Une cyberattaque chez un prestataire informatique, un hébergeur, un éditeur SaaS ou un sous-traitant de relation client peut bloquer en quelques heures une entreprise qui n’a pourtant pas été directement piratée. Les accès sont coupés, les données clients deviennent incertaines, les équipes commerciales ne savent plus quoi répondre, la CNIL peut devoir être saisie, et le prestataire se retranche parfois derrière une clause limitative de responsabilité ou un message très général sur « l’incident de sécurité ». L’actualité récente de la cybersécurité, notamment les alertes de la CNIL sur les attaques touchant les sous-traitants, rappelle que la crise ne se traite pas seulement comme un sujet technique : elle devient immédiatement un dossier de preuve, de contrat, de responsabilité et d’indemnisation.
Pour le dirigeant, la question utile n’est donc pas seulement de savoir si le prestataire a été piraté. Il faut déterminer ce qui a été compromis, quelles obligations contractuelles n’ont pas été respectées, quels logs peuvent être exigés, quelles pertes doivent être chiffrées et dans quel délai agir. Une entreprise cliente qui attend un rapport définitif pendant plusieurs semaines risque de perdre la trace des preuves décisives : dates d’accès, tickets d’incident, sauvegardes, échanges de crise, promesses de rétablissement, périmètre exact des données touchées et refus éventuel de communiquer les éléments techniques. La réponse doit être organisée dès les premières heures, sans transformer l’article en mode d’emploi informatique : l’enjeu central reste juridique.
I. Cyberattaque d’un prestataire : que faire tout de suite pour obtenir les logs, les preuves et les informations utiles ?
A. Demander les informations techniques sans attendre le rapport final du prestataire
La première erreur consiste à attendre que le prestataire « revienne vers vous » avec un rapport complet. En matière de cyberattaque, le temps efface la preuve : rotation automatique des journaux de connexion, écrasement des sauvegardes, suppression de comptes compromis, échanges téléphoniques non tracés, messages de crise dispersés entre la direction, l’IT, le DPO, les commerciaux et les clients finaux. L’entreprise cliente doit donc adresser rapidement une demande écrite, claire et datée. Cette demande peut viser les logs d’accès, les dates de détection, les mesures de confinement, la nature des données touchées, les sauvegardes disponibles, les preuves de restauration, le périmètre des clients concernés et les éléments permettant d’évaluer le risque pour les personnes ou les partenaires commerciaux.
La demande ne doit pas être agressive par principe. Elle doit être exploitable devant un juge si le conflit s’installe. Il faut rappeler le contrat, les niveaux de service, les obligations de sécurité, les engagements de confidentialité, les clauses RGPD, les clauses d’audit et les clauses d’assistance en cas d’incident. L’objectif est simple : placer le prestataire devant une obligation de réponse précise. Un courriel général indiquant qu’un « incident est en cours d’analyse » ne suffit pas toujours à permettre au client de remplir ses propres obligations. La CNIL a d’ailleurs publié en 2026 une fiche consacrée au sous-traitant au centre de la crise, où elle insiste sur la nécessité d’informer les clients afin qu’ils puissent gérer leurs obligations de notification et d’information.
Sur le terrain pénal, la cyberattaque peut correspondre à une atteinte à un système de traitement automatisé de données. L’article 323-1 du Code pénal vise le fait d’« accéder ou de se maintenir, frauduleusement » dans un système. L’article 323-3 du Code pénal réprime notamment le fait d’« extraire, de détenir, de reproduire » des données de manière frauduleuse. Ces textes ne suffisent pas, à eux seuls, à établir la responsabilité civile du prestataire. Ils montrent toutefois pourquoi les logs et les traces techniques sont centraux : ils permettent de distinguer l’attaque externe, le défaut de paramétrage, l’absence de correctif, le compte salarié compromis, le défaut de cloisonnement ou le retard de réaction.
