Loi LOPMI : ce qui change pour la cybersécurité, et la règle des
72 heures

Mercredi, 7 h 40. Le dirigeant d'une PME industrielle de soixante salariés reçoit un appel de son responsable informatique : les serveurs de production ne répondent plus, une note de rançon s'affiche sur les postes, et un compte à rebours réclame un paiement en cryptomonnaie. La panique gagne. Personne, dans l'entreprise, ne pense à la seule horloge qui va vraiment peser sur la facture finale : celle des 72 heures ouvertes par la loi LOPMI pour porter plainte, sans quoi l'assureur cyber pourra refuser d'indemniser la rançon. Ce détail juridique, presque personne ne le connaît le jour de l'attaque. Il décide pourtant si l'entreprise sera couverte ou non.

La loi LOPMI n'est pas un texte de cybersécurité pur, loin de là. C'est d'abord une loi de programmation du ministère de l'Intérieur, avec des budgets, des effectifs et de la procédure pénale. Mais elle glisse au milieu une disposition qui touche directement toute organisation susceptible d'être rançonnée, c'est-à-dire à peu près tout le monde. Reste à comprendre ce que dit précisément la loi, à quoi sert cette fenêtre de 72 heures, qui elle vise, et surtout ce qu'il faut préparer avant pour ne pas la découvrir en pleine crise.

La loi LOPMI, au-delà de la cyber

Avant d'en venir à la règle qui nous intéresse, remettons le texte à sa place. LOPMI est l'acronyme de "loi d'orientation et de programmation du ministère de l'Intérieur". Comme toute loi de programmation, elle fixe un cap pluriannuel et des moyens : budgets, recrutements, équipements, transformation numérique des forces de l'ordre. La cybersécurité n'en est qu'un chapitre parmi d'autres, aux côtés de sujets qui n'ont rien à voir avec un SI d'entreprise.

Ce qui nous concerne ici, c'est le volet lutte contre la cybercriminalité. La loi renforce les moyens d'enquête et de poursuite, aménage des dispositions de procédure pénale adaptées aux infractions numériques, et cadre l'articulation entre les victimes, leurs assureurs et le dépôt de plainte. C'est de ce dernier point que découle la fameuse règle des 72 heures. Le reste du texte est important pour l'État et ses services, mais n'impose rien de particulier à une entreprise au quotidien.

La règle des 72 heures, précisément

Voici le mécanisme, sans le jargon. Une entreprise se fait chiffrer ses données, et l'attaquant réclame une rançon. Si cette entreprise dispose d'une assurance cyber qui couvre le versement des rançons, et si elle envisage de payer, alors la prise en charge de ce paiement par l'assureur est désormais conditionnée à une formalité : avoir déposé plainte auprès des autorités dans un délai de 72 heures à compter du moment où la victime a eu connaissance de l'infraction.

Deux précisions valent d'être posées clairement, parce qu'elles sont souvent mal comprises. D'abord, la loi ne rend pas le paiement de rançon obligatoire ni recommandé ; elle ne fait qu'encadrer les conditions dans lesquelles un assureur peut le rembourser. Ensuite, le point de départ du délai n'est pas la date de l'attaque, mais celle de sa connaissance par la victime. Une intrusion peut couver plusieurs semaines ; le compteur ne démarre qu'au moment où vous découvrez qu'une infraction a eu lieu, en pratique quand la note de rançon s'affiche ou qu'un signe clair de compromission apparaît.

Un point que beaucoup d'articles gomment : le rançongiciel est le cas emblématique, mais pas le seul visé. Le texte conditionne l'indemnisation des pertes et dommages causés par une atteinte à un système de traitement automatisé de données, au sens des articles 323-1 à 323-3-1 du code pénal. Le remboursement d'une rançon versée en est le cas le plus discuté, mais la même condition de plainte sous 72 heures s'applique à d'autres postes d'indemnisation liés à une cyberattaque prévus par le contrat.

