Notifier un incident : CNIL sous 72 heures, ANSSI, NIS 2, plainte

Après un incident de sécurité, la loi impose parfois de prévenir des autorités ou des personnes, dans des délais courts : la CNIL sous 72 heures en cas de violation de données personnelles, les personnes concernées si le risque est élevé, l'ANSSI pour certains opérateurs, et la police ou la gendarmerie par une plainte, condition de l'indemnisation par l'assureur. Ce chapitre explique comment reconnaître une violation de données, décider qui notifier, calculer les délais, et où en est la directive européenne NIS 2 en France.

Qu'est-ce qu'une violation de données personnelles ?

Le RGPD (article 4) définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données (le RGPD en détail). On en distingue trois types, qui reprennent les critères de sécurité.

Les trois obligations du responsable de traitement

Le responsable de traitement, c'est l'organisation qui décide pourquoi et comment les données sont traitées : ici, les Ateliers Morvan. Face à une violation, le RGPD lui impose trois niveaux d'obligation.

1. Documenter toute violation, sans exception, dans un registre des violations interne (article 33, paragraphe 5) : les faits, leurs effets, les mesures prises, et la justification de la décision de notifier ou non. La CNIL peut demander ce registre lors d'un contrôle.
2. Notifier la CNIL, si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, dans les meilleurs délais et si possible 72 heures au plus tard après en avoir pris connaissance (article 33). Seule une violation improbable de créer un risque échappe à la notification.
3. Informer les personnes concernées, dans les meilleurs délais, si le risque est élevé (article 34), en termes clairs : nature de la violation, conséquences probables, mesures prises, conseils (changer son mot de passe, se méfier des courriels frauduleux), contact du DPO.

L'information des personnes n'est pas requise dans trois cas : les données étaient rendues incompréhensibles (chiffrement solide dont la clé n'a pas fuité) ; des mesures prises ensuite ont fait disparaître le risque élevé ; ou l'information individuelle demanderait des efforts disproportionnés, auquel cas on fait une communication publique.

Évaluer le risque. On regarde la nature des données (données de santé, bancaires, pièces d'identité, mots de passe : risque plus fort), leur volume, la facilité à identifier les personnes, les conséquences possibles (usurpation d'identité, fraude, hameçonnage ciblé, discrimination, atteinte à la réputation), la vulnérabilité des personnes (enfants, patients), et les protections en place (chiffrement, mots de passe hachés avec un algorithme robuste).

Ce que contient la notification. Le téléservice de la CNIL demande : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du DPO, les conséquences probables et les mesures prises ou envisagées. Si tout n'est pas connu, on fait une notification initiale dans les 72 heures, puis une notification complémentaire. Une notification au-delà de 72 heures doit expliquer les raisons du retard.

Le sous-traitant (l'hébergeur du site, l'éditeur qui gère la paie en ligne) prévient son client, responsable du traitement, dans les meilleurs délais après avoir pris connaissance de la violation. C'est le client qui reste responsable de la notification à la CNIL, même si le contrat peut charger le sous-traitant de l'envoyer en son nom.

Le non-respect de ces obligations expose à une amende administrative jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83), sans compter les conséquences pour les personnes et la réputation.

ANSSI, CERT-FR et NIS 2

Le signalement volontaire. Toute organisation victime peut signaler un incident à l'ANSSI, par le CERT-FR. Les PME et les collectivités passent plus souvent par 17Cyber (le guichet unique de l'État), leur CSIRT régional ou un prestataire.

Les obligations actuelles. Deux catégories d'organisations doivent déjà déclarer leurs incidents significatifs à l'ANSSI :

• les opérateurs d'importance vitale (OIV), désignés par l'État, au titre du Code de la défense depuis la loi de programmation militaire de 2013 ;
• les opérateurs de services essentiels (OSE), au titre de la loi n° 2018-133 du 26 février 2018, qui a transposé la première directive européenne NIS : ils déclarent sans délai les incidents qui ont, ou peuvent avoir, un impact significatif sur la continuité de leurs services.

