[{"data":1,"prerenderedAt":573},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations":45,"post-alt-\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations":553,"post-rel-\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations":555},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":505,"date":506,"description":507,"extension":508,"faq":509,"keyword":522,"meta":523,"minutes":27,"navigation":419,"path":524,"rawbody":525,"seo":526,"sources":527,"stem":543,"tags":544,"translationKey":550,"updated":551,"__hash__":552},"blog_fr\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations.md","Cyberattaque : qui aviser, et dans quel ordre (guide PME)",{"type":49,"value":50,"toc":496},"minimark",[51,55,58,61,87,92,95,115,124,128,170,174,311,314,318,322,334,341,344,363,366,370,401,405,408,479,487,494],[52,53,54],"p",{},"Mardi, 6 h 15. Le contremaître d'un distributeur alimentaire de Drummondville arrive à l'entrepôt : les écrans des postes affichent tous la même note de rançon. À 6 h 40, le président a déjà trois personnes au téléphone. La même question revient : « On appelle qui en premier ? »",[52,56,57],{},"Dans les premières heures d'une cyberattaque, l'ordre des appels compte autant que leur contenu. Appeler la mauvaise personne trop tôt peut annuler une couverture d'assurance. Attendre trop longtemps peut laisser filer un virement ou vous mettre en défaut envers la loi.",[52,59,60],{},"Voici une feuille de route pour une PME québécoise, à adapter avec vos conseillers.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,81,84],"ul",{},[70,71,72],"li",{},"Si de l'argent est parti, la banque passe avant tout le monde. Sinon, commencez par votre assureur, avant d'engager des fournisseurs.",[70,74,75,76,80],{},"La Loi 25 exige d'aviser la CAI et les personnes concernées ",[77,78,79],"strong",{},"« avec diligence »"," si l'incident présente un risque de préjudice sérieux. Il n'y a pas de délai fixe de 72 heures.",[70,82,83],{},"Si la LPRPDE s'applique à vous, le Commissariat fédéral doit être avisé « le plus tôt possible » en cas de risque réel de préjudice grave.",[70,85,86],{},"Le signalement à la police et au Centre canadien pour la cybersécurité est volontaire pour la plupart des PME, mais utile.",[88,89,91],"h2",{"id":90},"avant-le-premier-appel-qui-décide-et-qui-parle","Avant le premier appel : qui décide et qui parle",[52,93,94],{},"Une attaque crée un réflexe de panique : tout le monde appelle tout le monde. Avant de décrocher, fixez trois rôles.",[67,96,97,103,109],{},[70,98,99,102],{},[77,100,101],{},"La personne qui coordonne"," l'incident et tient le journal des actions, avec l'heure.",[70,104,105,108],{},[77,106,107],{},"La personne responsable de la protection des renseignements personnels",", que la loi vous oblige à consulter pour évaluer le risque de préjudice.",[70,110,111,114],{},[77,112,113],{},"Une seule personne porte-parole"," pour les clients, les partenaires et les médias.",[52,116,117,118,123],{},"Supposez que vos courriels sont lus par l'attaquant. Passez par le téléphone, des cellulaires personnels ou une messagerie hors du domaine de l'entreprise. Pour les gestes techniques des premières heures, voyez notre guide ",[119,120,122],"a",{"href":121},"\u002Fblogue\u002Francongiciel-premieres-24-heures","Rançongiciel : les 24 premières heures",".",[88,125,127],{"id":126},"lordre-des-appels-dans-les-premières-heures","L'ordre des appels dans les premières heures",[129,130,131,137,143,149,155,161],"ol",{},[70,132,133,136],{},[77,134,135],{},"Votre institution financière, si de l'argent est en jeu."," Virement frauduleux, accès aux comptes bancaires : chaque heure réduit les chances de bloquer ou de rappeler les fonds.",[70,138,139,142],{},[77,140,141],{},"Votre