À quoi sert cette fenêtre de 72 heures

On peut voir cette obligation comme une contrainte administrative de plus. Ce serait passer à côté de son intention. Le législateur poursuit deux objectifs assez nets, et ils tiennent debout.

Le premier est de tracer et dissuader. Longtemps, quantité d'attaques par rançongiciel n'ont jamais fait l'objet de la moindre plainte : la victime payait discrètement, ou encaissait la perte, et l'affaire ne remontait jamais aux services d'enquête. Résultat, les forces de l'ordre travaillaient à l'aveugle, sur une fraction infime du phénomène réel. En reliant l'indemnisation au dépôt de plainte, la loi pousse les victimes à signaler, alimente le renseignement judiciaire et rend l'écosystème criminel un peu moins confortable. Une plainte, c'est une trace : des indicateurs techniques, une adresse de portefeuille, un mode opératoire qui recoupe d'autres dossiers.

Le second objectif est de cadrer l'assurabilité du risque cyber. Le marché de l'assurance cyber a connu des années de turbulences, entre sinistralité qui explose et débat de fond sur l'opportunité même de couvrir le paiement des rançons. En posant une condition claire et vérifiable, l'État a voulu clarifier les règles du jeu : on peut assurer ce risque, mais dans un cadre qui impose la judiciarisation. C'est une manière de maintenir une couverture disponible tout en évitant qu'elle n'alimente en silence le business de l'extorsion.

Qui est concerné par la loi LOPMI

La bonne façon de répondre, c'est de distinguer qui est directementvisé par la règle des 72 heures et qui a intérêt à s'en préoccuper.

Autrement dit : la contrainte formelle ne s'impose qu'aux victimes qui veulent activer une clause "paiement de rançon" de leur police d'assurance. Mais dans les faits, tout le monde a intérêt à raisonner comme si la règle s'appliquait, parce que le jour où l'on est frappé, on ne sait pas encore si l'on paiera, et on ne veut surtout pas se fermer une option par simple négligence procédurale. Porter plainte vite ne coûte rien ; ne pas l'avoir fait peut coûter une indemnisation entière.

Ce que ça implique concrètement : préparer, pas improviser

Une règle assortie d'un délai de 72 heures ne se gère bien que si elle a été anticipée. En pleine crise, avec des serveurs à l'arrêt, une direction sous pression et une équipe technique qui court dans tous les sens, personne n'ouvre le code des assurances pour vérifier une échéance. Le travail se fait avant. Voici la chronologie type d'un incident, avec le moment où la plainte doit s'insérer.

Concrètement, trois chantiers se préparent en amont et transforment cette obligation en simple réflexe le jour venu.

Une procédure d'incident écrite et répétée

Un incident majeur ne se gère pas à l'instinct. Il faut un document court et opérationnel qui répond aux questions basiques : qui décide, qui alerte l'assureur, qui contacte le prestataire de réponse à incident, qui va porter plainte et où. Ce plan doit être connu de la direction, pas rangé dans un dossier que seul l'informatique a lu. Et il doit être répété, ne serait-ce qu'une fois par an autour d'une table, parce qu'un plan qu'on découvre le jour J est un plan qui échoue. C'est exactement la logique de préparation qu'on détaille dans notre guide sur le ransomware et la protection des PME.

Savoir porter plainte vite, et bien

Porter plainte pour une cyberattaque n'est pas exactement comme signaler un vol de vélo. Mieux vaut savoir à l'avance vers qui se tourner et quels éléments réunir. Repérez le service compétent (commissariat, gendarmerie, et selon les cas les services spécialisés en cybercriminalité), et préparez de quoi étayer : horodatage de la découverte, copie de la note de rançon, journaux pertinents, description des systèmes touchés. Le dispositif public cybermalveillance.gouv.fr oriente les victimes et aide à structurer la démarche. L'essentiel est de ne pas perdre un jour à chercher la bonne porte alors que le compteur tourne.