La directive NIS 2. La directive (UE) 2022/2555, dite NIS 2, élargit fortement ces obligations : elle vise des milliers d'entités « essentielles » et « importantes » dans de nombreux secteurs (énergie, transports, santé, eau, numérique, administrations, gestion des déchets, industrie manufacturière, alimentation, services postaux…), y compris des entreprises moyennes. Son article 23 impose, pour un incident important, trois étapes de signalement à l'autorité nationale ou au CSIRT :

L'état de la transposition en France. Les États membres devaient transposer NIS 2 avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2 avec deux autres textes européens (la directive sur la résilience des entités critiques et un volet de DORA, pour le secteur financier), a été présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, puis examiné par une commission spéciale de l'Assemblée nationale en septembre 2025. Au 1er novembre 2026, il n'est toujours pas définitivement adopté : son examen en séance publique à l'Assemblée a de nouveau été reporté début octobre 2026. Les obligations de NIS 2 ne s'appliquent donc pas encore en droit français ; elles s'appliqueront après la promulgation de la loi et la publication de ses décrets. L'ANSSI, désignée autorité nationale, tient sur son site MonEspaceNIS2 une page sur l'avancement de la transposition : vérifie-la avant ton examen.

Porter plainte

Une cyberattaque est une infraction. Les atteintes aux systèmes de traitement automatisé de données sont réprimées par les articles 323-1 et suivants du Code pénal : accéder ou se maintenir frauduleusement dans un système est puni de trois ans d'emprisonnement et de 100 000 euros d'amende, et les peines augmentent quand l'accès a modifié ou supprimé des données, ou entravé le fonctionnement du système.

• Qui porte plainte ? L'organisation victime, par son représentant légal ou une personne qu'il mandate.
• Où ? Au commissariat, à la gendarmerie, ou par écrit au procureur de la République. 17Cyber oriente les victimes et aide à préparer la démarche.
• Avec quoi ? La main courante, la chronologie, les preuves préservées, les indicateurs de compromission, une estimation du préjudice.

L'assurance impose un délai. Depuis le 24 avril 2023, l'article L12-10-1 du Code des assurances, créé par la loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI), subordonne l'indemnisation des pertes causées par une atteinte à un système d'information au dépôt d'une plainte au plus tard 72 heures après la connaissance de l'atteinte. La règle vaut pour les personnes morales et pour les personnes physiques dans le cadre de leur activité professionnelle. Une pré-plainte en ligne ne suffit pas.

Communiquer

La communication fait partie de la réponse. Elle se décide en cellule de crise, avec la direction, le juridique et le DPO.

• En interne : informer les salariés de ce qu'ils doivent faire et ne pas faire (ne pas brancher de clé USB, signaler tout courriel étrange, ne pas parler à la presse), par un canal qui ne dépend pas du système attaqué (SMS, affichage, réunion).
• Vers les clients et partenaires : être factuel, ne pas minimiser ni spéculer, donner des consignes utiles. Après une fuite, les fraudeurs envoient souvent de faux courriels « de la part de » l'entreprise victime : prévenir les clients de cette arnaque est une vraie mesure de protection.
• Vers la presse : un porte-parole unique, des messages validés.

Récapitulatif : qui prévenir, quand

Exemple : la décision aux Ateliers Morvan

Le 13 octobre à 7 h 40, Mehdi prend connaissance de l'intrusion sur srv-web. La base du site, hébergée sur la même machine virtuelle, contient les comptes de 18 400 clients : nom, adresse postale, courriel, téléphone, historique des commandes et mot de passe haché avec bcrypt. Aucune donnée bancaire : les paiements passent par un prestataire. L'attaquant a eu les droits root pendant près de cinq heures. Rien ne prouve qu'il a copié la base, mais rien ne permet de l'exclure. Le même matin, une injection SQL automatisée a visé produit.php (chapitre 3) : elle aussi a pu permettre de lire la table des clients.