assureur cyber."," Plusieurs polices exigent un avis rapide et le recours à leur ligne d'urgence et à leurs fournisseurs approuvés. Engager une firme d'intervention de votre propre chef peut compliquer le remboursement. Relisez votre police dès aujourd'hui.",[70,144,145,148],{},[77,146,147],{},"Votre fournisseur TI ou une firme d'intervention",", idéalement celle désignée par l'assureur, pour contenir l'attaque et préserver les preuves.",[70,150,151,154],{},[77,152,153],{},"La police",", surtout en cas d'extorsion ou de fraude.",[70,156,157,160],{},[77,158,159],{},"La CAI et les personnes concernées",", dès que l'évaluation conclut à un risque de préjudice sérieux.",[70,162,163,166,167,123],{},[77,164,165],{},"Les clients et partenaires"," visés par une clause contractuelle, puis le ",[77,168,169],{},"Centre canadien pour la cybersécurité",[88,171,173],{"id":172},"le-tableau-des-avis-qui-quand-comment-pourquoi","Le tableau des avis : qui, quand, comment, pourquoi",[175,176,177,196],"table",{},[178,179,180],"thead",{},[181,182,183,187,190,193],"tr",{},[184,185,186],"th",{},"Qui aviser",[184,188,189],{},"Quand",[184,191,192],{},"Comment",[184,194,195],{},"Fondement",[197,198,199,214,228,242,256,270,283,297],"tbody",{},[181,200,201,205,208,211],{},[202,203,204],"td",{},"Institution financière",[202,206,207],{},"Immédiatement si des fonds ou des accès bancaires sont touchés",[202,209,210],{},"Ligne fraude de la banque, puis confirmation écrite",[202,212,213],{},"Convention de compte ; chance de bloquer ou de rappeler les fonds",[181,215,216,219,222,225],{},[202,217,218],{},"Assureur cyber",[202,220,221],{},"Dès la découverte, avant d'engager des frais",[202,223,224],{},"Ligne d'urgence ou procédure de déclaration de sinistre de la police",[202,226,227],{},"Contrat d'assurance (conditions de déclaration)",[181,229,230,233,236,239],{},[202,231,232],{},"Police",[202,234,235],{},"Rapidement, surtout en cas d'extorsion ou de fraude",[202,237,238],{},"Plainte au service de police local (ou à la Sûreté du Québec), puis signalement en ligne au système national de la GRC et du Centre antifraude du Canada",[202,240,241],{},"Aucune obligation générale ; le numéro de dossier sert souvent à la banque et à l'assureur",[181,243,244,247,250,253],{},[202,245,246],{},"Commission d'accès à l'information (CAI)",[202,248,249],{},"Avec diligence, si risque de préjudice sérieux",[202,251,252],{},"Formulaire en ligne de la CAI",[202,254,255],{},"Loi 25, art. 3.5 ; Règlement sur les incidents de confidentialité",[181,257,258,261,264,267],{},[202,259,260],{},"Personnes concernées",[202,262,263],{},"Avec diligence, si risque de préjudice sérieux ; report possible tant que l'avis nuirait à une enquête policière",[202,265,266],{},"Avis individuel ; avis public dans certains cas",[202,268,269],{},"Loi 25, art. 3.5 ; Règlement, art. 5 et 6",[181,271,272,274,277,280],{},[202,273,169],{},[202,275,276],{},"Dès que possible",[202,278,279],{},"Formulaire « Signaler un incident » de cyber.gc.ca",[202,281,282],{},"Volontaire pour la plupart des PME",[181,284,285,288,291,294],{},[202,286,287],{},"Clients et partenaires",[202,289,290],{},"Selon les délais de vos contrats ; dès que l'incident peut les toucher",[202,292,293],{},"Par la personne porte-parole, avec un message validé",[202,295,296],{},"Contrats ; la Loi 25 permet aussi d'aviser toute personne susceptible de réduire le risque",[181,298,299,302,305,308],{},[202,300,301],{},"Commissariat à la protection de la vie privée du Canada (si la LPRPDE s'applique)",[202,303,304],{},"Le plus tôt possible après avoir conclu à l'atteinte, si risque réel de préjudice grave",[202,306,307],{},"Formulaire de déclaration du Commissariat",[202,309,310],{},"LPRPDE, art. 