Connaître sa police d'assurance avant l'incident

Lisez votre contrat cyber pendant qu'il fait beau. Couvre-t-il le paiement de rançon ? À quelles conditions ? Quels justificatifs l'assureur attend-il, et sous quels délais ? Un contrat qui exige un dépôt de plainte et une notification rapide, c'est autant d'échéances à intégrer dans votre procédure. Cette lecture à froid évite la mauvaise surprise du "vous n'avez pas respecté la condition de l'article 5" au moment où vous en avez le plus besoin.

Loi LOPMI, NIS2, DORA : ne pas confondre les horloges

C'est le point qui embrouille le plus de dirigeants, parce que plusieurs textes agitent des délais voisins, souvent le même chiffre de 72 heures, mais pour des choses différentes. Distinguons-les proprement, car un même incident peut déclencher plusieurs obligations en parallèle.

La loi LOPMI vise le dépôt de plainte comme condition d'indemnisation d'une rançon par l'assurance. La directive NIS2 impose, elle, une notification d'incident à l'autorité compétente selon un rythme propre (alerte précoce, puis notification, puis rapport final), pour les entités qu'elle désigne. Le règlement DORA applique son propre régime au secteur financier, avec des exigences de notification et de tests de résilience qui lui sont spécifiques. Et le RGPD ajoute, en cas de fuite de données personnelles, une notification à la CNIL. Quatre logiques, quatre destinataires, des délais qui ne se recouvrent pas : le jour de la crise, il faut savoir laquelle s'applique à vous et les traiter en parallèle, pas l'une après l'autre.

Le vrai levier reste en amont

Toute cette mécanique de plainte, d'assurance et de notifications se déclenche une fois que l'attaque a réussi. C'est utile, mais c'est de la gestion de dégâts. Le meilleur incident reste celui qui n'a pas lieu, et il se joue sur la surface que vous exposez à internet : un VPN non corrigé, un service d'administration ouvert, un identifiant qui a fuité. La plupart des rançongiciels entrent par une porte connue et visible, que l'on peut découvrir et fermer avant l'attaquant. C'est précisément le rôle de la gestion de la surface d'attaque externe (EASM), et d'un test d'intrusion qui vérifie qu'un attaquant ne passe pas. Si NIS2 vous concerne par ailleurs, ce même test alimente le volet technique d'un audit NIS2. Un contrat d'assurance et une procédure de plainte bien huilée, c'est le filet ; réduire l'exposition, c'est éviter de tomber.

À retenir sur la loi LOPMI

• La loi LOPMI (loi n° 2023-22 du 24 janvier 2023) est d'abord une loi de programmation du ministère de l'Intérieur ; son volet cyber renforce la lutte contre la cybercriminalité.
• Sa disposition phare (article 5, article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023) conditionne l'indemnisation des pertes d'une cyberattaque par l'assurance, rançon comprise, au dépôt de plainte sous 72 heures après la connaissance de l'atteinte.
• Le délai démarre à la découverte de l'attaque, pas à l'intrusion, et vise la plainte, pas la remédiation.
• Cette obligation poursuit deux objectifs : tracer et dissuader la cybercriminalité, et cadrer l'assurabilité du risque cyber.
• Réflexe à garder : porter plainte tôt, que l'on paie ou non (le paiement reste déconseillé), et préparer procédure d'incident, modalités de plainte et lecture du contrat à froid.
• Ne pas confondre avec les délais NIS2, DORA et RGPD : un même incident peut déclencher plusieurs obligations en parallèle.

La règle des 72 heures ne se subit bien que si on l'a anticipée, comme tout le reste d'une crise cyber. Le meilleur moment pour préparer sa réponse à incident, c'est quand tout va bien ; le pire, c'est quand la note de rançon s'affiche. Si vous voulez savoir par où un attaquant entrerait chez vous, et durcir avant qu'il ne s'en charge, dites-le-nous via la page contact.

Questions fréquentes sur la loi LOPMI