente officiellement l'attaque, conditionne souvent l'indemnisation d'assurance et alimente l'enquête. Préparez chronologie et preuves techniques.

6. Communiquer de façon maîtrisée

Clients, partenaires, salariés : toute communication doit être exacte et cohérente avec vos déclarations officielles. Faites-la relire par votre conseil.

Glossaire express

• •Violation de données : incident entraînant la destruction, la perte, l'altération ou l'accès non autorisé à des données personnelles.
• •Notification CNIL : déclaration officielle d'une violation à l'autorité de contrôle, en principe sous 72 heures.
• •Réponse à incident : intervention technique spécialisée visant à contenir l'attaque et préserver les preuves.

Pour aller plus loin : consultez le dossier complet RGPD, hacking, vol de données et l'article Violation de données RGPD : faut-il notifier la CNIL ?.

Sources officielles : CNIL (notification des violations), ANSSI (gestion de crise cyber), Cybermalveillance.gouv.fr (assistance aux victimes), Service-Public.fr.

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.

Si la cyberattaque a exposé des données d'enfants ou d'adolescents, la procédure change : le RGPD impose une protection renforcée. Découvrez comment agir vite avec la protection renforcée des données de mineurs.