Selon le site spécialisé qui recense l’annonce, un acteur malveillant affirme avoir compromis le système d’information d’un prestataire français de services informatiques, de réseaux et de cybersécurité, et diffuser dix bases de données internes : gestion commerciale, extranet, support technique, inventaire informatique, sites web. Des noms, des coordonnées, des commandes, des factures et des éléments d’inventaire réseau y figureraient, concernant des clients, des contacts, des prospects et des fournisseurs. À la date de rédaction, aucune source officielle n’a constaté une intrusion, aucun dommage n’est établi et aucune responsabilité n’est reconnue ni jugée. Les contrats signés entre chaque entreprise et son prestataire priment sur toute analyse générale, et seul le juge, saisi des pièces du dossier, trancherait les responsabilités. Sous ces réserves, la réponse tient en une phrase : chaque entreprise dont les données figurent dans les fichiers d’un prestataire, qu’elle l’ait choisi ou non, doit traiter l’annonce comme un risque à documenter immédiatement, vérifier sa propre position contractuelle et, le cas échéant, notifier dans les délais qui lui sont propres, sans jamais payer ni accuser sur la foi d’une simple revendication.

I. Une revendication qui expose trois cercles d’entreprises

A. Clients, fournisseurs et simples contacts : qui figure dans les fichiers d’un prestataire

Un prestataire informatique ne détient pas seulement les données de ses clients. Son logiciel de gestion commerciale enregistre les tiers : prospects démarchés, fournisseurs, contacts rencontrés sur un salon, destinataires d’un devis resté sans suite. Son outil de support conserve les tickets, les identifiants techniques et parfois les accès transmis pour dépanner. Son inventaire réseau décrit les équipements, les versions logicielles et les mécanismes d’authentification de ses clients. Selon le site spécialisé qui recense l’annonce du 26 septembre 2026, ce seraient précisément ces catégories de fichiers — gestion commerciale, extranet, support, inventaire, bases de sites web — qui seraient diffusées, soit dix ensembles de données. Si cette description était exacte, les entreprises exposées formeraient trois cercles : les entreprises clientes du prestataire, liées par un contrat de maintenance, d’infogérance ou de cybersécurité ; leurs propres fournisseurs et contacts, enregistrés comme tiers dans la gestion commerciale ; et les destinataires des interventions de support, dont les environnements techniques seraient décrits dans l’inventaire. Chacun de ces cercles détient une preuve différente et doit prendre une décision différente, car le droit applicable n’est pas le même selon que l’on est créancier contractuel du prestataire, responsable du traitement de ses propres données ou simple tiers sans contrat. La description des fichiers allégués mérite qu’on s’y arrête, car chaque type de fichier commande une décision différente. Une base de gestion commerciale exposerait des identités et des relations d’affaires : un concurrent pourrait reconstituer le portefeuille du prestataire, un fraudeur pourrait usurper l’identité d’un fournisseur pour adresser de fausses factures. Les entreprises concernées devraient alors alerter leurs services comptables et rappeler la procédure de vérification des relevés d’identité bancaire avant tout changement de coordonnées de paiement. Un outil de support exposerait des identifiants techniques, des adresses internes, des copies d’écran : il faudrait inventorier les accès transmis au prestataire — comptes de maintenance, VPN, interfaces d’administration — et les révoquer ou les renouveler, en traçant chaque opération. Un inventaire réseau exposerait la cartographie des systèmes : versions, équipements, mécanismes d’authentification. Il faudrait alors vérifier si les mots de passe décrits sont toujours en service, activer la double authentification là où elle manque et planifier une revue des droits d’accès. Ces mesures sont des mesures d’hygiène, proportionnées à une simple annonce : elles ne coûtent que du temps interne, ne préjugent d’aucune faute et restent utiles même si la revendication se révélait infondée ou exagérée. À l’inverse, publier le nom du prestataire sur les réseaux sociaux, l’accuser publiquement d’avoir été piraté ou appeler ses autres clients à rompre leurs contrats serait disproportionné et fautif : tant qu’aucune source officielle n’a constaté l’incident, de telles imputations, si elles s’avéraient inexactes, exposeraient leurs auteurs à des actions en diffamation ou en concurrence déloyale, et affaibliraient leur propre position dans un litige ultérieur.