L’entreprise cliente doit aussi identifier le statut exact du prestataire. Si le prestataire traite des données personnelles pour le compte du client, il agit souvent comme sous-traitant au sens du RGPD. Dans cette hypothèse, la crise ne se limite pas à la disponibilité du service. Elle touche les obligations de notification à la CNIL, l’information des personnes, la documentation interne et la coopération entre responsable de traitement et sous-traitant. La CNIL rappelle, dans sa fiche sur les violations de données personnelles, que le responsable de traitement doit documenter l’incident et, selon le risque, notifier dans un délai maximal de 72 heures. Si le prestataire tarde à communiquer les informations essentielles, le client doit le consigner par écrit, car ce retard peut devenir un élément du débat sur la responsabilité contractuelle.
La demande initiale doit donc être structurée en quatre blocs. Le premier bloc porte sur les faits : date de première alerte, date de confirmation, vecteur probable, comptes affectés, système concerné, durée d’indisponibilité, liste des données touchées ou potentiellement touchées. Le deuxième bloc porte sur les mesures : coupure de service, sauvegarde, restauration, changement de mots de passe, révocation des clés d’API, correctifs, surveillance renforcée. Le troisième bloc porte sur la preuve : logs conservés, tickets, rapports d’EDR, comptes rendus de cellule de crise, hash des sauvegardes, exports exploitables, attestations de prestataires cyber. Le quatrième bloc porte sur le juridique : notifications CNIL, information aux personnes, déclaration d’assurance, plainte, conservation des preuves et réserves sur l’indemnisation.
Il est utile de demander au prestataire de confirmer si les données du client ont été seulement indisponibles, altérées, consultées, copiées ou divulguées. Ces situations ne produisent pas les mêmes conséquences. Une indisponibilité de quelques heures peut engager un débat sur le SLA. Une altération ou une perte de données peut imposer une restauration et un chiffrage de perte d’exploitation. Une extraction ou une divulgation peut déclencher une notification CNIL, une information des personnes concernées, une plainte et une communication commerciale. L’entreprise cliente ne doit pas accepter une réponse globale si elle a besoin d’une qualification fine pour agir.
Lorsque le prestataire refuse de transmettre les logs en invoquant la sécurité, la confidentialité ou le secret des affaires, il faut distinguer ce qui est légitime de ce qui sert à bloquer la preuve. Il peut être normal de masquer certaines informations sensibles, comme des adresses IP de tiers non concernés, des secrets techniques ou des informations d’autres clients. Il est en revanche contestable de refuser toute information utile sur le périmètre de l’incident. Le secret des affaires protège certaines informations, mais il ne doit pas devenir un écran absolu contre les droits du client. L’article L.151-1 du Code de commerce protège l’information relevant du « secret des affaires » lorsqu’elle remplit ses conditions légales. Cette protection invite à organiser la transmission : accord de confidentialité, accès restreint, séquestre, rapport synthétique, communication à l’avocat ou à l’expert, plutôt qu’un refus sec.
Dans les dossiers les plus sensibles, l’entreprise peut envisager une conservation probatoire plus formelle : constat de commissaire de justice sur les messages reçus, capture des tableaux de bord, export des tickets support, sauvegarde des courriels, procès-verbal interne de crise, recueil des témoignages opérationnels, conservation des factures de remédiation et des preuves de perte d’activité. Le juge civil examinera rarement une cyberattaque comme une abstraction. Il cherchera une faute, un lien de causalité et un préjudice. Sans preuves datées, l’entreprise cliente risque de se heurter à une défense classique : attaque imprévisible, absence de faute prouvée, préjudice non démontré, clause limitative de responsabilité, obligation de moyens respectée.
B. Mettre en demeure le prestataire en visant les obligations contractuelles et les délais utiles
La mise en demeure n’est pas une formalité décorative. Dans un contrat SaaS ou informatique, elle peut fixer le point de départ d’un délai raisonnable, cristalliser les manquements, demander la conservation des preuves et ouvrir la discussion sur l’indemnisation. L’article 1231 du Code civil rappelle que les dommages et intérêts supposent souvent une « mise en demeure ». La lettre doit donc être précise. Elle doit rappeler le contrat, les services concernés, les dates d’indisponibilité, les données affectées, les demandes déjà formulées, les réponses reçues et les obligations non exécutées.