10.1",[52,312,313],{},"Si des données de cartes de paiement sont touchées, ajoutez votre acquéreur, selon votre convention de commerçant.",[315,316],"cta",{"variant":317},"audit",[88,319,321],{"id":320},"loi-25-et-lprpde-deux-tests-à-ne-pas-confondre","Loi 25 et LPRPDE : deux tests à ne pas confondre",[52,323,324,325,328,329,333],{},"La Loi 25 encadre les entreprises privées au Québec. Son critère est le ",[77,326,327],{},"risque de préjudice sérieux",", évalué selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable (art. 3.7). Notre guide ",[119,330,332],{"href":331},"\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25","déclarer un incident de confidentialité à la CAI"," détaille le contenu de l'avis.",[52,335,336,337,340],{},"La LPRPDE, la loi fédérale, peut aussi s'appliquer : entreprises de compétence fédérale, ou renseignements communiqués hors du Québec dans le cadre d'activités commerciales, par exemple. Son critère est le ",[77,338,339],{},"risque réel de préjudice grave",", et elle exige de déclarer l'atteinte au Commissariat et d'aviser les personnes « le plus tôt possible » (art. 10.1).",[52,342,343],{},"Les deux régimes exigent un registre :",[67,345,346,357],{},[70,347,348,351,352,356],{},[77,349,350],{},"Loi 25"," : tous les incidents de confidentialité, déclarés ou non, conservés au moins cinq ans. Notre ",[119,353,355],{"href":354},"\u002Foutils\u002Fmodele-registre-incidents","modèle de registre des incidents"," vous fait gagner du temps.",[70,358,359,362],{},[77,360,361],{},"LPRPDE"," : toutes les atteintes aux mesures de sécurité, conservées au moins 24 mois.",[52,364,365],{},"Quant à la Loi sur la protection des cybersystèmes essentiels (projet de loi C-8), elle ne vise que les exploitants désignés de certains secteurs (finance, télécommunications, énergie, transport) et n'était pas encore en vigueur en septembre 2026.",[88,367,369],{"id":368},"ce-quil-ne-faut-pas-faire-pendant-ces-appels","Ce qu'il ne faut pas faire pendant ces appels",[67,371,372,378,384,390,395],{},[70,373,374,377],{},[77,375,376],{},"Ne pas affirmer qu'« aucune donnée n'a été touchée »"," avant que l'analyse le démontre.",[70,379,380,383],{},[77,381,382],{},"Ne pas négocier seul avec l'attaquant."," Ni répondre à la note de rançon avant d'en parler à l'assureur et à la police.",[70,385,386,389],{},[77,387,388],{},"Ne pas effacer ni réinstaller"," les postes touchés avant que les preuves soient préservées.",[70,391,392],{},[77,393,394],{},"Ne pas communiquer par la messagerie compromise.",[70,396,397,400],{},[77,398,399],{},"Ne pas laisser chaque employé avertir « ses » clients"," avec sa propre version des faits.",[88,402,404],{"id":403},"préparez-votre-liste-dappels-dès-aujourdhui","Préparez votre liste d'appels dès aujourd'hui",[52,406,407],{},"Le pire moment pour chercher le numéro de la ligne d'urgence de l'assureur, c'est quand les serveurs sont chiffrés. Imprimez cette liste et gardez-en une copie hors du réseau :",[67,409,412,423,430,437,444,451,458,465,472],{"className":410},[411],"contains-task-list",[70,413,416,422],{"className":414},[415],"task-list-item",[417,418],"input",{"disabled":419,"type":420,"aria-label":421},true,"checkbox","Numéro de police et ligne d'urgence de l'assureur cyber"," Numéro de police et ligne d'urgence de l'assureur cyber",[70,424,426,429],{"className":425},[415],[417,427],{"disabled":419,"type":420,"aria-label":428},"Ligne fraude de votre institution financière et nom de votre directeur de compte"," Ligne fraude de votre institution financière et nom de votre directeur de compte",[70,431,433,436],{"className":432},[415],[417,434],{"disabled":419,"type":420,"aria-label":435},"Coordonnées du service de police local"," Coordonnées du service