Cyberattaque en Entreprise : les Nouveaux Délais de Notification à Respecter en 2026

Article mis à jour le 27 août 2026. Le cadre NIS2 étant encore en cours de transposition en France, certains éléments (calendrier, sanctions) sont susceptibles d’évoluer d’ici la promulgation définitive de la loi.

En cas de cyberattaque, une entreprise doit d’abord isoler les systèmes touchés et alerter son support informatique. Vient ensuite l’étape que beaucoup de dirigeants sous-estiment : les obligations légales de notification. Si des données personnelles sont concernées, la CNIL doit être prévenue sous 72 heures. Si l’entreprise entre dans le champ de la nouvelle directive européenne NIS2, un second calendrier s’ajoute : alerte à l’ANSSI sous 24 heures, notification complète sous 72 heures, puis rapport final sous un mois. Ce guide détaille la marche à suivre complète et les délais 2026 à connaître.

Sommaire

• Les premiers réflexes face à une cyberattaque
• Le délai de 72 heures pour notifier la CNIL
• NIS2 : le nouveau calendrier de notification à l’ANSSI
• CNIL et NIS2 en même temps : comment s’y retrouver
• Les autres démarches à ne pas oublier
• Anticiper plutôt que subir
• Questions fréquentes

Les premiers réflexes face à une cyberattaque

Avant même de penser aux obligations légales, il faut contenir l’incident. Les toutes premières heures conditionnent l’ampleur des dégâts.

• Isoler les machines touchées du réseau, sans les éteindre si possible, pour préserver les preuves techniques.
• Alerter le service informatique ou le prestataire en charge de la sécurité du système d’information.
• Identifier l’origine et l’étendue de l’attaque : quels serveurs, quelles données, quels comptes sont concernés.
• Changer les mots de passe des comptes sensibles et couper les accès distants suspects.
• Conserver une copie des équipements touchés avant toute réinstallation, pour l’enquête et l’assurance.

Cette étape de qualification technique est aussi celle qui permet de savoir si vous êtes réellement victime d’un piratage. Certains signaux doivent alerter avant même la confirmation d’un incident : les signes qui montrent qu’une entreprise a été piratée sont souvent visibles plusieurs heures, voire plusieurs jours, avant la découverte officielle de l’attaque.

C’est cette phase de constatation qui fait démarrer le compteur des obligations de notification, RGPD comme NIS2. D’où l’intérêt de la documenter précisément, avec horodatage.

Cyberattaque entreprise que faire : le délai de 72 heures pour notifier la CNIL

Dès qu’une cyberattaque touche des données personnelles (fichiers clients, RH, comptables), elle constitue une violation de données au sens du RGPD. Un rançongiciel qui chiffre une base de données, une intrusion dans les dossiers salariés ou un défacement de site avec exfiltration de formulaires entrent tous dans ce cadre.

Le responsable de traitement doit alors documenter l’incident dans un registre interne et le notifier à la CNIL au plus tard dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation ne présente aucun risque pour les droits et libertés des personnes concernées (CNIL).

Comment fonctionne le compteur des 72 heures

Le délai démarre à la constatation de la violation, pas à sa survenue réelle. Une attaque déclenchée un vendredi soir compte donc ses 72 heures dès que l’équipe technique en a connaissance, week-ends et jours fériés inclus.

Notification en deux temps : ce que permet la CNIL

Toutes les informations ne sont pas toujours disponibles immédiatement. La CNIL accepte une notification en deux temps : une déclaration initiale dans les 72 heures, puis un complément une fois l’investigation terminée (CNIL). Si le délai est malgré tout dépassé, l’entreprise doit justifier ce retard directement dans le téléservice de notification.

Si le risque pour les personnes concernées est élevé, elles doivent en plus être informées individuellement et sans délai, en langage clair, conformément à l’article 34 du RGPD.

NIS2 : le nouveau calendrier de notification à l’ANSSI

Depuis la directive européenne NIS2 (directive 2022/2555), un second régime de notification s’applique à certaines entreprises, en parallèle du RGPD. Sa transposition en droit français, portée par le projet de loi relatif à la résilience des infrastructures critiques, a pris beaucoup de retard : la France a dépassé l’échéance européenne du 17 octobre 2024, et le texte n’est toujours pas promulgué à l’été 2026 (ANSSI).