La mise en demeure doit éviter deux excès. Le premier excès consiste à accuser le prestataire de toutes les fautes possibles sans preuve. Une cyberattaque peut survenir malgré des mesures sérieuses ; l’important est de démontrer ce que le prestataire devait faire et ce qu’il n’a pas fait. Le second excès consiste à se limiter à une demande trop vague : « merci de faire le nécessaire ». Une telle phrase ne protège pas l’entreprise. Il faut demander des actions vérifiables : communication des logs utiles, rapport circonstancié, calendrier de restauration, confirmation du périmètre des données, conservation des preuves, accès à un interlocuteur de crise, copie des notifications effectuées lorsque le prestataire est lui-même responsable de traitement, et assistance documentée pour les notifications du client.
Le contrat demeure le point d’appui principal. L’article 1103 du Code civil énonce que les contrats « tiennent lieu de loi » entre les parties. Une clause de sécurité, une annexe de traitement des données, un SLA, une clause de sauvegarde ou un engagement d’assistance en cas d’incident peut donc peser lourd. L’article 1104 du Code civil impose aussi des contrats « exécutés de bonne foi ». Cette exigence est importante lorsque le prestataire répond tardivement, communique de façon parcellaire, refuse de préserver les traces ou reporte sur le client des obligations impossibles à remplir sans information technique.
La mise en demeure peut également réserver les droits du client sur la suspension du paiement. L’article 1217 du Code civil permet notamment, en cas d’inexécution, de « suspendre l’exécution » de sa propre obligation. Cette suspension doit être maniée avec prudence. Ne pas payer une facture SaaS peut exposer l’entreprise à une coupure supplémentaire, à une résiliation ou à un contentieux inversé. Mais lorsque le service est indisponible, que la restauration tarde ou que les engagements contractuels ne sont plus respectés, la question peut se poser. Elle doit être appréciée au regard du contrat, de la gravité du manquement, des risques opérationnels et de la stratégie de négociation.
La lettre doit aussi traiter l’assurance. Beaucoup de contrats d’assurance cyber ou multirisque professionnelle imposent une déclaration rapide, parfois accompagnée d’éléments techniques. L’entreprise doit déclarer l’incident sans attendre l’épuisement du dialogue avec le prestataire. Elle doit aussi demander au prestataire de préserver les éléments pouvant être réclamés par l’assureur : chronologie, nature de l’attaque, mesures de confinement, causes probables, coûts de remédiation, liste des systèmes touchés, preuves d’indisponibilité, devis et factures. À défaut, l’entreprise peut se retrouver entre deux blocages : un prestataire qui refuse de documenter l’incident et un assureur qui réclame des justificatifs.
La mise en demeure doit enfin anticiper le contentieux sur la causalité. Le prestataire peut soutenir que les pertes commerciales viennent d’une mauvaise organisation interne du client, d’une absence de plan de continuité, de sauvegardes insuffisantes côté client, d’une erreur humaine du client ou d’une attaque généralisée sans lien avec une faute contractuelle. Pour réduire ce risque, l’entreprise doit documenter ce qui dépendait du prestataire : service indisponible, données inaccessibles, ticket non traité, défaut de sauvegarde contractuelle, retard d’escalade, absence d’alerte, absence de rapport, impossibilité de communiquer avec les clients finaux. Chaque élément doit être relié à une perte chiffrable.
Un exemple concret : un cabinet, une PME ou un e-commerçant utilise un outil SaaS pour gérer les commandes et les données clients. Après une cyberattaque chez l’éditeur, l’outil est coupé quatre jours. Le prestataire annonce seulement que « certaines données peuvent avoir été concernées ». Le client doit notifier la CNIL ou vérifier s’il doit le faire, répondre aux demandes de ses propres clients, reconstituer les commandes, payer une agence cyber, prolonger les délais de livraison et mobiliser des salariés. Dans ce cas, la mise en demeure doit demander plus qu’un geste commercial. Elle doit réclamer la chronologie, le périmètre, les preuves de sauvegarde, les informations RGPD, les mesures correctrices, la prise en charge de certains coûts et la discussion d’une indemnisation globale.
