Depuis le 24 avril 2023, une entreprise victime d’une attaque informatique ne peut être indemnisée par son assureur que si elle a déposé plainte dans les soixante-douze heures suivant la découverte des faits. Cette condition figure dans le code des assurances, elle ne se négocie pas, et en 2026 elle reste la première cause d’indemnisation perdue chez les très petites structures, qui découvrent l’obligation après coup.
Trois événements que l’on range sous le même mot « cyber » obéissent en réalité à trois régimes distincts : l’attaque contre le système, la fuite de données personnelles, et le virement obtenu par tromperie. Les délais diffèrent, les interlocuteurs diffèrent, et une seule des trois relève d’un texte qui vous protège automatiquement.
Un incident immobilise une activité pendant des jours et laisse des frais que personne n’avait provisionnés. I am Beezy verse un gain à chaque contenu consulté dans l’application — vidéo, article, publicité — sur votre moyen de paiement habituel : un appoint personnel utile quand l’activité s’arrête, précisément parce qu’il n’en dépend pas.
Trois risques que l’on confond, trois régimes différents
Le premier réflexe utile est de nommer correctement ce qui vous arrive. De cette qualification dépendent le délai à tenir et la personne à prévenir.
L’atteinte au système de traitement automatisé de données
C’est le rançongiciel, l’intrusion, le blocage du serveur. Le code des assurances renvoie aux articles 323-1 à 323-3-1 du code pénal pour définir ce périmètre. Ce sont ces faits, et eux seuls, qui déclenchent la condition de plainte examinée plus bas.
La violation de données à caractère personnel
Un fichier clients diffusé, une boîte de messagerie compromise, un ordinateur portable perdu : dès que des données personnelles sont concernées, le règlement général sur la protection des données s’applique en parallèle, avec ses propres obligations. Une même attaque relève donc souvent des deux régimes à la fois, et il faut mener les deux démarches.
Le virement obtenu par tromperie
La fraude au faux fournisseur et la fraude dite au faux président ne cassent aucun système : elles obtiennent de vous, ou d’un salarié, un ordre de paiement authentique. C’est ce qui les rend redoutables, parce que le régime protecteur des opérations non autorisées ne s’y applique pas de la même façon.
Quelles obligations se déclenchent dans les 72 heures ?
Deux compteurs distincts démarrent en même temps, et ils ne s’adressent pas au même destinataire. Les confondre revient à en manquer un.
La plainte, condition de l’indemnisation
L’article L12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023 et créé par l’article 5 de la loi n° 2023-22 du 24 janvier 2023, est explicite : « Le versement d’une somme en application de la clause d’un contrat d’assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du code pénal est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime ». Le second alinéa précise que l’article « s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle ».
La notification à la CNIL
L’article 33 du règlement général sur la protection des données impose au responsable de traitement de notifier la violation à l’autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard ». La CNIL admet une notification en deux temps : une première déclaration dans le délai, puis un complément dès que les informations sont disponibles, un retard devant être motivé.
L’information des personnes concernées
Quand la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, l’article 34 impose de la leur communiquer « dans les meilleurs délais ». Dans tous les cas, y compris lorsque la notification n’est pas requise, la violation doit être documentée en interne : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises. Ce registre est ce que l’autorité demandera en premier.
| Ce qui s’est passé | Qui prévenir | Dans quel délai | Fondement |
|---|---|---|---|
| Attaque contre le système d’information | Les autorités compétentes, par une plainte | 72 heures après la connaissance des faits | C. assur. L12-10-1 |
| Violation de données personnelles | La CNIL | Meilleurs délais, 72 heures au plus tard si possible | RGPD, art. 33 |
| Risque élevé pour les personnes | Les personnes concernées | Dans les meilleurs délais | RGPD, art. 34 |
| Toute violation, même non notifiable | Personne, mais à documenter | Immédiatement, en interne | RGPD, art. 33 |
| Opération de paiement non autorisée | Votre banque | Sans tarder, 13 mois au maximum | CMF L133-24 |
Fraude au virement : votre banque doit-elle rembourser ?
La réponse dépend d’un seul mot : l’opération était-elle autorisée. Le droit bancaire construit toute sa protection sur cette distinction.
Ce que garantit une opération non autorisée
L’article L133-18 du code monétaire et financier, dans sa version en vigueur depuis le 18 août 2022, oblige le prestataire de services de paiement à rembourser le montant d’une opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». L’article L133-19 plafonne à 50 € les pertes supportées en cas de perte ou de vol de l’instrument de paiement, et écarte toute responsabilité lorsque l’opération a été réalisée sans authentification forte — sauf agissement frauduleux ou négligence grave du payeur.
Le virement que vous avez validé n’est pas une opération non autorisée
Dans une fraude au faux fournisseur, le paiement part d’un ordre régulier, saisi et authentifié par l’entreprise. Ce n’est donc pas le régime des opérations non autorisées qui s’applique, mais la recherche d’un manquement du prestataire ou d’une faute de la victime. C’est exactement le terrain que couvrent les garanties de fraude d’un contrat cyber, et c’est pourquoi la lecture du contrat compte davantage ici que partout ailleurs.
