Cyberattaque : cadre pénal et peines (tableau 2026)

L’essentiel. Une cyberattaque est réprimée en droit français par les articles 323-1 à 323-8 du Code pénal, issus de la loi Godfrain du 5 janvier 1988. Cinq infractions couvrent l’ensemble des atteintes aux systèmes d’information : l’accès frauduleux (3 ans, 100 000 €), l’entrave au fonctionnement, l’atteinte aux données, la mise à disposition d’outils d’attaque, avec des peines aggravées jusqu’à 10 ans et 300 000 € en bande organisée. Ces qualifications pénales se cumulent avec la notification de violation au titre du RGPD et l’obligation d’alerte NIS2.

Quand un système d’information est compromis, la question juridique est double : quelles infractions ont été commises, et quelles démarches l’entreprise victime doit-elle engager ? Le Code pénal apporte une réponse structurée depuis 1988. Comprendre ce cadre est indispensable pour les équipes de sécurité, les DPO et les juristes qui gèrent un incident : c’est lui qui détermine ce que l’on peut reprocher à l’attaquant, ce que l’on doit prouver, et comment articuler la plainte pénale avec les obligations administratives (notification à la CNIL, alerte à l’ANSSI).

Ce guide présente les cinq infractions fondamentales, un tableau récapitulatif des peines, les circonstances aggravantes, puis la marche à suivre concrète pour porter plainte et sécuriser la preuve numérique.

Le socle : la loi Godfrain et les articles 323-1 à 323-8

Les atteintes aux systèmes de traitement automatisé de données (STAD) sont sanctionnées par les articles 323-1 à 323-8 du Code pénal, issus de la loi n° 88-19 du 5 janvier 1988, dite « loi Godfrain ». Ce texte fondateur a été renforcé par plusieurs réformes successives — notamment la loi LOPPSI 2 du 14 mars 2011, puis les lois de 2014 et 2015 qui ont élargi l’incrimination et relevé les peines.

La notion de STAD n’est pas définie par la loi, ce qui est un choix délibéré : la jurisprudence retient une conception large couvrant tout ensemble organisé de matériels et de logiciels destinés au traitement de l’information — un serveur, un réseau d’entreprise, un site web, une messagerie, un objet connecté, un smartphone. Cette souplesse permet au dispositif de rester pertinent malgré l’évolution technologique.

Tableau récapitulatif des infractions et des peines

Le tableau ci-dessous synthétise les cinq infractions principales, leur fondement textuel et les peines encourues. Il inclut l’aggravation applicable lorsque l’atteinte vise un système de l’État.

Infraction	Texte	Peine de base	Système de l’État
Accès ou maintien frauduleux	Art. 323-1 al. 1	3 ans / 100 000 €	5 ans / 150 000 €
Accès frauduleux avec suppression, modification de données ou altération du système	Art. 323-1 al. 2	5 ans / 150 000 €	5 ans / 150 000 €
Entrave ou faussement du fonctionnement	Art. 323-2	5 ans / 150 000 €	7 ans / 300 000 €
Introduction, extraction, détention, reproduction, suppression ou modification de données	Art. 323-3	5 ans / 150 000 €	7 ans / 300 000 €
Mise à disposition d’un outil d’attaque	Art. 323-3-1	Peine de l’infraction visée	—
Circonstance aggravante : bande organisée	Art. 323-4-1	10 ans / 300 000 €	—

Les cinq infractions fondamentales

Chaque infraction répond à un mode opératoire distinct et protège un aspect particulier du système informatique.

1. L’accès frauduleux (article 323-1, alinéa 1)

L’article 323-1, alinéa 1, punit le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données. Peine : trois ans d’emprisonnement et 100 000 euros d’amende.

La jurisprudence retient une conception large de l’accès : exploitation d’une faille, contournement d’une authentification, utilisation d’identifiants volés, voire accès à des ressources manifestement non destinées au public. L’élément moral tient dans le caractère « frauduleux » : la conscience de l’absence d’autorisation. Le simple fait d’accéder par curiosité, sans intention de nuire, suffit à caractériser l’infraction dès lors que l’auteur savait qu’il n’y était pas autorisé.

Le maintien frauduleux constitue une variante autonome : elle vise celui qui, initialement autorisé (un salarié, un prestataire), se maintient dans le système au-delà des limites de son autorisation. C’est un point majeur pour la gestion des accès internes et le contrôle des habilitations — sujet que doit encadrer toute charte informatique.