La cellule de crise (Claire Vasseur, la direction, le DPO externe) décide :

• registre : la violation y est inscrite le jour même ;
• CNIL : une atteinte possible à la confidentialité de 18 400 personnes n'est pas « improbable de créer un risque » (hameçonnage ciblé à partir des coordonnées et de l'historique d'achats). Notification initiale le 14 octobre, avant l'échéance du 16 octobre à 7 h 40, puis notification complémentaire après l'analyse du prestataire ;
• personnes concernées : le risque n'est pas jugé élevé (pas de données sensibles ni bancaires, mots de passe hachés avec un algorithme robuste), mais la direction choisit d'informer les clients par précaution, avec deux consignes : changer son mot de passe et se méfier des courriels qui se réclament des Ateliers Morvan ; elle force aussi le renouvellement des mots de passe à la prochaine connexion ;
• plainte : déposée à la gendarmerie le 14 octobre, avant l'échéance de 72 heures prévue par le Code des assurances, puis déclaration à l'assureur.

À l'E7

• SLAM, métropole 2025 (U7), cas Casterman : la question A2.3 part d'une base de données dont les données personnelles ne sont pas sensibles. La responsable estime qu'une violation présenterait un risque mineur pour les personnes et demande qui doit obligatoirement être informé de la violation, et dans quel document elle doit obligatoirement être consignée.
• SISR, métropole 2026 (U7), cas SPARCLE : après une attaque par rançongiciel qui a rendu illisibles les données des clients, des fournisseurs, des salariés et de la paie, la question A2.2 demande si l'incident entraîne des obligations légales pour l'entreprise, avec justification.

Pour ce type de question, raisonne en trois temps : y a-t-il des données personnelles touchées, et quel critère (C, I ou D) ? ; quel niveau de risque pour les personnes ? ; donc quelles obligations (registre, CNIL sous 72 heures, information des personnes), avec les articles du RGPD. Ajoute la plainte et, s'il y a un assureur, le délai de 72 heures du Code des assurances.

Pour aller plus loin. La notion de violation de données, le registre des violations et les sanctions de la CNIL sont développés dans le chapitre Violation de données, notification et sanctions du cours Droit et RGPD, et les infractions pénales à citer dans une plainte dans le chapitre Cybercriminalité.

Exercices

Exercice 1 sur 4 Violation ou pas ? Réussi À revoir

Dis si chaque situation est une violation de données personnelles et, si oui, de quel type.

1. Un commercial perd dans le train une clé USB non chiffrée contenant la liste des clients professionnels avec les noms et téléphones des acheteurs.
2. Un rançongiciel chiffre le serveur de fichiers, dont le dossier des fiches de paie ; une sauvegarde de la veille permet de tout restaurer en six heures.
3. Le site web est inaccessible pendant deux heures à cause d'une attaque par déni de service ; aucune donnée n'est touchée.
4. Une assistante envoie à tous les candidats d'un recrutement un courriel dont les adresses de tous les candidats sont visibles en copie.

Voir la réponseMasquer la réponse de l'exercice 1

1. Oui, atteinte à la confidentialité (perte d'un support non chiffré : des données ont pu être consultées par un tiers). Les noms et téléphones d'acheteurs sont des données personnelles, même dans un fichier de clients professionnels.
2. Oui, atteinte à la disponibilité (les fiches de paie ont été inaccessibles), et peut-être à la confidentialité si des fichiers ont été copiés avant le chiffrement, ce qu'il faut vérifier. La restauration rapide limite le risque, mais n'efface pas la violation : inscription au registre au minimum.
3. Non, si aucune donnée personnelle n'est touchée : c'est un incident de sécurité (disponibilité du service), pas une violation de données personnelles. Il peut néanmoins justifier une plainte.
4. Oui, atteinte à la confidentialité : chaque candidat connaît désormais l'identité des autres, une information qui peut leur porter préjudice (un salarié en poste qui cherche discrètement ailleurs).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Registre, CNIL, personnes concernées Réussi À revoir

Pour chaque violation, dis s'il faut l'inscrire au registre, la notifier à la CNIL et informer les personnes. Justifie.

1. Un courriel contenant le planning de l'équipe (prénoms et horaires de cinq salariés) part par erreur chez un fournisseur de confiance, qui confirme l'avoir supprimé sans le lire.
2. Une faille du site permet de télécharger toutes les factures des clients ; le journal montre 3 200 factures téléchargées par une adresse inconnue.
3. Un ordinateur portable volé contient les dossiers médicaux du service de santé au travail ; son disque est chiffré avec BitLocker et la clé n'était pas sur la machine.
4. Le fichier des salariés (noms, adresses, numéros de sécurité sociale, IBAN) est publié par un groupe d'attaquants sur un site de fuite.

