La loi LOPMI du 24 janvier 2023 pose une condition à l’indemnisation d’une cyberattaque par votre assurance. Depuis le 24 avril 2023, l’assureur ne verse l’indemnité que si la victime a déposé plainte dans les 72 heures suivant la découverte de l’atteinte. Ce délai est fixé par l’article L. 12-10-1 du Code des assurances.
LOPMI signifie Loi d’Orientation et de Programmation du Ministère de l’Intérieur.
Que prévoit la loi LOPMI pour l’assurance cyber ?
Comment fonctionne le délai de 72 heures ?
La règle s’applique depuis le 24 avril 2023, soit trois mois après la promulgation de la loi. Le délai de 72 heures court à partir de la connaissance de l’atteinte par la victime. Le texte ne définit pas cette notion. Notez le jour et l’heure de la détection de l’incident, avec l’élément qui l’atteste (alerte de sécurité ou message de rançon).
Le texte fait de la plainte une condition du versement de l’indemnité. Sans plainte dans le délai, l’assureur peut refuser la prise en charge, même si le contrat couvre l’attaque.
Où et comment déposer plainte en cas de cyberattaque ?
Deux voies existent : se rendre dans un commissariat ou une brigade de gendarmerie pour obtenir un procès-verbal, ou écrire au procureur de la République par lettre recommandée avec accusé de réception, en conservant la preuve d’envoi.
La plainte en ligne de Ma Sécurité décrit un champ limité. Selon la fiche officielle du ministère de l’Intérieur mise à jour le 5 janvier 2026, il couvre le vol, le cambriolage, la dégradation d’un bien et certaines escroqueries hors internet. Les cyberattaques n’y figurent pas. Le dispositif 17 Cyber de Ma Sécurité aide à qualifier l’attaque, puis recommande de déposer plainte.
Une personne morale agit par son dirigeant ou un mandataire. Prévoyez un extrait Kbis et un pouvoir si le dirigeant ne se déplace pas.
Notre fiche réflexe cyberattaque réunit les cinq réflexes à suivre suite à une cyberattaque, avec un modèle de lettre au procureur. Les deux fichiers sont gratuits et téléchargeables sans inscription sur notre page dédiée.
Kit cyberattaque : 2 fichiers gratuits, sans inscription
La fiche réflexe en PDF
Le modèle de lettre au procureur en Word
Comment déclarer un sinistre cyber à son assureur ?
Déclarez le sinistre à votre assureur dès la découverte de l’attaque, et déposez plainte dans le délai de 72 heures. Ce sont deux démarches distinctes.
Votre contrat cyber peut inclure une assistance joignable 24 heures sur 24. Ses coordonnées figurent dans les conditions particulières, accessibles dans votre espace client Onlynnov. Votre expert Onlynnov reste disponible pour vous guider dans la déclaration.
Si l’attaque touche des données personnelles, la notification à la CNIL est une autre démarche, avec son propre délai. Elle ne remplace pas la plainte.
L’assurance cyber est-elle obligatoire en France ?
La LOPMI ne rend pas l’assurance cyber obligatoire. Elle fixe une condition au paiement de l’indemnité lorsqu’un contrat existe.
Pour une entreprise tech, l’enjeu se joue avant le sinistre : un contrat calibré pour votre activité et une assistance prête à agir dans les 72 heures. Onlynnov, courtier spécialisé dans les entreprises tech, construit cette protection avec vous. Le détail des garanties se trouve dans notre guide de l’assurance des risques cyber.
Votre contrat d’assurance cyber est-il dimensionné pour votre activité et votre exposition ?
Questions fréquentes sur la loi LOPMI et la plainte sous 72 heures
Quel est le délai pour porter plainte après une cyberattaque ?
Le délai est de 72 heures au plus tard après la connaissance de l’atteinte par la victime, selon l’article L. 12-10-1 du Code des assurances. Il s’applique aux entreprises et aux professionnels dont le contrat d’assurance couvre les pertes et dommages liés à une atteinte à un système informatique.
Que se passe-t-il si la plainte est déposée après 72 heures ?
L’article L. 12-10-1 subordonne le versement de l’indemnité à une plainte déposée dans ce délai. Passé le délai, l’assureur peut refuser la prise en charge. Informez votre assureur et votre courtier sans attendre : la suite dépend de votre contrat et de votre situation.
La plainte en ligne via Ma Sécurité suffit-elle ?
La fiche officielle de Ma Sécurité, mise à jour le 5 janvier 2026, décrit une plainte en ligne limitée au vol, au cambriolage, à la dégradation d’un bien et à certaines escroqueries hors internet. Pour une cyberattaque, déposez plainte en commissariat ou en gendarmerie, ou écrivez au procureur de la République par lettre recommandée.
La notification à la CNIL remplace-t-elle la plainte ?
Non. La notification d’une violation de données personnelles à la CNIL relève de l’article 33 du RGPD, qui prévoit 72 heures au plus tard lorsque c’est possible. Elle répond à une autre obligation et s’adresse à une autre autorité. La plainte de l’article L. 12-10-1 reste nécessaire pour l’indemnisation.
L’assurance cyber est-elle obligatoire en France ?
La LOPMI ne l’impose pas. Elle conditionne l’indemnisation, lorsqu’un contrat cyber existe, au dépôt d’une plainte dans les 72 heures. Souscrire reste un choix de gestion des risques de l’entreprise.