2. L’accès frauduleux avec conséquences (article 323-1, alinéa 2)

Lorsque l’accès ou le maintien frauduleux a entraîné la suppression ou la modification de données, ou une altération du fonctionnement du système, les peines sont portées à cinq ans d’emprisonnement et 150 000 euros d’amende. Il s’agit d’une aggravation liée aux conséquences de l’intrusion — même lorsque ces conséquences n’étaient pas recherchées par l’auteur.

3. L’entrave au fonctionnement (article 323-2)

L’article 323-2 punit le fait d’entraver ou de fausser le fonctionnement d’un STAD. Peine : cinq ans d’emprisonnement et 150 000 euros d’amende.

Cette infraction vise en premier lieu les attaques par déni de service (DDoS) et les rançongiciels (ransomwares) qui chiffrent et bloquent le système. Le verbe « fausser » couvre les situations où le système continue de fonctionner mais produit des résultats erronés, à la suite d’une modification malveillante de ses paramètres. Contre un système de l’État, la peine est portée à sept ans et 300 000 euros.

4. L’atteinte aux données (article 323-3)

L’article 323-3 punit le fait d’introduire frauduleusement des données dans un STAD, de les extraire, détenir, reproduire, transmettre, supprimer ou modifier. Peine : cinq ans d’emprisonnement et 150 000 euros d’amende (sept ans et 300 000 euros contre un système de l’État).

Élargie par les réformes successives, cette infraction couvre un spectre très large : injection de code malveillant, défacement, ajout de données frauduleuses, mais aussi et surtout l’extraction de données — qualification centrale pour la répression des exfiltrations et des vols de bases contenant des données personnelles ou des données sensibles. C’est le texte le plus souvent mobilisé dans les affaires de fuite de données d’origine malveillante.

5. La mise à disposition d’outils d’attaque (article 323-3-1)

L’article 323-3-1 punit le fait, sans motif légitime, d’importer, détenir, offrir, céder ou mettre à disposition un équipement, un programme ou toute donnée conçus ou spécialement adaptés pour commettre les infractions précédentes. La peine est celle prévue pour l’infraction que l’outil est destiné à commettre.

Cette disposition vise les marchés de kits d’attaque, la revente de vulnérabilités et la diffusion de logiciels malveillants. La réserve « sans motif légitime » protège les chercheurs en sécurité et les professionnels du test d’intrusion qui détiennent et utilisent ces outils dans un cadre autorisé. En pratique, la licéité d’un pentest dépend d’une convention d’audit écrite préalable définissant précisément le périmètre et les techniques permises : en son absence, l’auditeur s’expose lui-même à la qualification d’accès frauduleux.

Les circonstances aggravantes

Plusieurs circonstances augmentent significativement les peines.

La bande organisée (article 323-4-1). Lorsque les infractions sont commises en bande organisée, la peine est portée à dix ans d’emprisonnement et 300 000 euros d’amende. Cette qualification est fréquemment retenue contre les groupes structurés de cybercriminalité, notamment les opérateurs de rançongiciels agissant en « affiliation » (ransomware-as-a-service).

L’atteinte à un système de l’État (article 323-1, al. 3, et articles 323-2, 323-3). Lorsque l’infraction vise un système de traitement de données à caractère personnel mis en œuvre par l’État, les peines sont relevées : 5 ans / 150 000 € pour l’accès frauduleux, 7 ans / 300 000 € pour l’entrave et l’atteinte aux données.

La participation à un groupement (article 323-4). La seule participation à un groupement ou à une entente établie en vue de préparer ces infractions est punie des peines prévues pour l’infraction elle-même — une forme d’association de malfaiteurs propre à la matière informatique, qui permet de poursuivre en amont du passage à l’acte.

Tentative, complicité et peines complémentaires

La tentative des délits prévus aux articles 323-1 à 323-3-1 est punie des mêmes peines que l’infraction consommée (article 323-7). Autrement dit, une intrusion échouée ou un exfiltration interrompue reste pleinement punissable.

Les peines complémentaires de l’article 323-5 sont souvent décisives en pratique : interdiction des droits civiques, civils et de famille, interdiction d’exercer une fonction publique ou l’activité professionnelle à l’occasion de laquelle l’infraction a été commise, confiscation du matériel ayant servi à commettre l’infraction, fermeture d’établissement, exclusion des marchés publics, affichage de la décision. Pour une personne morale complice ou bénéficiaire, ces peines peuvent avoir un impact supérieur à l’amende elle-même.