II. Cyberattaque d’un prestataire : comment obtenir une indemnisation et éviter que la clause de responsabilité bloque le recours ?
A. Chiffrer le préjudice : perte d’exploitation, coûts de crise, clients perdus et données touchées
Une demande d’indemnisation ne peut pas reposer sur l’idée générale que la cyberattaque a coûté cher. Le juge, l’assureur ou le prestataire demanderont un chiffrage. L’article 1353 du Code civil rappelle que celui qui réclame l’exécution d’une obligation « doit la prouver ». Cette règle oblige l’entreprise cliente à passer d’un ressenti de crise à un dossier démonstratif : tableau des périodes d’indisponibilité, factures de remédiation, heures internes mobilisées, commandes annulées, pénalités subies, clients perdus, frais de communication, coûts de notification, dépenses juridiques et perte de marge.
Le préjudice peut être contractuel. L’article 1231-1 du Code civil vise les « dommages et intérêts » dus en cas d’inexécution ou de retard, sauf force majeure. L’entreprise doit donc rattacher chaque demande à une obligation du prestataire : sécurité, sauvegarde, disponibilité, assistance, notification, confidentialité, réversibilité, restauration, maintenance, correction des vulnérabilités, cloisonnement des accès ou conseil. Une simple cyberattaque ne prouve pas automatiquement l’inexécution ; mais une cyberattaque suivie d’un défaut de réaction, d’un défaut de sauvegarde, d’une absence d’alerte ou d’un refus de communiquer peut révéler un manquement.
Le préjudice peut aussi inclure la perte subie et le gain manqué. L’article 1231-2 du Code civil mentionne « la perte qu’il a faite » et le gain dont le créancier a été privé. En pratique, cela suppose des pièces. Pour la perte d’exploitation, il faut comparer le chiffre d’affaires moyen, la marge, les périodes équivalentes, les commandes annulées et les commandes reportées. Pour les frais de crise, il faut réunir factures d’expertise, honoraires, devis, heures supplémentaires, achats de solutions temporaires, coût d’un centre d’appel ou d’une campagne d’information. Pour la perte de clients, il faut éviter les estimations vagues : courriels de résiliation, tickets de réclamation, remboursements, avoirs, pénalités contractuelles et preuves de désabonnement sont plus utiles.
La clause limitative de responsabilité doit être lue attentivement. Beaucoup de contrats SaaS limitent l’indemnisation à quelques mois d’abonnement, excluent les pertes indirectes ou encadrent très strictement les demandes. Ces clauses ne sont pas toujours inefficaces. Elles peuvent bloquer une grande partie du recours si l’entreprise n’anticipe pas l’argument. Il faut vérifier si la clause couvre le type de faute reproché, si elle est opposable, si elle vide l’obligation essentielle de sa substance, si elle s’applique en cas de faute lourde ou dolosive, si elle distingue données personnelles et données commerciales, et si elle respecte les règles applicables aux relations entre professionnels.
Lorsque le contrat prévoit une pénalité ou une indemnité forfaitaire, l’article 1231-5 du Code civil permet au juge de modérer ou d’augmenter une pénalité manifestement excessive ou dérisoire. Ce texte ne transforme pas automatiquement une clause faible en indemnisation complète. Il ouvre un débat. Le client doit montrer pourquoi le plafond contractuel ne correspond pas au rôle réel du prestataire dans l’activité, à la sensibilité des données, aux engagements de sécurité, au caractère critique du service ou au coût prévisible d’une interruption.
