Cyberattaque au cabinet : les 72 heures qui comptent, et le plan de continuité

Sommaire

1. Ce qui s'applique vraiment à un cabinet de 3 à 50 personnes
2. Trois horloges partent en même temps
3. Le plan de continuité qui tient sur deux pages
4. Prévenir les clients sans aggraver le dossier
5. Répéter une fois par an, en quatre-vingt-dix minutes
6. Questions fréquentes

Un lundi matin, le gestionnaire sinistres n'ouvre plus aucun fichier du serveur : les noms se terminent tous par une extension inconnue. Ou bien un collaborateur se fait voler son compte Facebook personnel pendant le week-end, et le cabinet découvre que ce compte était le seul administrateur du portefeuille Meta — donc du numéro WhatsApp par lequel passent les trois quarts des échanges clients. Dans les deux cas, les premières heures partent intégralement dans la technique : on débranche, on appelle le prestataire, on cherche les sauvegardes. Pendant ce temps, trois délais juridiques ont déjà commencé à courir, et aucun ne se déclenche à la fin de l'intervention informatique : ils partent tous du moment où le cabinet a eu connaissance de l'incident.

Ce qui s'applique vraiment à un cabinet de 3 à 50 personnes

Avant de commander un audit, il faut savoir ce que l'on doit. Deux textes très commentés ne concernent probablement pas votre cabinet.

DORA — le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier — exclut expressément de son champ, à son article 2, paragraphe 3, point e), les intermédiaires d'assurance, de réassurance et d'assurance à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises au sens de son article 3. Un cabinet indépendant de quelques dizaines de personnes est, dans l'immense majorité des cas, hors du périmètre. La nuance à connaître : les seuils s'apprécient sur l'activité de l'entité juridique dans son ensemble, pas sur la seule part assurance, ce qui peut faire basculer un cabinet adossé à un groupe plus large.

NIS 2 — la directive (UE) 2022/2555 — vise dix-huit secteurs, mais renvoie les entités financières à DORA, et sa transposition française n'était toujours pas promulguée à la fin de l'été 2026, le projet de loi « résilience » étant encore en navette parlementaire. Autrement dit : ce n'est pas là que se trouvent vos obligations du jour.

Ce qui s'applique, en revanche, s'applique déjà :

• Le RGPD, article 32 (sécurité adaptée au risque), article 33 (notification de la violation à l'autorité de contrôle) et article 34 (information des personnes concernées). En France, la CNIL ; en Belgique, l'APD ; au Luxembourg, la CNPD.
• L'article L. 12-10-1 du Code des assurances, issu de la loi LOPMI du 24 janvier 2023 et en vigueur depuis le 24 avril 2023 : le versement d'une indemnité au titre d'une garantie cyber est subordonné au dépôt d'une plainte de la victime au plus tard 72 heures après la connaissance de l'atteinte. Le texte vise les personnes morales et les professionnels, et il est d'ordre public — il s'applique même s'il n'est pas recopié dans votre police.
• En Suisse, l'article 24 de la nLPD : annonce au PFPDT « dans les meilleurs délais », avec un seuil différent du RGPD — il faut un risque élevé pour la personnalité ou les droits fondamentaux, là où le RGPD déclenche la notification dès qu'un risque existe.
• Vos obligations d'intermédiaire, enfin : un cabinet qui ne peut plus déclarer un sinistre ni joindre ses clients pendant une semaine ne manque pas seulement à son informatique, il manque à son devoir de service.

Trois horloges partent en même temps

Le réflexe utile, le jour J, est d'écrire l'heure de découverte sur un papier, avec la personne qui a découvert et ce qu'elle a vu. Tout le reste se compte à partir de là.

Horloge	Point de départ	Délai	Ce qui se joue
Plainte pénale	Connaissance de l'atteinte au système	72 heures	Condition légale de l'indemnisation par la garantie cyber (art. L. 12-10-1)
Notification à l'autorité (CNIL, APD, CNPD)	Connaissance de la violation	72 heures si un risque existe	Notification initiale possible, puis complémentaire quand l'analyse avance ; tout retard doit être motivé
Information des personnes concernées	Constat d'un risque élevé	Dans les meilleurs délais	Message compréhensible, nature de la violation, conséquences probables, mesures et contact
Déclaration à vos propres assureurs (cyber, RC pro)	Connaissance du sinistre	Celui du contrat, jamais inférieur à cinq jours ouvrés	Déclenchement de l'assistance et prise en charge des frais

Deux pièges classiques. Le premier : croire qu'un rançongiciel qui chiffre sans exfiltrer n'est pas une violation de données — la perte de disponibilité en est une, et un fichier clients inaccessible pendant dix jours produit un risque réel pour les assurés en cours de sinistre. Le second : attendre d'avoir tout compris pour notifier. La CNIL admet une notification initiale suivie d'une notification complémentaire ; l'incertitude n'est pas une excuse, elle est un motif de notifier en deux temps.

Le plan de continuité qui tient sur deux pages

Un cabinet de courtage n'a pas besoin d'un plan de continuité de cinquante pages. Il a besoin d'un document que n'importe qui peut sortir d'un tiroir, imprimé, avec huit rubriques.

