Qui contacter en cas de cyberattaque ?

En cas de cyberattaque, le premier contact est votre infogérant ou votre prestataire de réponse à incident, pour contenir l’attaque. Viennent ensuite la plainte, la notification à la CNIL si des données personnelles sont touchées (le RGPD prévoit un délai de 72 heures), l’assureur et, selon votre statut, le CERT-FR. Pour vous orienter, 17cyber.gouv.fr propose un diagnostic gratuit.

Cet article fait partie de notre série sur la réponse à incident. Pour le cadre général, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Le bon ordre, en un coup d’oeil

Interlocuteur	Quand	Pourquoi
Infogérant, SOC ou CERT	Immédiatement	Contenir l’attaque et préserver les preuves
17cyber.gouv.fr	Dès les premières minutes, si vous n’avez pas de prestataire	Diagnostic gratuit et orientation
Police, gendarmerie ou procureur	Avant de réinstaller les machines	Enquête judiciaire ; peut compter pour l’assurance
CNIL	Sous 72 heures si des données personnelles sont touchées, selon le RGPD	Prévu par le RGPD (article 33)
Assureur	Au plus tôt, selon votre contrat	Déclaration de sinistre, prise en charge
CERT-FR ou CSIRT territorial	Selon votre statut	Appui technique de l’État
Clients, salariés, partenaires	Selon la situation	Information et, le cas échéant, article 34 du RGPD

1. Votre infogérant et votre prestataire de réponse à incident

Le premier appel est technique. Il faut isoler les machines touchées, couper les accès de l’attaquant et préserver les traces. Cybermalveillance.gouv.fr recommande d’alerter immédiatement son service ou son prestataire informatique, de déconnecter les machines touchées du réseau sans les éteindre, sauf si un chiffrement est en cours, et de débrancher les sauvegardes connectées.

Si votre infogérant travaille avec un SOC managé et un CERT, ce sont eux qui prennent le relais pour l’investigation. Voir Que se passe-t-il quand un SOC managé détecte une attaque ? et Qu’est-ce qu’un CERT en cybersécurité ?.

2. 17Cyber, si vous ne savez pas par où commencer

17cyber.gouv.fr est le service d’assistance en ligne proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Il pose quelques questions pour identifier l’attaque, donne les premières recommandations et oriente vers le dépôt de plainte. Cybermalveillance.gouv.fr permet aussi aux professionnels d’être mis en relation avec des prestataires référencés ou labellisés ExpertCyber.

3. La plainte

Une cyberattaque est une infraction. La plainte se dépose au commissariat de police, à la brigade de gendarmerie ou par écrit auprès du procureur de la République du tribunal judiciaire compétent. Cybermalveillance.gouv.fr insiste sur un point : la plainte doit intervenir avant la réinstallation des appareils touchés, pour que les preuves techniques restent disponibles pour les enquêteurs.

La plainte peut aussi avoir un enjeu financier : le dépôt de plainte peut compter dans le traitement d’un sinistre cyber par l’assureur. Les conditions applicables à votre situation sont à vérifier avec votre assureur et votre conseil juridique. Dans le doute, mieux vaut ne pas attendre : la plainte sert d’abord l’enquête, et les preuves s’effacent vite.

4. La CNIL, si des données personnelles sont concernées

Si l’attaque a exposé, modifié, chiffré ou détruit des données personnelles, l’article 33 du RGPD prévoit une notification de la violation à l’autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. Si le risque est élevé, l’article 34 prévoit aussi d’informer les personnes concernées. Selon la CNIL, la notification se fait en ligne sur son site.

Qui notifie, et qui informe qui, dépend du rôle de chacun au sens du RGPD et des contrats en place entre l’entreprise et ses prestataires. Ces points se clarifient de préférence avant l’incident, avec votre conseil juridique.

5. Le CERT-FR ou un CSIRT territorial

Le CERT-FR, centre de réponse de l’ANSSI, traite sur le plan technique les incidents concernant l’administration, les opérateurs d’importance vitale (OIV) et les entités essentielles et importantes. Il est joignable 24h/24 et 7j/7 au 3218, par courriel ou par déclaration en ligne. Les PME, ETI, collectivités et associations qui cherchent une assistance de proximité peuvent s’adresser à leur CSIRT territorial.

Pour les entités soumises à NIS2, l’article 23 de la directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois, auprès du CSIRT ou de l’autorité compétente. Au 17 septembre 2026, la loi française de transposition n’est pas adoptée. Voir La réponse à incident est-elle obligatoire ?.

6. L’assureur

Si vous avez une assurance cyber, prévenez votre assureur au plus tôt et lisez les conditions de votre contrat : délais de déclaration, prestataires agréés, frais couverts.

Le cas des infogérants

Un infogérant dont le client est attaqué joue souvent le rôle de chef d’orchestre : il mobilise le SOC et le CERT, tient la chronologie des actions et aide son client à préparer plainte et notifications. Préparer cette liste de contacts avant l’incident fait gagner un temps précieux. Voir Quelle différence entre réponse à incident et gestion de crise ? et Que fait-on dans les premières heures d’une cyberattaque ?.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Pour préparer votre liste de contacts et votre organisation de crise, votre infogérant partenaire de Cyna est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Faut-il prévenir l'ANSSI pour toute cyberattaque ?

Pas nécessairement. Selon ses propres indications, le CERT-FR, rattaché à l'ANSSI, traite sur le plan technique les incidents de l'administration, des opérateurs d'importance vitale et des entités essentielles et importantes. Une PME ou une collectivité peut s'adresser à son CSIRT territorial ou passer par 17cyber.gouv.fr.

Le CERT-FR peut-il recevoir ma plainte ?

Non. Le CERT-FR précise lui-même qu'il n'est pas un service de justice ou de police recevant des plaintes. La plainte se dépose au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République.

Que dit le RGPD sur l'information en cas de fuite de données chez un prestataire ?

L'article 33, paragraphe 2, du RGPD prévoit qu'un « sous-traitant » informe le « responsable du traitement » de toute violation de données personnelles dans les meilleurs délais. Le rôle de chacun dans votre situation dépend de vos contrats : votre conseil juridique peut le préciser.

Faut-il payer la rançon pour récupérer ses données ?

Cybermalveillance.gouv.fr recommande de ne pas payer : rien ne garantit la restitution des données ni leur non-divulgation. Voir La réponse à incident inclut-elle la restauration des données ?.