Cyberattaque et RGPD : l’articulation avec la notification de violation

Lorsqu’une cyberattaque touche des données personnelles, la qualification pénale se cumule avec les obligations du RGPD. L’article 33 impose au responsable de traitement de notifier la violation à la CNIL dans les 72 heures dès qu’un risque pour les droits et libertés des personnes existe. Si le risque est élevé, l’article 34 impose en outre d’informer les personnes concernées.

Ces deux démarches sont complémentaires et indépendantes : la notification est une obligation administrative dont l’inexécution est elle-même sanctionnable ; la plainte est l’exercice d’un droit contre l’auteur de l’attaque. L’une ne dispense jamais de l’autre. Pour cadrer le délai des 72 heures, mieux vaut disposer en amont d’un modèle de notification de violation à la CNIL et d’une procédure éprouvée de notification de violation de données.

Attention : le retard ou l’absence de notification est une faute distincte de l’attaque subie. Une entreprise victime d’un rançongiciel peut ainsi cumuler le statut de victime pénale et celui de responsable sanctionné au titre du RGPD si elle a négligé ses obligations de sécurité (article 32) ou de notification. C’est précisément ce point que vérifie un audit RGPD portant sur la gestion des incidents.

Cyberattaque et NIS2 : l’obligation d’alerte à l’ANSSI

La directive (UE) 2022/2555, dite NIS2, impose aux entités « essentielles » et « importantes » de notifier les incidents significatifs à l’autorité compétente — l’ANSSI en France — avec une alerte initiale dans un délai de 24 heures, suivie d’une notification complète sous 72 heures et d’un rapport final. Sa transposition en droit français est portée par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui précise le périmètre des entités concernées et le régime de sanctions.

Pour une entité assujettie, un même incident peut donc déclencher trois obligations parallèles : l’alerte NIS2 à l’ANSSI (24 h), la notification RGPD à la CNIL (72 h) si des données personnelles sont touchées, et le dépôt de plainte pénale. Les équipes de gestion d’incidents doivent disposer d’une procédure coordonnée pour tenir ces délais simultanément — la généralisation du télétravail ayant par ailleurs élargi la surface d’attaque et compliqué la détection.

Porter plainte après une cyberattaque : la marche à suivre

Le dépôt de plainte conditionne l’intervention des services judiciaires spécialisés. Voici les étapes pratiques.

1. Préserver les preuves avant toute remédiation. Ne pas éteindre ni réinstaller précipitamment : réaliser des copies (images disque, journaux) avant de nettoyer le système.
2. Documenter l’incident. Nature du STAD affecté, mode d’intrusion identifié, données compromises, indicateurs de compromission, chronologie horodatée, évaluation du préjudice.
3. Déposer plainte. Auprès du procureur de la République, d’un commissariat ou d’une brigade de gendarmerie, ou des services spécialisés (police et gendarmerie disposent d’unités dédiées à la cybercriminalité). Le portail cybermalveillance.gouv.fr oriente les victimes.
4. Notifier en parallèle. Déclencher, si nécessaire, la notification à la CNIL sous 72 h et l’alerte ANSSI sous 24 h.
5. Conserver la traçabilité de chaque décision et de chaque manipulation, pour la valeur probante ultérieure.

Une entreprise structurée aura anticipé ces réflexes dans une procédure de réponse à incident, testée régulièrement. Sur le volet documentaire, un logiciel RGPD permet d’industrialiser la tenue du registre des violations et la production des notifications dans les délais, en centralisant les preuves de la démarche de conformité.

La preuve numérique

La recevabilité de la preuve numérique en matière pénale obéit au principe de liberté de la preuve : tous les modes de preuve sont admis, le juge appréciant leur valeur. Mais la force probante des éléments techniques (journaux, captures réseau, images forensiques) dépend de la rigueur de la chaîne de conservation. Les bonnes pratiques forensiques recommandent de réaliser des copies bit-à-bit des supports, de calculer des empreintes cryptographiques (hash) des éléments recueillis et de documenter chaque manipulation, du prélèvement à l’analyse. Une preuve altérée ou dont l’intégrité ne peut être établie perd l’essentiel de sa valeur devant le juge.

Le droit pénal, première reconnaissance de la « propriété informatique »

Comme nous l’analysons dans notre thèse de doctorat sur la propriété informatique (T. Devergranne, Paris II), le droit pénal a joué un rôle fondateur dans la reconnaissance juridique des biens informatiques. Avant 1988, les qualifications classiques — vol, destruction, abus de confiance — s’adaptaient mal aux atteintes immatérielles. La loi Godfrain a consacré une idée essentielle : le système informatique mérite une protection pénale autonome.