de police local",[70,438,440,443],{"className":439},[415],[417,441],{"disabled":419,"type":420,"aria-label":442},"Nom et cellulaire de la personne responsable de la protection des renseignements personnels"," Nom et cellulaire de la personne responsable de la protection des renseignements personnels",[70,445,447,450],{"className":446},[415],[417,448],{"disabled":419,"type":420,"aria-label":449},"Coordonnées du fournisseur TI et de la firme d'intervention"," Coordonnées du fournisseur TI et de la firme d'intervention",[70,452,454,457],{"className":453},[415],[417,455],{"disabled":419,"type":420,"aria-label":456},"Conseiller juridique"," Conseiller juridique",[70,459,461,464],{"className":460},[415],[417,462],{"disabled":419,"type":420,"aria-label":463},"Liens vers les formulaires de la CAI, du Centre canadien pour la cybersécurité et, s'il y a lieu, du Commissariat fédéral"," Liens vers les formulaires de la CAI, du Centre canadien pour la cybersécurité et, s'il y a lieu, du Commissariat fédéral",[70,466,468,471],{"className":467},[415],[417,469],{"disabled":419,"type":420,"aria-label":470},"Liste des contrats clients qui prévoient un délai d'avis"," Liste des contrats clients qui prévoient un délai d'avis",[70,473,475,478],{"className":474},[415],[417,476],{"disabled":419,"type":420,"aria-label":477},"Modèles d'avis aux personnes concernées, prêts à adapter"," Modèles d'avis aux personnes concernées, prêts à adapter",[52,480,481,482,486],{},"Cette liste a sa place dans votre ",[119,483,485],{"href":484},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","plan de réponse aux incidents",", testé au moins une fois par année.",[52,488,489,490,493],{},"Ce guide vulgarise vos obligations et ne remplace pas un avis juridique : validez chaque décision de déclaration avec votre conseiller juridique. Notre ",[119,491,492],{"href":17},"accompagnement en conformité Loi 25"," peut vous aider à bâtir la procédure et la grille d'évaluation du préjudice.",[315,495],{"variant":317},{"title":497,"searchDepth":11,"depth":15,"links":498},"",[499,500,501,502,503,504],{"id":90,"depth":11,"text":91},{"id":126,"depth":11,"text":127},{"id":172,"depth":11,"text":173},{"id":320,"depth":11,"text":321},{"id":368,"depth":11,"text":369},{"id":403,"depth":11,"text":404},"compliance","2026-10-24","Cyberattaque dans votre PME : qui aviser (assureur, banque, police, CAI, clients, Centre canadien pour la cybersécurité), dans quel ordre et selon quelles lois.","md",[510,513,516,519],{"q":511,"a":512},"Faut-il déclarer une cyberattaque même si aucun renseignement personnel n'a été touché ?","Les obligations de la Loi 25 envers la CAI et les personnes concernées visent les incidents de confidentialité qui touchent des renseignements personnels. Si seuls des systèmes ou des données d'affaires sont touchés, ces avis ne s'appliquent pas, mais votre assureur, votre banque, vos contrats clients et la police peuvent quand même devoir être avisés. Confirmez l'analyse avec votre conseiller juridique.",{"q":514,"a":515},"Doit-on aviser la CAI avant d'avoir terminé l'enquête ?","Oui, si vous concluez déjà à un risque de préjudice sérieux. La loi demande d'aviser « avec diligence », pas une fois le dossier complet. Le Règlement sur les incidents de confidentialité prévoit que vous transmettiez ensuite à la CAI tout nouveau renseignement appris après l'avis initial.",{"q":517,"a":518},"Le Centre canadien pour la cybersécurité va-t-il intervenir chez nous ?","Le Centre n'est pas un service d'intervention privé ni un corps policier. Il recueille les signalements, peut fournir des conseils et utilise l'information pour alerter d'autres organisations. Pour remettre vos systèmes en marche, vous aurez besoin de votre fournisseur