Ce retard législatif ne dispense toutefois pas de s’y préparer. Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF), un document de travail qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2, en attendant son caractère obligatoire une fois la loi promulguée. Les entités concernées peuvent d’ores et déjà vérifier leur éligibilité et se pré-enregistrer sur la plateforme MonEspaceNIS2 de l’ANSSI.

Qui est concerné par NIS2 en France

Le changement d’échelle est important. Sous l’ancienne directive NIS1, environ 500 opérateurs français étaient concernés. Avec NIS2, l’ANSSI estime le nombre d’entités entrant dans le champ entre 15 000 et 18 000, réparties en 18 secteurs d’activité (Legiscope). L’article 34 de la directive fixe des plafonds de sanction différenciés : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial pour les entités importantes (ANSSI). Une PME peut être concernée indirectement si elle fait partie de la chaîne d’approvisionnement d’une entité régulée, via des clauses contractuelles imposées par ses donneurs d’ordre.

Le mécanisme en trois étapes : 24 heures, 72 heures, un mois

Pour tout incident important, la directive NIS2 impose un dispositif en trois temps :

• Alerte précoce sous 24 heures après la prise de connaissance de l’incident, pour signaler l’événement, préciser s’il paraît d’origine malveillante et s’il présente un impact transfrontalier.
• Notification circonstanciée sous 72 heures, avec une première évaluation de la gravité et de l’impact.
• Rapport final sous un mois, détaillant l’analyse complète et les mesures correctives mises en place.

Contrairement à une idée reçue, l’alerte à 24 heures n’exige pas une analyse complète de l’incident. Elle sert uniquement à signaler l’événement et ses grandes caractéristiques, pas à produire un rapport d’enquête détaillé (Monsieur Courtier). Beaucoup d’entreprises perdent un temps précieux à vouloir tout documenter avant de notifier, alors que la procédure est pensée pour être progressive.

CNIL et NIS2 en même temps : comment s’y retrouver

Une même cyberattaque peut déclencher les deux obligations simultanément. Un rançongiciel qui touche à la fois des données personnelles et le système d’information d’une entité régulée NIS2 impose alors une notification à la CNIL sous 72 heures et une alerte à l’ANSSI (ou au CERT-FR) sous 24 heures, puis 72 heures pour le rapport complémentaire (Directive NIS2).

Ces deux régimes ne se remplacent pas : ils répondent à des logiques différentes. Le RGPD protège les personnes dont les données sont traitées. NIS2 vise la résilience des systèmes d’information critiques pour l’économie et la société. Une entreprise peut donc être soumise à l’un, à l’autre, aux deux, ou à aucun des deux, selon son secteur, sa taille et la nature de l’incident.

En pratique, la méthode la plus sûre consiste à qualifier l’incident dès sa découverte, sur deux axes : y a-t-il des données personnelles concernées, et l’entreprise entre-t-elle dans le champ NIS2 (directement ou via un client donneur d’ordre) ? Cette double lecture évite d’oublier une notification obligatoire.

Un cas mérite une attention particulière : celui du sous-traitant informatique. Quand une cyberattaque touche un prestataire qui héberge ou traite des données pour le compte de plusieurs clients, il doit non seulement notifier sa propre violation si ses propres données sont exposées, mais aussi accompagner chacun de ses clients dans leur propre notification, ces derniers restant responsables de traitement au sens du RGPD (CNIL).

Les autres démarches à ne pas oublier

Au-delà des notifications réglementaires, plusieurs démarches complètent la réponse à une cyberattaque :

• Dépôt de plainte auprès du commissariat, de la gendarmerie, ou de la section spécialisée en cybercriminalité du tribunal judiciaire de Paris pour les dossiers les plus sensibles.
• Information des personnes concernées (clients, salariés) si leurs données ont été compromises, avec des recommandations concrètes comme le changement de mots de passe.
• Vérification des obligations contractuelles envers certains clients ou partenaires, qui peuvent exiger une notification même en dehors du cadre légal strict.
• Contact avec l’assureur cyber si l’entreprise dispose d’une police d’assurance couvrant ce type de risque.

Anticiper plutôt que subir

La gestion d’une cyberattaque se joue en grande partie avant qu’elle ne survienne. Un plan de réponse à incident déjà rédigé, des contacts identifiés et un registre de traitement à jour permettent de gagner un temps précieux quand les délais légaux commencent à courir.

C’est aussi pour cette raison que de plus en plus de PME structurent leur démarche en amont, avec un accompagnement en cybersécurité dédié aux entreprises, plutôt que de découvrir ces obligations le jour où l’incident survient.

Questions fréquentes