Ce faisant, le législateur a implicitement reconnu que le système informatique constitue un objet de protection propre, et que son exploitant dispose d’un droit à en jouir paisiblement. Le sentiment de propriété naît souvent de la violation du droit : c’est parce que les systèmes faisaient l’objet d’attaques que la nécessité de les protéger s’est imposée au législateur.

Évolutions récentes et perspectives 2026

Le cadre continue de se renforcer. La Convention de Budapest du Conseil de l’Europe et son deuxième protocole additionnel de 2022 améliorent la coopération transfrontalière et l’accès aux preuves électroniques détenues à l’étranger — un enjeu majeur, la cybercriminalité étant par nature délocalisée. Au niveau européen, la montée en puissance de NIS2 et le durcissement des exigences de sécurité font converger répression pénale et obligations administratives.

Pour les professionnels de la sécurité, la maîtrise de ce cadre pénal est le complément indispensable des obligations réglementaires issues du RGPD et de NIS2. Elle conditionne la capacité à réagir vite et bien : qualifier l’infraction, préserver la preuve, tenir les délais de notification et, le cas échéant, faire valoir ses droits contre l’attaquant. Pour suivre les évolutions, consultez notre veille sur l’actualité RGPD 2026 et le panorama des sanctions RGPD.

FAQ

Quelles sont les peines pour un accès frauduleux à un système informatique ?

L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni de trois ans d’emprisonnement et 100 000 euros d’amende (article 323-1, al. 1, du Code pénal). Si l’accès a entraîné une suppression ou une modification de données, ou une altération du fonctionnement du système, les peines passent à cinq ans et 150 000 euros. Contre un système de l’État, elles peuvent atteindre sept ans et 300 000 euros pour l’entrave ou l’atteinte aux données.

Comment porter plainte après une cyberattaque ?

La plainte se dépose auprès du procureur de la République, d’un commissariat, d’une brigade de gendarmerie ou des services spécialisés en cybercriminalité. Documentez précisément l’incident (nature du système affecté, mode opératoire, chronologie, journaux, indicateurs de compromission, préjudice) et préservez les preuves avant toute remédiation. Si des données personnelles sont concernées, la notification à la CNIL sous 72 heures est une obligation distincte qui se cumule avec la plainte.

Un test d’intrusion peut-il être qualifié de cyberattaque ?

Oui, en l’absence d’autorisation écrite préalable. Un pentest réalisé sans mandat constitue un accès frauduleux au sens de l’article 323-1, indépendamment de la bonne intention de l’auditeur. Pour être licite, il doit être couvert par une convention d’audit définissant le périmètre, les techniques autorisées et les limites de la mission. L’article 323-3-1 protège par ailleurs la détention d’outils d’attaque lorsqu’elle repose sur un motif légitime, ce qui couvre l’activité professionnelle des auditeurs de sécurité.

Un salarié qui consulte des fichiers interdits commet-il une infraction ?

Oui, potentiellement. Le maintien frauduleux (article 323-1) vise précisément la personne initialement autorisée à accéder au système qui outrepasse les limites de son habilitation — par exemple un salarié qui consulte des dossiers RH ou des données auxquels il n’a pas droit. C’est l’une des raisons pour lesquelles une charte informatique claire et une gestion rigoureuse des habilitations sont essentielles.

Faut-il notifier la CNIL et l’ANSSI en même temps ?

Cela dépend de votre statut et de la nature de l’incident. Si des données personnelles sont compromises, la notification à la CNIL sous 72 heures s’impose (article 33 du RGPD). Si vous êtes une entité essentielle ou importante au sens de NIS2, une alerte à l’ANSSI sous 24 heures s’ajoute. Ces obligations sont autonomes et peuvent se cumuler avec le dépôt de plainte pénale : mieux vaut disposer d’une procédure coordonnée pour les tenir simultanément.

Une entreprise victime peut-elle être elle-même sanctionnée ?

Oui. Être victime d’une cyberattaque n’exonère pas des obligations de sécurité (article 32 du RGPD) ni de notification. Si l’enquête révèle des manquements — absence de mesures de sécurité appropriées, défaut de notification dans les délais —, l’entreprise peut être sanctionnée par la CNIL au titre du RGPD, en parallèle de son statut de victime pénale. La gestion d’incident est donc autant un enjeu de conformité que de sécurité.