TI ou d'une firme spécialisée, souvent désignée par votre assureur.",{"q":520,"a":521},"Un employé peut-il appeler un client pour l'avertir avant l'avis officiel ?","Mieux vaut l'éviter. Des messages improvisés peuvent contenir des erreurs, contredire l'avis officiel ou être utilisés contre l'entreprise. Désignez une seule personne porte-parole et faites valider les messages par la direction, la personne responsable de la protection des renseignements personnels et, au besoin, votre conseiller juridique.","cyberattaque qui aviser",{},"\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations","---\ntitle: \"Cyberattaque : qui aviser, et dans quel ordre (guide PME)\"\ndescription: \"Cyberattaque dans votre PME : qui aviser (assureur, banque, police, CAI, clients, Centre canadien pour la cybersécurité), dans quel ordre et selon quelles lois.\"\ndate: 2026-10-24\ncategory: compliance\ntags: [\"incident\", \"loi 25\", \"cai\", \"lprpde\", \"conformité\"]\ntranslationKey: declarer-cyberattaque\nkeyword: \"cyberattaque qui aviser\"\nfaq:\n  - q: \"Faut-il déclarer une cyberattaque même si aucun renseignement personnel n'a été touché ?\"\n    a: \"Les obligations de la Loi 25 envers la CAI et les personnes concernées visent les incidents de confidentialité qui touchent des renseignements personnels. Si seuls des systèmes ou des données d'affaires sont touchés, ces avis ne s'appliquent pas, mais votre assureur, votre banque, vos contrats clients et la police peuvent quand même devoir être avisés. Confirmez l'analyse avec votre conseiller juridique.\"\n  - q: \"Doit-on aviser la CAI avant d'avoir terminé l'enquête ?\"\n    a: \"Oui, si vous concluez déjà à un risque de préjudice sérieux. La loi demande d'aviser « avec diligence », pas une fois le dossier complet. Le Règlement sur les incidents de confidentialité prévoit que vous transmettiez ensuite à la CAI tout nouveau renseignement appris après l'avis initial.\"\n  - q: \"Le Centre canadien pour la cybersécurité va-t-il intervenir chez nous ?\"\n    a: \"Le Centre n'est pas un service d'intervention privé ni un corps policier. Il recueille les signalements, peut fournir des conseils et utilise l'information pour alerter d'autres organisations. Pour remettre vos systèmes en marche, vous aurez besoin de votre fournisseur TI ou d'une firme spécialisée, souvent désignée par votre assureur.\"\n  - q: \"Un employé peut-il appeler un client pour l'avertir avant l'avis officiel ?\"\n    a: \"Mieux vaut l'éviter. Des messages improvisés peuvent contenir des erreurs, contredire l'avis officiel ou être utilisés contre l'entreprise. Désignez une seule personne porte-parole et faites valider les messages par la direction, la personne responsable de la protection des renseignements personnels et, au besoin, votre conseiller juridique.\"\nsources:\n  - title: \"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5 à 3.8\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n  - title: \"Commissariat à la protection de la vie privée du Canada — Ce que vous devez savoir sur la déclaration obligatoire des atteintes aux mesures de sécurité\"\n    url: \"https:\u002F\u002Fwww.priv.gc.ca\u002Ffr\u002Fsujets-lies-a-la-protection-de-la-vie-privee\u002Fprotection-des-renseignements-personnels-pour-les-entreprises\u002Fatteintes-a-la-vie-privee-dans-votre-entreprise\u002Fgd_pb_201810\u002F\"\n  - title: \"Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5), art. 10.1\"\n    url: \"https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fp-8.6\u002F\"\n  - title: \"Centre canadien pour la cybersécurité — Signaler un incident de cybersécurité\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Fcyberincidents\"\n  - title: \"GRC — Signalez des incidents