Mardi, 6 h 15. Le contremaître d'un distributeur alimentaire de Drummondville arrive à l'entrepôt : les écrans des postes affichent tous la même note de rançon. À 6 h 40, le président a déjà trois personnes au téléphone. La même question revient : « On appelle qui en premier ? »
Dans les premières heures d'une cyberattaque, l'ordre des appels compte autant que leur contenu. Appeler la mauvaise personne trop tôt peut annuler une couverture d'assurance. Attendre trop longtemps peut laisser filer un virement ou vous mettre en défaut envers la loi.
Voici une feuille de route pour une PME québécoise, à adapter avec vos conseillers.
En bref
- Si de l'argent est parti, la banque passe avant tout le monde. Sinon, commencez par votre assureur, avant d'engager des fournisseurs.
- La Loi 25 exige d'aviser la CAI et les personnes concernées « avec diligence » si l'incident présente un risque de préjudice sérieux. Il n'y a pas de délai fixe de 72 heures.
- Si la LPRPDE s'applique à vous, le Commissariat fédéral doit être avisé « le plus tôt possible » en cas de risque réel de préjudice grave.
- Le signalement à la police et au Centre canadien pour la cybersécurité est volontaire pour la plupart des PME, mais utile.
Avant le premier appel : qui décide et qui parle
Une attaque crée un réflexe de panique : tout le monde appelle tout le monde. Avant de décrocher, fixez trois rôles.
- La personne qui coordonne l'incident et tient le journal des actions, avec l'heure.
- La personne responsable de la protection des renseignements personnels, que la loi vous oblige à consulter pour évaluer le risque de préjudice.
- Une seule personne porte-parole pour les clients, les partenaires et les médias.
Supposez que vos courriels sont lus par l'attaquant. Passez par le téléphone, des cellulaires personnels ou une messagerie hors du domaine de l'entreprise. Pour les gestes techniques des premières heures, voyez notre guide Rançongiciel : les 24 premières heures.
L'ordre des appels dans les premières heures
- Votre institution financière, si de l'argent est en jeu. Virement frauduleux, accès aux comptes bancaires : chaque heure réduit les chances de bloquer ou de rappeler les fonds.
- Votre assureur cyber. Plusieurs polices exigent un avis rapide et le recours à leur ligne d'urgence et à leurs fournisseurs approuvés. Engager une firme d'intervention de votre propre chef peut compliquer le remboursement. Relisez votre police dès aujourd'hui.
- Votre fournisseur TI ou une firme d'intervention, idéalement celle désignée par l'assureur, pour contenir l'attaque et préserver les preuves.
- La police, surtout en cas d'extorsion ou de fraude.
- La CAI et les personnes concernées, dès que l'évaluation conclut à un risque de préjudice sérieux.
- Les clients et partenaires visés par une clause contractuelle, puis le Centre canadien pour la cybersécurité.
Le tableau des avis : qui, quand, comment, pourquoi
| Qui aviser | Quand | Comment | Fondement |
|---|---|---|---|
| Institution financière | Immédiatement si des fonds ou des accès bancaires sont touchés | Ligne fraude de la banque, puis confirmation écrite | Convention de compte ; chance de bloquer ou de rappeler les fonds |
| Assureur cyber | Dès la découverte, avant d'engager des frais | Ligne d'urgence ou procédure de déclaration de sinistre de la police | Contrat d'assurance (conditions de déclaration) |
| Police | Rapidement, surtout en cas d'extorsion ou de fraude | Plainte au service de police local (ou à la Sûreté du Québec), puis signalement en ligne au système national de la GRC et du Centre antifraude du Canada | Aucune obligation générale ; le numéro de dossier sert souvent à la banque et à l'assureur |
| Commission d'accès à l'information (CAI) | Avec diligence, si risque de préjudice sérieux | Formulaire en ligne de la CAI | Loi 25, art. 3.5 ; Règlement sur les incidents de confidentialité |
| Personnes concernées | Avec diligence, si risque de préjudice sérieux ; report possible tant que l'avis nuirait à une enquête policière | Avis individuel ; avis public dans certains cas | Loi 25, art. 3.5 ; Règlement, art. 5 et 6 |
| Centre canadien pour la cybersécurité | Dès que possible | Formulaire « Signaler un incident » de cyber.gc.ca | Volontaire pour la plupart des PME |
| Clients et partenaires | Selon les délais de vos contrats ; dès que l'incident peut les toucher | Par la personne porte-parole, avec un message validé | Contrats ; la Loi 25 permet aussi d'aviser toute personne susceptible de réduire le risque |
| Commissariat à la protection de la vie privée du Canada (si la LPRPDE s'applique) | Le plus tôt possible après avoir conclu à l'atteinte, si risque réel de préjudice grave | Formulaire de déclaration du Commissariat | LPRPDE, art. 10.1 |
Si des données de cartes de paiement sont touchées, ajoutez votre acquéreur, selon votre convention de commerçant.