Ce que votre convention professionnelle peut vous retirer
Le point le moins connu est le plus lourd. L’article L133-2 du code monétaire et financier dispose que « sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, il peut être dérogé par contrat » à une liste d’articles où figurent notamment L. 133-19, L. 133-22 et L. 133-23. Autrement dit, le plafond de 50 € et le régime de la preuve peuvent être écartés par la convention de compte d’une entreprise. L’article L133-24 ajoute que, hors consommateur, « les parties peuvent convenir d’un délai distinct » de celui de treize mois. Quelle que soit votre banque professionnelle — Crédit Agricole, BNP Paribas, Société Générale, LCL, CIC, Crédit Mutuel, La Banque Postale ou BoursoBank — ces clauses se lisent avant l’incident, pas pendant.
Tenir le choc d’un arrêt d’activité avec I am Beezy
Un système bloqué, c’est une semaine sans facturation et des frais immédiats : intervention technique, reconstitution des données, courriers aux clients. I am Beezy fonctionne indépendamment de tout cela : la consultation de contenus dans l’application — vidéos, articles, publicités — génère des gains de l’ordre de 5 à 15 € par jour selon le temps que vous y consacrez, crédités en euros sur votre moyen de paiement habituel.
Un revenu qui ne dépend pas de votre outil de travail
C’est sa seule vertu ici, et elle est réelle : quand le poste de travail est hors service, l’appoint continue. Il se pilote depuis un téléphone, sans lien avec le système d’information de l’entreprise, et il alimente un compte personnel.
Ce qu’il ne remplace pas
Il ne finance ni une rançon, ni une reconstruction complète. La garantie reste le seul outil à la bonne échelle, et l’appoint sert à absorber ce qui tombe entre-temps, pas à s’y substituer. Le raisonnement vaut pour tout travailleur non salarié, comme nous le détaillons dans notre guide sur l’assurance des indépendants et des professions libérales.
Ce qu’un contrat cyber couvre, et ce qu’il faut lire avant de signer
Aucun texte ne rend l’assurance cyber obligatoire, et aucune source publique ne publie de tarif ni de plafond de référence. Ce qui se compare, ce sont donc des clauses. Trois d’entre elles décident de tout.
Le périmètre, qui renvoie au code pénal
La condition légale de plainte ne vise que les atteintes aux systèmes de traitement automatisé de données des articles 323-1 à 323-3-1 du code pénal. Un contrat peut garantir davantage — fraude au virement, frais de notification, pertes d’exploitation immatérielles — mais il peut aussi s’en tenir à ce socle. Vérifiez que la garantie fraude est nommée séparément de la garantie atteinte au système : ce sont deux promesses différentes.
La procédure de déclaration, à écrire avant l’incident
Les soixante-douze heures de l’article L12-10-1 courent à compter de la connaissance de l’atteinte par la victime, pas à compter du jour où le dirigeant rentre de congé. Désignez à l’avance qui dépose plainte et qui notifie la CNIL, et conservez la preuve de la date : c’est ce document que l’assureur demandera avant toute discussion sur le montant.
Il n’existe pas de Bureau central de tarification pour le cyber
Quand un assureur refuse de garantir un risque soumis à obligation d’assurance, une entreprise peut saisir le Bureau central de tarification après deux refus. Mais sa compétence est limitée à cinq domaines : responsabilité civile automobile, assurance construction, catastrophes naturelles, responsabilité civile médicale, et responsabilité civile des locataires, copropriétaires et syndicats de copropriété. Le risque cyber n’en fait pas partie : un refus de garantie cyber n’ouvre aucun recours devant le Bureau central de tarification. Le seul levier reste la mise en concurrence, en direct auprès d’un agent général AXA, Allianz France ou Generali France, d’un conseiller MAAF, MMA, Macif ou MAIF, ou par un courtier tel qu’April — qui place le risque sans le porter, tout comme MACSF sur le terrain des professionnels de santé. Avant de confier vos données à un intermédiaire, contrôlez son immatriculation, comme expliqué dans notre guide pour vérifier qu’un établissement est agréé aux registres officiels.
| Ce que vous devez lire | La question à poser | Ce qui se passe si vous ne le faites pas |
|---|---|---|
| Le périmètre de la garantie | Atteinte au système seule, ou fraude comprise ? | Un virement frauduleux reste à votre charge |
| La condition de plainte | Qui la dépose, et sous quel délai ? | Aucun versement possible au-delà de 72 heures |
| Les exclusions et les plafonds du devis | Quel montant maximal par sinistre ? | Une indemnisation inférieure au coût réel |
| Votre convention de compte professionnel | Les articles L133-19 et L133-23 sont-ils écartés ? | Le plafond de 50 € et la charge de la preuve disparaissent |
| Votre registre des violations | Est-il tenu, et par qui ? | Aucune trace opposable devant la CNIL |
Les quatre gestes des premières heures
Notez l’heure exacte à laquelle vous avez eu connaissance des faits : c’est elle qui fait courir les deux délais. Déposez plainte sans attendre l’avis de votre prestataire informatique, puisque l’indemnisation en dépend. Notifiez la CNIL si des données personnelles sont concernées, quitte à compléter ensuite. Prévenez enfin votre banque de toute opération suspecte : le remboursement d’une opération non autorisée intervient au plus tard à la fin du premier jour ouvrable suivant, et ce délai ne se rattrape pas. Si le litige s’installe avec un prestataire ou avec un assureur, la protection juridique prend en charge la suite.
Une TPE ne se protège pas en achetant le contrat le plus cher, mais en sachant qui appelle qui, et quand. Ces quatre gestes tiennent sur une feuille affichée près du poste de travail, et ils valent davantage que n’importe quelle option souscrite dans l’urgence. Et pour se constituer un matelas personnel qui reste disponible même quand l’activité s’arrête, I am Beezy s’active en quelques minutes.