de cybercriminalité et de fraude\"\n    url: \"https:\u002F\u002Frcmp.ca\u002Ffr\u002Fpolice-federale\u002Fcybercriminalite\u002Fcentre-national-coordination-contre-cybercriminalite\u002Fsignalez-incidents-cybercriminalite-et-fraude\"\n---\n\nMardi, 6 h 15. Le contremaître d'un distributeur alimentaire de Drummondville arrive à l'entrepôt : les écrans des postes affichent tous la même note de rançon. À 6 h 40, le président a déjà trois personnes au téléphone. La même question revient : « On appelle qui en premier ? »\n\nDans les premières heures d'une cyberattaque, l'ordre des appels compte autant que leur contenu. Appeler la mauvaise personne trop tôt peut annuler une couverture d'assurance. Attendre trop longtemps peut laisser filer un virement ou vous mettre en défaut envers la loi.\n\nVoici une feuille de route pour une PME québécoise, à adapter avec vos conseillers.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Si de l'argent est parti, la banque passe avant tout le monde. Sinon, commencez par votre assureur, avant d'engager des fournisseurs.\n- La Loi 25 exige d'aviser la CAI et les personnes concernées **« avec diligence »** si l'incident présente un risque de préjudice sérieux. Il n'y a pas de délai fixe de 72 heures.\n- Si la LPRPDE s'applique à vous, le Commissariat fédéral doit être avisé « le plus tôt possible » en cas de risque réel de préjudice grave.\n- Le signalement à la police et au Centre canadien pour la cybersécurité est volontaire pour la plupart des PME, mais utile.\n::\n\n## Avant le premier appel : qui décide et qui parle\n\nUne attaque crée un réflexe de panique : tout le monde appelle tout le monde. Avant de décrocher, fixez trois rôles.\n\n- **La personne qui coordonne** l'incident et tient le journal des actions, avec l'heure.\n- **La personne responsable de la protection des renseignements personnels**, que la loi vous oblige à consulter pour évaluer le risque de préjudice.\n- **Une seule personne porte-parole** pour les clients, les partenaires et les médias.\n\nSupposez que vos courriels sont lus par l'attaquant. Passez par le téléphone, des cellulaires personnels ou une messagerie hors du domaine de l'entreprise. Pour les gestes techniques des premières heures, voyez notre guide [Rançongiciel : les 24 premières heures](\u002Fblogue\u002Francongiciel-premieres-24-heures).\n\n## L'ordre des appels dans les premières heures\n\n1. **Votre institution financière, si de l'argent est en jeu.** Virement frauduleux, accès aux comptes bancaires : chaque heure réduit les chances de bloquer ou de rappeler les fonds.\n2. **Votre assureur cyber.** Plusieurs polices exigent un avis rapide et le recours à leur ligne d'urgence et à leurs fournisseurs approuvés. Engager une firme d'intervention de votre propre chef peut compliquer le remboursement. Relisez votre police dès aujourd'hui.\n3. **Votre fournisseur TI ou une firme d'intervention**, idéalement celle désignée par l'assureur, pour contenir l'attaque et préserver les preuves.\n4. **La police**, surtout en cas d'extorsion ou de fraude.\n5. **La CAI et les personnes concernées**, dès que l'évaluation conclut à un risque de préjudice sérieux.\n6. **Les clients et partenaires** visés par une clause contractuelle, puis le **Centre canadien pour la cybersécurité**.