La responsabilité délictuelle peut également être évoquée dans certains cas, notamment à l’égard de tiers ou dans des hypothèses qui dépassent strictement l’exécution du contrat. L’article 1240 du Code civil pose la règle selon laquelle le fait fautif qui cause un dommage oblige à réparer. Dans une relation directe client-prestataire, le contrat reste souvent la voie principale. Mais la crise peut aussi impliquer des clients finaux, des partenaires, des salariés ou des tiers dont les données ou les intérêts ont été affectés. L’entreprise doit donc cartographier les personnes susceptibles d’agir contre elle et les recours éventuels qu’elle pourra exercer contre le prestataire.
Les données non personnelles ne doivent pas être oubliées. Un fichier de prix, une base prospects B2B, un plan commercial, un code source, une documentation technique ou une stratégie d’appel d’offres peuvent relever du secret des affaires si les conditions légales sont réunies. L’article L.151-4 du Code de commerce vise l’obtention illicite d’un secret lorsqu’elle est réalisée « sans le consentement » du détenteur légitime. L’article L.151-5 du Code de commerce traite l’utilisation ou la divulgation illicite. Ces textes permettent de construire une demande qui ne se limite pas au RGPD : l’entreprise peut aussi protéger son avantage concurrentiel, sa clientèle et ses données stratégiques.
Dans le dossier de chiffrage, il faut distinguer les coûts certains, les pertes probables et les risques futurs. Les coûts certains sont les factures déjà payées et les heures réellement engagées. Les pertes probables sont les commandes annulées, les pénalités prévisibles, les clients qui ont résilié, la marge non réalisée. Les risques futurs sont plus délicats : sanctions administratives, actions de clients, atteinte durable à la réputation, surveillance renforcée, perte de chance commerciale. Ils ne doivent pas être ignorés, mais ils doivent être présentés avec prudence et preuves. Un tableau synthétique, accompagné de pièces numérotées, sera plus efficace qu’une longue lettre indignée.
B. Agir à Paris et en Île-de-France : tribunal compétent, référé, expertise et stratégie de sortie
À Paris et en Île-de-France, beaucoup de contrats SaaS et informatiques concernent des entreprises dont le siège, les clients, les prestataires ou les serveurs opérationnels sont répartis entre plusieurs ressorts. Le premier réflexe consiste à lire la clause attributive de compétence, si elle existe, puis à vérifier si elle est valable entre professionnels. En l’absence de clause utile, le tribunal compétent peut dépendre du siège du défendeur, du lieu d’exécution de la prestation, du lieu du dommage ou de la nature commerciale du litige. Pour une société commerciale, le tribunal de commerce est souvent concerné, notamment à Paris, Nanterre, Bobigny, Créteil, Versailles, Évry ou Pontoise selon les parties et le contrat.
Le référé peut être décisif lorsque l’entreprise doit obtenir rapidement des éléments. Il peut viser une mesure de conservation, une communication de pièces, une expertise, une injonction de maintenir l’accès à certaines données, ou une mesure destinée à éviter l’aggravation du dommage. Le choix entre référé, assignation au fond, négociation encadrée et médiation dépend de l’urgence, du contrat, des preuves déjà disponibles et du risque de rupture de service. Une action trop brutale peut détériorer la restauration technique ; une action trop lente peut laisser disparaître les logs.
La demande d’expertise doit être préparée. Il ne suffit pas de demander à un expert de « dire ce qui s’est passé ». Il faut proposer une mission utile : identifier la chronologie de l’incident, vérifier les sauvegardes, déterminer les causes probables, examiner le respect des engagements de sécurité, évaluer les mesures de réaction, décrire les données affectées, analyser les pertes de disponibilité et donner les éléments techniques permettant de chiffrer le préjudice. Plus la mission est précise, plus elle peut produire une preuve exploitable. Elle doit également respecter la confidentialité et, lorsque nécessaire, le secret des affaires.
Dans les relations commerciales sensibles, il faut parfois négocier une sortie avant d’assigner. L’entreprise peut demander une remise immédiate, une prise en charge des frais cyber, un avoir, une extension gratuite de service, une assistance renforcée, une clause de réversibilité accélérée, un transfert sécurisé des données, une copie des logs sous confidentialité, une indemnité transactionnelle ou une révision du contrat. Cette négociation doit être menée sans renoncer trop vite aux droits. Une transaction mal rédigée peut fermer la porte à une indemnisation ultérieure alors que les conséquences de la cyberattaque ne sont pas encore toutes connues. Pour replacer cette crise dans une stratégie plus large de contrat, responsabilité et contentieux commercial, la page avocat en droit des affaires à Paris présente les principaux cadres d’intervention du cabinet.