1. Qui décide et qui parle. Un nom, un suppléant, et les numéros de portable personnels — sur papier, parce que l'annuaire est dans le système qui est tombé.
2. L'annuaire client hors ligne. Un export régulier des clients, contrats et dates d'échéance, chiffré et stocké hors du système courant. C'est ce qui permet de prévenir un portefeuille quand plus rien ne fonctionne.
3. Les accès Meta. Au moins deux administrateurs du portefeuille professionnel, la validation en deux étapes activée, et un numéro WhatsApp enregistré au nom du cabinet, pas sur la ligne d'un collaborateur. Le compte WhatsApp Business (WABA) porte le nom affiché, la note de qualité et les limites d'envoi : le perdre, c'est perdre l'historique de réputation, pas seulement un mot de passe.
4. Le canal de repli vers les clients. Une page du site que l'on peut mettre à jour depuis l'extérieur, un message type déjà rédigé, et la règle claire : on informe, on ne demande rien.
5. Les sauvegardes, testées. Une sauvegarde dont la restauration n'a jamais été essayée est une hypothèse, pas une sauvegarde. La règle habituelle — plusieurs copies, dont une hors ligne et une hors site — ne vaut que si la restauration a été chronométrée au moins une fois.
6. Les prestataires. Hébergeur, éditeur du logiciel de gestion, infogérant, avec le contact d'astreinte et la référence du contrat de sous-traitance : ce sont eux qui devront vous fournir les éléments de la notification.
7. Vos polices. Numéro d'assistance cyber, plafond, franchise, garanties RC professionnelle — et la ligne « plainte sous 72 heures » surlignée.
8. Le registre des violations. Il est obligatoire même pour les incidents que vous décidez de ne pas notifier, et c'est lui qui documentera votre décision si elle est contestée plus tard.

Prévenir les clients sans aggraver le dossier

Le message aux assurés est un exercice de sobriété. Il dit ce qui s'est passé, ce qui est ou n'est pas concerné, ce que le cabinet fait, et par quel canal joindre quelqu'un en attendant. Il ne demande jamais de renvoyer un RIB, une pièce d'identité ou un mot de passe : une cyberattaque contre un intermédiaire est immédiatement suivie de tentatives d'usurpation, et un client habitué à envoyer ses documents par messagerie est une cible facile. Précisez ce point noir sur blanc dans le message.

C'est aussi le moment où l'on mesure l'intérêt d'avoir sorti la relation client du téléphone personnel des collaborateurs. Quand les conversations vivent dans une inbox partagée côté plateforme — c'est le principe d'ORIS, avec l'historique, le consentement WhatsApp et l'export CSV du portefeuille —, le départ d'un poste de travail ou d'un mobile ne fait pas disparaître la mémoire du dossier. À l'inverse, un fil resté sur un appareil chiffré par un rançongiciel est perdu pour tout le monde, y compris pour prouver le conseil donné. Le sujet rejoint celui des durées de conservation des conversations et des pièces d'un dossier client.

Répéter une fois par an, en quatre-vingt-dix minutes

L'exercice est simple : on choisit un scénario (rançongiciel, compte Meta perdu, messagerie compromise), on lit le plan à voix haute, et on vérifie trois choses. Les numéros sont-ils à jour ? L'export hors ligne date-t-il de moins d'un mois ? Les comptes des collaborateurs partis ont-ils bien été fermés — sujet qui recoupe la reprise des conversations au départ d'un collaborateur ? La plupart des incidents graves dans les petites structures ne viennent pas d'un logiciel exotique, mais d'un accès resté ouvert et d'une sauvegarde jamais testée. Les autres sujets d'organisation du cabinet sont regroupés dans le thème organisation du blog.

Questions fréquentes

Mon cabinet est-il soumis à DORA ?

Probablement pas. L'article 2, paragraphe 3, du règlement (UE) 2022/2554 exclut les intermédiaires d'assurance et de réassurance qui sont des microentreprises ou des petites ou moyennes entreprises. Vérifiez vos effectifs, votre chiffre d'affaires et votre total de bilan sur l'entité juridique entière : c'est cette appréciation globale, et non la seule activité d'intermédiation, qui détermine le dépassement des seuils.

Faut-il porter plainte même si on ne demande rien à l'assureur cyber ?

C'est plus prudent. La plainte sous 72 heures conditionne l'indemnisation, et une déclaration de sinistre peut devenir nécessaire plus tard, quand l'ampleur réelle de l'attaque apparaît. Déposer plainte tôt coûte peu ; ne pas l'avoir fait est irrattrapable si une garantie doit finalement jouer.

Un rançongiciel qui chiffre sans voler de données doit-il être notifié ?

Le chiffrement de données personnelles par un tiers constitue une violation par perte de disponibilité. La notification s'impose dès lors qu'un risque existe pour les personnes concernées — un portefeuille d'assurés privés de la gestion de leurs sinistres en est un. Si vous concluez à l'absence de risque, documentez ce raisonnement dans le registre des violations.

Que faire si le cabinet perd l'accès à son compte WhatsApp Business ?

La récupération passe par les procédures de Meta et par l'administrateur restant du portefeuille professionnel : c'est la raison pour laquelle il en faut toujours deux, avec la validation en deux étapes. Prévoyez en parallèle un canal de repli déjà connu des clients, et ne communiquez jamais de nouveau numéro depuis un compte dont vous n'avez pas repris le contrôle.

Combien de temps conserve-t-on les traces d'un incident ?

Aussi longtemps que dure le risque contentieux qu'il crée : le registre des violations, les journaux techniques et les échanges avec l'autorité de contrôle doivent survivre au dossier lui-même. Alignez cette durée sur celle que vous appliquez déjà aux preuves du conseil, et purgez à date, pas « quand on y pensera ».