Le rapport InterCERT France publié le 2 avril 2026 chiffre le délai moyen de détection d’une cyberattaque à 15 jours après son début. Il faut ensuite 17 jours pour contenir et gérer l’incident, puis 16 jours pour reconstruire les systèmes. Au total, une organisation attaquée vit donc près de sept semaines entre la première intrusion et le retour à la normale.
Pour mémoire, l’association InterCERT France fédère les équipes françaises de réponse aux incidents. Cette deuxième édition de son étude d’incidentologie porte sur l’année 2025 et repose sur 366 incidents documentés par 66 CERT et CSIRT membres.
Ce que révèle le rapport InterCERT France sur les attaques de 2025
Les attaques ciblées ne représentent que 14 % de l’échantillon. La grande majorité des intrusions reste donc opportuniste : les attaquants exploitent à grande échelle des vulnérabilités connues, souvent par des campagnes automatisées. Autrement dit, votre organisme n’a pas besoin d’intéresser un groupe criminel pour en être victime. En effet, un service exposé et non corrigé suffit.
Côté outils, les rançongiciels représentent 30 % des cas analysés et les logiciels voleurs d’identifiants (infostealers) 21 %. Près d’une attaque sur trois vise à exfiltrer des données. Enfin, l’étude rejoint sur ce point le Panorama de la cybermenace 2025 de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qu’elle cite pour les familles de rançongiciels les plus actives.
Quinze jours de détection face aux 72 heures du RGPD
L’article 33 du RGPD impose de notifier une violation de données à la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures après en avoir pris connaissance. Le délai court donc à partir de la découverte, et non du début de l’attaque. Quinze jours de détection ne vous mettent pas en retard sur la CNIL. Ils laissent en revanche à l’attaquant quinze jours pour copier des données, installer des portes dérobées et préparer un rançongiciel.
Or, plus l’intrusion dure, plus le volume de données exposées grossit. Ainsi, la communication aux personnes concernées, exigée par l’article 34 quand le risque est élevé, touche davantage de monde et coûte plus cher.
Notre article sur le compte à rebours de 72 heures détaille le moment où ce délai démarre.
L’article 32 impose enfin des mesures de sécurité adaptées au risque, avec une procédure pour tester régulièrement leur efficacité. Avec quinze jours de détection en moyenne, vérifiez ce point chez vous. Relisez donc notre fiche sur l’article 32 du RGPD avec ce délai en tête.
Côté sanctions, le RGPD prévoit des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements à la sécurité et à la notification. Les autres manquements, comme ceux aux principes de base, montent jusqu’à 20 millions d’euros ou 4 %.
NIS2 resserre encore les délais
La directive NIS2 (directive (UE) 2022/2555), dont la transposition en droit français reste en cours, va plus loin pour les entités essentielles et importantes. Pour un incident important, elle exige une alerte précoce dans les 24 heures après la prise de connaissance, une notification d’incident dans les 72 heures, puis un rapport final dans un délai d’un mois. Une organisation qui détecte en quinze jours tient ces délais sur le papier. En pratique, elle notifie un incident déjà ancien.
Réduire le délai de détection : les mesures du rapport
Le rapport InterCERT France met d’abord en avant un inventaire à jour de vos actifs, en particulier ceux exposés sur Internet. Vous ne surveillez pas un serveur que vous ignorez. Déployez ensuite un outil de détection et de réponse sur les postes et serveurs (EDR).
De même, centralisez et conservez vos journaux d’activité. Lors d’une attaque par rançongiciel, les CERT analysent en priorité les journaux réseau et système : sans eux, personne ne reconstitue la chronologie de l’attaque, ni l’étendue des données touchées.
- Généralisez l’authentification multifacteur, à commencer par les accès distants et les comptes d’administration.
- Appliquez le moindre privilège : chaque compte n’accède qu’à ce dont il a besoin.
- Formez vos collaborateurs à repérer l’hameçonnage.
- Testez votre procédure de réponse aux incidents par un exercice de simulation, au moins une fois par an.
- Rejoignez ou consultez un CERT ou CSIRT sectoriel pour partager les indicateurs de compromission.
Pour la partie RGPD, DPO Suite, l’application de conformité de DPO PARTAGE, tient par exemple le registre des violations et garde la trace de chaque décision de notification.
Sources
InterCERT France présente son étude dans InterCERT France publie son étude 2026 : une menace cyber toujours plus furtive, structurée et stratégique.
Le document complet s’intitule Rapport d’incidentologie 2026 : analyse d’un an de réponse aux incidents cyber.
Le CERT-FR publie le Panorama de la cybermenace 2025 cité par l’étude.
Les délais NIS2 figurent à l’article 23 de la directive (UE) 2022/2555 sur EUR-Lex, et les plafonds d’amende du RGPD au chapitre 8 du RGPD sur le site de la CNIL.
Questions fréquentes
Combien de temps faut-il pour détecter une cyberattaque en France ?
Selon le rapport InterCERT France 2026, il faut en moyenne 15 jours pour détecter une attaque après son début.
L’étude porte sur 366 incidents de l’année 2025, documentés par 66 CERT et CSIRT. Il faut ensuite 17 jours pour contenir l’incident et 16 jours pour reconstruire les systèmes.
Le délai de 72 heures du RGPD commence-t-il au début de l’attaque ?
Non, il commence au moment où le responsable de traitement prend connaissance de la violation.
L’article 33 du RGPD vise ainsi la découverte. Une détection tardive ne crée pas de retard de notification. Elle augmente en revanche les données exposées.
Qu’est-ce que InterCERT France ?
InterCERT France est une association qui fédère les équipes françaises de réponse aux incidents de cybersécurité, les CERT et CSIRT.
Elle publie ainsi chaque année une étude d’incidentologie à partir des incidents traités par ses membres.
Quelles attaques dominent dans le rapport InterCERT France 2026 ?
Les attaques opportunistes dominent : les attaques ciblées ne représentent que 14 % des incidents étudiés.
De plus, les rançongiciels représentent 30 % des outils observés et les infostealers 21 %. Près d’une attaque sur trois vise à exfiltrer des données.
Quels délais de notification impose NIS2 ?
Pour un incident important, NIS2 impose une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et un rapport final sous un mois.
Toutefois, ces délais s’appliquent aux entités essentielles et importantes, une fois la directive transposée en droit français.