\n\n## Le tableau des avis : qui, quand, comment, pourquoi\n\n| Qui aviser | Quand | Comment | Fondement |\n|---|---|---|---|\n| Institution financière | Immédiatement si des fonds ou des accès bancaires sont touchés | Ligne fraude de la banque, puis confirmation écrite | Convention de compte ; chance de bloquer ou de rappeler les fonds |\n| Assureur cyber | Dès la découverte, avant d'engager des frais | Ligne d'urgence ou procédure de déclaration de sinistre de la police | Contrat d'assurance (conditions de déclaration) |\n| Police | Rapidement, surtout en cas d'extorsion ou de fraude | Plainte au service de police local (ou à la Sûreté du Québec), puis signalement en ligne au système national de la GRC et du Centre antifraude du Canada | Aucune obligation générale ; le numéro de dossier sert souvent à la banque et à l'assureur |\n| Commission d'accès à l'information (CAI) | Avec diligence, si risque de préjudice sérieux | Formulaire en ligne de la CAI | Loi 25, art. 3.5 ; Règlement sur les incidents de confidentialité |\n| Personnes concernées | Avec diligence, si risque de préjudice sérieux ; report possible tant que l'avis nuirait à une enquête policière | Avis individuel ; avis public dans certains cas | Loi 25, art. 3.5 ; Règlement, art. 5 et 6 |\n| Centre canadien pour la cybersécurité | Dès que possible | Formulaire « Signaler un incident » de cyber.gc.ca | Volontaire pour la plupart des PME |\n| Clients et partenaires | Selon les délais de vos contrats ; dès que l'incident peut les toucher | Par la personne porte-parole, avec un message validé | Contrats ; la Loi 25 permet aussi d'aviser toute personne susceptible de réduire le risque |\n| Commissariat à la protection de la vie privée du Canada (si la LPRPDE s'applique) | Le plus tôt possible après avoir conclu à l'atteinte, si risque réel de préjudice grave | Formulaire de déclaration du Commissariat | LPRPDE, art. 10.1 |\n\nSi des données de cartes de paiement sont touchées, ajoutez votre acquéreur, selon votre convention de commerçant.\n\n::cta{variant=\"audit\"}\n::\n\n## Loi 25 et LPRPDE : deux tests à ne pas confondre\n\nLa Loi 25 encadre les entreprises privées au Québec. Son critère est le **risque de préjudice sérieux**, évalué selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable (art. 3.7). Notre guide [déclarer un incident de confidentialité à la CAI](\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25) détaille le contenu de l'avis.\n\nLa LPRPDE, la loi fédérale, peut aussi s'appliquer : entreprises de compétence fédérale, ou renseignements communiqués hors du Québec dans le cadre d'activités commerciales, par exemple. Son critère est le **risque réel de préjudice grave**, et elle exige de déclarer l'atteinte au Commissariat et d'aviser les personnes « le plus tôt possible » (art. 10.1).\n\nLes deux régimes exigent un registre :\n\n- **Loi 25** : tous les incidents de confidentialité, déclarés ou non, conservés au moins cinq ans. Notre [modèle de registre des incidents](\u002Foutils\u002Fmodele-registre-incidents) vous fait gagner du temps.\n- **LPRPDE** : toutes les atteintes aux mesures de sécurité, conservées au moins 24 mois.\n\nQuant à la Loi sur la protection des cybersystèmes essentiels (projet de loi C-8), elle ne vise que les exploitants désignés de certains secteurs (finance, télécommunications, énergie, transport) et n'était pas encore en vigueur en septembre 2026.\n\n## Ce qu'il ne faut pas faire pendant ces appels\n\n- **Ne pas affirmer qu'« aucune donnée n'a été touchée »** avant que l'analyse le démontre.\n- **Ne pas négocier seul avec l'attaquant.** Ni répondre à la note de rançon avant d'en parler à l'assureur et à la police.\n- **Ne pas effacer ni réinstaller** les postes touchés avant que les preuves soient préservées.\n- **Ne pas communiquer par la messagerie compromise.**\n- **Ne pas laisser chaque employé avertir « ses » clients** avec sa propre version des faits.