Loi 25 et LPRPDE : deux tests à ne pas confondre
La Loi 25 encadre les entreprises privées au Québec. Son critère est le risque de préjudice sérieux, évalué selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable (art. 3.7). Notre guide déclarer un incident de confidentialité à la CAI détaille le contenu de l'avis.
La LPRPDE, la loi fédérale, peut aussi s'appliquer : entreprises de compétence fédérale, ou renseignements communiqués hors du Québec dans le cadre d'activités commerciales, par exemple. Son critère est le risque réel de préjudice grave, et elle exige de déclarer l'atteinte au Commissariat et d'aviser les personnes « le plus tôt possible » (art. 10.1).
Les deux régimes exigent un registre :
- Loi 25 : tous les incidents de confidentialité, déclarés ou non, conservés au moins cinq ans. Notre modèle de registre des incidents vous fait gagner du temps.
- LPRPDE : toutes les atteintes aux mesures de sécurité, conservées au moins 24 mois.
Quant à la Loi sur la protection des cybersystèmes essentiels (projet de loi C-8), elle ne vise que les exploitants désignés de certains secteurs (finance, télécommunications, énergie, transport) et n'était pas encore en vigueur en septembre 2026.
Ce qu'il ne faut pas faire pendant ces appels
- Ne pas affirmer qu'« aucune donnée n'a été touchée » avant que l'analyse le démontre.
- Ne pas négocier seul avec l'attaquant. Ni répondre à la note de rançon avant d'en parler à l'assureur et à la police.
- Ne pas effacer ni réinstaller les postes touchés avant que les preuves soient préservées.
- Ne pas communiquer par la messagerie compromise.
- Ne pas laisser chaque employé avertir « ses » clients avec sa propre version des faits.
Préparez votre liste d'appels dès aujourd'hui
Le pire moment pour chercher le numéro de la ligne d'urgence de l'assureur, c'est quand les serveurs sont chiffrés. Imprimez cette liste et gardez-en une copie hors du réseau :
- Numéro de police et ligne d'urgence de l'assureur cyber
- Ligne fraude de votre institution financière et nom de votre directeur de compte
- Coordonnées du service de police local
- Nom et cellulaire de la personne responsable de la protection des renseignements personnels
- Coordonnées du fournisseur TI et de la firme d'intervention
- Conseiller juridique
- Liens vers les formulaires de la CAI, du Centre canadien pour la cybersécurité et, s'il y a lieu, du Commissariat fédéral
- Liste des contrats clients qui prévoient un délai d'avis
- Modèles d'avis aux personnes concernées, prêts à adapter
Cette liste a sa place dans votre plan de réponse aux incidents, testé au moins une fois par année.
Ce guide vulgarise vos obligations et ne remplace pas un avis juridique : validez chaque décision de déclaration avec votre conseiller juridique. Notre accompagnement en conformité Loi 25 peut vous aider à bâtir la procédure et la grille d'évaluation du préjudice.
Questions fréquentes
Faut-il déclarer une cyberattaque même si aucun renseignement personnel n'a été touché ?+
Les obligations de la Loi 25 envers la CAI et les personnes concernées visent les incidents de confidentialité qui touchent des renseignements personnels. Si seuls des systèmes ou des données d'affaires sont touchés, ces avis ne s'appliquent pas, mais votre assureur, votre banque, vos contrats clients et la police peuvent quand même devoir être avisés. Confirmez l'analyse avec votre conseiller juridique.
Doit-on aviser la CAI avant d'avoir terminé l'enquête ?+
Oui, si vous concluez déjà à un risque de préjudice sérieux. La loi demande d'aviser « avec diligence », pas une fois le dossier complet. Le Règlement sur les incidents de confidentialité prévoit que vous transmettiez ensuite à la CAI tout nouveau renseignement appris après l'avis initial.
Le Centre canadien pour la cybersécurité va-t-il intervenir chez nous ?+
Le Centre n'est pas un service d'intervention privé ni un corps policier. Il recueille les signalements, peut fournir des conseils et utilise l'information pour alerter d'autres organisations. Pour remettre vos systèmes en marche, vous aurez besoin de votre fournisseur TI ou d'une firme spécialisée, souvent désignée par votre assureur.
Un employé peut-il appeler un client pour l'avertir avant l'avis officiel ?+
Mieux vaut l'éviter. Des messages improvisés peuvent contenir des erreurs, contredire l'avis officiel ou être utilisés contre l'entreprise. Désignez une seule personne porte-parole et faites valider les messages par la direction, la personne responsable de la protection des renseignements personnels et, au besoin, votre conseiller juridique.
Sources
- 1.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5 à 3.8
- 2.Commissariat à la protection de la vie privée du Canada — Ce que vous devez savoir sur la déclaration obligatoire des atteintes aux mesures de sécurité
- 3.Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5), art. 10.1
- 4.Centre canadien pour la cybersécurité — Signaler un incident de cybersécurité
- 5.GRC — Signalez des incidents de cybercriminalité et de fraude