Voir la réponseMasquer la réponse de l'exercice 2

1. Registre : oui, comme toujours. CNIL : non, la violation est improbable de créer un risque (données peu sensibles, destinataire de confiance qui a supprimé le message) ; on justifie cette décision dans le registre. Personnes : non.
2. Registre : oui. CNIL : oui, dans les 72 heures, risque avéré (identité, adresses, achats, montants). Personnes : très probablement oui, le risque est élevé (factures nominatives utilisables pour des fraudes ou un hameçonnage crédible, téléchargement massif par un inconnu).
3. Registre : oui. CNIL : le chiffrement solide, avec une clé hors de la machine, rend les données inintelligibles pour le voleur ; la violation de confidentialité est alors improbable de créer un risque, et la notification peut ne pas être nécessaire, décision à justifier. Mais la perte peut aussi être une violation de disponibilité si les dossiers n'existaient pas ailleurs. Personnes : non, grâce au chiffrement (c'est l'une des exceptions de l'article 34).
4. Registre : oui. CNIL : oui, dans les 72 heures. Personnes : oui, risque élevé (numéro de sécurité sociale et IBAN publiés : usurpation d'identité, fraude). Plainte également.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Calculer les délais Réussi À revoir

Une entreprise de transport prend connaissance d'une attaque le samedi 31 octobre 2026 à 22 h 15. Des données de clients ont été copiées.

1. Jusqu'à quand peut-elle notifier la CNIL ? Déposer plainte pour rester indemnisable par son assureur ?
2. Imagine que NIS 2 soit transposée et que l'entreprise soit une entité importante. Quelles seraient les échéances de l'alerte précoce et de la notification d'incident ? Celle du rapport final, si la notification d'incident est faite le dernier jour possible ?

Voir la réponseMasquer la réponse de l'exercice 3

1. CNIL : 72 heures après la prise de connaissance, week-end compris, soit le mardi 3 novembre 2026 à 22 h 15. Plainte pour l'assurance : même échéance, le mardi 3 novembre à 22 h 15 (72 heures après la connaissance de l'atteinte). En pratique, on notifie et on porte plainte bien avant.
2. Alerte précoce : 24 heures, soit le dimanche 1er novembre à 22 h 15. Notification d'incident : 72 heures, soit le mardi 3 novembre à 22 h 15. Rapport final : un mois après la notification d'incident, soit au plus tard le jeudi 3 décembre 2026.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Rédiger les éléments de la notification Réussi À revoir

À partir de l'exemple des Ateliers Morvan, liste les informations que Claire Vasseur porte dans la notification initiale à la CNIL, et celles qui viendront dans la notification complémentaire.

Voir la réponseMasquer la réponse de l'exercice 4

Notification initiale (avant le 16 octobre, 7 h 40) :

• nature de la violation : accès non autorisé avec les droits d'administration au serveur hébergeant le site et sa base de données, après une attaque par force brute sur un compte de déploiement ; atteinte possible à la confidentialité ;
• date et heure de l'incident (13 octobre, 3 h 00) et de la prise de connaissance (13 octobre, 7 h 40) ;
• catégories de personnes : clients du site de vente en ligne ; nombre approximatif : 18 400 ;
• catégories de données : identité, coordonnées (adresse, courriel, téléphone), historique de commandes, mots de passe hachés (bcrypt) ; pas de données bancaires ;
• conséquences probables : hameçonnage ciblé, tentatives de connexion avec les mots de passe s'ils étaient cassés ;
• mesures prises : accès SSH depuis Internet fermé, compte verrouillé, preuves préservées, persistances supprimées, réinitialisation forcée des mots de passe des clients, plainte ;
• mesures envisagées : information des clients, analyse par un prestataire ;
• coordonnées du DPO.

Notification complémentaire : conclusions du prestataire (la base a-t-elle été copiée ?), nombre exact de personnes concernées, date de l'information des clients et contenu du message, mesures de correction définitives (authentification SSH par clé uniquement, accès d'administration par VPN, correctifs des failles du site).

Tu avais trouvé ?

Oui, j'avais bonPas encore