\n\n## Préparez votre liste d'appels dès aujourd'hui\n\nLe pire moment pour chercher le numéro de la ligne d'urgence de l'assureur, c'est quand les serveurs sont chiffrés. Imprimez cette liste et gardez-en une copie hors du réseau :\n\n- [ ] Numéro de police et ligne d'urgence de l'assureur cyber\n- [ ] Ligne fraude de votre institution financière et nom de votre directeur de compte\n- [ ] Coordonnées du service de police local\n- [ ] Nom et cellulaire de la personne responsable de la protection des renseignements personnels\n- [ ] Coordonnées du fournisseur TI et de la firme d'intervention\n- [ ] Conseiller juridique\n- [ ] Liens vers les formulaires de la CAI, du Centre canadien pour la cybersécurité et, s'il y a lieu, du Commissariat fédéral\n- [ ] Liste des contrats clients qui prévoient un délai d'avis\n- [ ] Modèles d'avis aux personnes concernées, prêts à adapter\n\nCette liste a sa place dans votre [plan de réponse aux incidents](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele), testé au moins une fois par année.\n\nCe guide vulgarise vos obligations et ne remplace pas un avis juridique : validez chaque décision de déclaration avec votre conseiller juridique. Notre [accompagnement en conformité Loi 25](\u002Fservices\u002Fconformite-loi-25) peut vous aider à bâtir la procédure et la grille d'évaluation du préjudice.\n\n::cta{variant=\"audit\"}\n::\n",{"title":47,"description":507},[528,531,534,537,540],{"title":529,"url":530},"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5 à 3.8","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1",{"title":532,"url":533},"Commissariat à la protection de la vie privée du Canada — Ce que vous devez savoir sur la déclaration obligatoire des atteintes aux mesures de sécurité","https:\u002F\u002Fwww.priv.gc.ca\u002Ffr\u002Fsujets-lies-a-la-protection-de-la-vie-privee\u002Fprotection-des-renseignements-personnels-pour-les-entreprises\u002Fatteintes-a-la-vie-privee-dans-votre-entreprise\u002Fgd_pb_201810\u002F",{"title":535,"url":536},"Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5), art. 10.1","https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fp-8.6\u002F",{"title":538,"url":539},"Centre canadien pour la cybersécurité — Signaler un incident de cybersécurité","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Fcyberincidents",{"title":541,"url":542},"GRC — Signalez des incidents de cybercriminalité et de fraude","https:\u002F\u002Frcmp.ca\u002Ffr\u002Fpolice-federale\u002Fcybercriminalite\u002Fcentre-national-coordination-contre-cybercriminalite\u002Fsignalez-incidents-cybercriminalite-et-fraude","blogue\u002Fcyberattaque-qui-aviser-obligations",[545,546,547,548,549],"incident","loi 25","cai","lprpde","conformité","declarer-cyberattaque",null,"wUQk95rg1nHDXLWSRb3qogei0VKICVFRY_2k8av2DSc",{"path":554},"\u002Fen\u002Fblog\u002Fcyberattack-who-to-notify-canada",[556,560,566],{"path":331,"title":557,"description":558,"category":505,"minutes":27,"tags":559},"Déclarer un incident de confidentialité à la CAI : le guide","Incident de confidentialité : quand et comment le déclarer à la CAI selon la Loi 25, sans le mythe des 72 h. Évaluation du préjudice, contenu de l'avis, étapes.",[546,547,545,549],{"path":561,"title":562,"description":563,"category":505,"minutes":27,"tags":564},"\u002Fblogue\u002Floi-25-amendes-sanctions-cai","Loi 25 : amendes, sanctions et pouvoirs de la CAI","Amendes Loi 25 : jusqu'à 10 M$ en sanction administrative et 25 M$ au pénal. Comment la CAI fixe les montants, ses autres pouvoirs et comment réduire le risque.",[546,547,565,549],"sanctions",{"path":567,"title":568,"description":569,"category":505,"minutes":27,"tags":570},"\u002Fblogue\u002Floi-25-checklist-cybersecurite","Loi 25 : la checklist cybersécurité pour les PME du Québec","Loi 25 et cybersécurité : une checklist en 5 blocs pour vérifier la gouvernance, les accès, les contrôles techniques, les incidents et vos fournisseurs.",[546,549,571,572],"checklist","pme",1792971361136]