La réversibilité mérite une attention particulière. Après une cyberattaque, beaucoup d’entreprises veulent changer de prestataire. Mais partir trop vite sans plan peut aggraver la situation : perte de données, rupture de service, impossibilité d’extraire les historiques, dépendance à des formats propriétaires, absence de documentation, conflit sur les factures restantes. Le contrat doit être relu pour identifier les obligations de restitution, les délais, les formats, les frais de sortie et les garanties de suppression. Si le prestataire est en crise, la réversibilité peut aussi devenir une mesure de sauvegarde de l’activité.
L’information des clients finaux doit être sobre et juridiquement cohérente. Il ne faut ni minimiser un risque élevé ni annoncer des faits non vérifiés. La communication doit expliquer ce qui est connu, ce qui est en cours de vérification, les données concernées, les mesures prises, les gestes recommandés et les canaux de contact. Si des données personnelles sont concernées, la documentation CNIL doit être suivie. Si des secrets commerciaux ou des données contractuelles sont touchés, la communication doit éviter de divulguer davantage d’informations sensibles. L’avocat peut coordonner les versions destinées à la CNIL, à l’assureur, aux clients, aux partenaires et au prestataire.
Le dirigeant doit aussi protéger sa gouvernance interne. Il est utile de créer un dossier unique de crise, avec un responsable, une chronologie et une liste des décisions. Les échanges oraux importants doivent être confirmés par écrit. Les décisions de notification, de plainte, de mise en demeure, d’arrêt temporaire d’un service, de communication publique ou de négociation doivent être datées. Cette discipline protège l’entreprise si, plus tard, un client final, un associé, un assureur ou un régulateur demande pourquoi telle décision a été prise à telle date.
Enfin, la stratégie contentieuse doit rester proportionnée. Tous les incidents ne justifient pas une action judiciaire longue. En revanche, un prestataire qui refuse les logs, minimise sans preuve, ne coopère pas avec la notification, laisse le service indisponible ou oppose une clause de responsabilité sans examiner les pertes réelles expose le client à agir. La meilleure position consiste à construire un dossier complet avant la rupture : contrat, annexes, SLA, DPA, tickets, courriels, logs reçus, demandes restées sans réponse, dépenses, pertes, déclarations d’assurance et échanges avec la CNIL. L’entreprise pourra alors négocier, assigner ou transiger avec une base factuelle solide.
Conclusion
Une cyberattaque chez un prestataire SaaS ou informatique doit être traitée comme un dossier juridique dès les premières heures. Le client ne maîtrise pas toujours l’infrastructure touchée, mais il peut maîtriser sa preuve : demandes de logs, mise en demeure, conservation des pièces, déclaration d’assurance, analyse CNIL, chiffrage des pertes et vérification des clauses de responsabilité. L’objectif n’est pas de transformer chaque incident en procès. Il est de ne pas laisser le prestataire, l’assureur ou un futur contradicteur imposer seul le récit technique et financier de la crise.
Le sujet est d’autant plus sensible lorsque l’entreprise cliente dépend du prestataire pour ses commandes, sa facturation, sa relation client, ses données commerciales ou ses obligations RGPD. Le contrat, les articles du Code civil sur l’inexécution, les textes pénaux sur les atteintes aux systèmes de données et la protection du secret des affaires fournissent des leviers concrets. Ils ne remplacent pas la preuve technique, mais ils donnent un cadre pour obtenir les informations, préserver les recours et discuter l’indemnisation.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet. Pour les entreprises situées à Paris et en Île-de-France, l’analyse peut intégrer le tribunal compétent, les mesures d’urgence et les pièces à réunir avant toute mise en demeure.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.