La première erreur serait de considérer que, faute de contrat avec le prestataire, on n’aurait rien à faire : les données personnelles de ses salariés, de ses dirigeants ou de ses propres clients peuvent figurer dans les fichiers diffusés, et c’est cette présence qui déclenche des obligations, indépendamment de tout lien contractuel avec la société compromise.

B. Figer la preuve avant de discuter : constats, journaux et correspondances

En matière de contrats entre professionnels, celui qui allègue un manquement doit pouvoir le démontrer. L’article 1353 du code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le 1er septembre 2026, le tribunal de commerce de Toulouse a appliqué ce principe à un contrat de maintenance informatique : le client qui cessait de payer en invoquant une inexécution de la maintenance préventive a été débouté, faute d’avoir interpellé le prestataire sur les manquements en cours d’exécution et de les avoir mis en demeure, et faute d’en rapporter la preuve ; la résolution prononcée par le prestataire a été jugée aux torts exclusifs du client. L’enseignement vaut dans les deux sens : le client qui reproche aujourd’hui à son prestataire une sécurité défaillante devra établir ce qu’il allègue, et le prestataire qui réclame ses redevances devra établir qu’il a exécuté sa mission. Concrètement, dès l’annonce, chaque entreprise cliente devrait conserver les pièces qui feront la preuve : le contrat et ses annexes techniques, les engagements de niveau de service, les clauses de sécurité et de confidentialité, les journaux de connexion et d’administration, les tickets de support, les échanges écrits avec le prestataire, les attestations ou certifications produites lors de la négociation, ainsi que la copie datée de l’annonce elle-même. Un constat d’huissier — commissaire de justice — des pages accessibles et des fichiers dont la diffusion est alléguée peut figer ce qui, par nature, peut disparaître en quelques heures. Les tiers sans contrat, eux, devraient conserver tout élément établissant leur présence dans les fichiers : message du prestataire ou du donneur d’ordres, devis, facture, ticket de support, ainsi que la date à laquelle ils ont appris l’exposition. Ces diligences ne préjugent d’aucune responsabilité : elles préservent des droits dont l’existence ne sera tranchée que plus tard, pièces à l’appui.

Au-delà des pièces internes, l’entreprise devrait organiser la preuve à l’égard des tiers. Si des clients ou des fournisseurs l’interrogent, elle répondrait par écrit, de façon factuelle : ce qu’elle sait, ce qu’elle a fait, ce qu’elle attend du prestataire, sans imputer de faute. Ces courriers, conservés, démontreraient sa diligence si sa propre responsabilité était recherchée. Si un préjudice apparaît — interruption d’activité, dépenses de confinement, fraude subie par un partenaire — elle devrait le chiffrer dès l’origine : factures d’audit, relevés d’indisponibilité, correspondances avec les partenaires lésés, constats. La cour d’appel de Reims, dans son arrêt du 28 avril 2026, a écarté les postes de préjudice établis par un simple tableau interne et le coût d’un audit décidé seul, sans nécessité démontrée : le juge indemnise le dommage prouvé, non le dommage allégué. De même, une expertise judiciaire, demandée en référé, peut s’avérer décisive lorsque la cause technique est discutée : dans l’affaire jugée à Reims, c’est le rapport de l’expert qui a fondé le partage de responsabilités. Encore faut-il agir vite, car les journaux techniques s’écrasent et les sauvegardes tournent : une demande de conservation écrite adressée au prestataire, puis, si nécessaire, une assignation en référé aux fins de constat ou d’expertise, sécurisent une preuve volatile. Enfin, l’entreprise vérifierait ses propres sauvegardes : dispose-t-elle d’une copie saine, déconnectée, de ses données essentielles ? La réponse conditionne sa capacité à redémarrer sans le prestataire et à limiter son préjudice, ce que le juge apprécierait au moment d’évaluer son obligation de minimiser le dommage.

II. La carte des décisions : prestataire, clients et chaîne de responsabilités

A. Face au prestataire : contrat, mise en demeure et sort des redevances

Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Tout commence donc par la lecture du contrat de maintenance, d’infogérance ou de services : périmètre de la mission, obligations de sécurité et de sauvegarde, engagements de disponibilité, clause de confidentialité, clause de réversibilité, clause résolutoire, plafonds de responsabilité. Si l’entreprise cliente estime que le prestataire n’exécute pas ses obligations de sécurité, elle peut, lorsque l’inexécution invoquée est suffisamment grave, refuser d’exécuter sa propre obligation : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » Mais ce droit de suspendre le paiement ou l’exécution suppose une inexécution établie et grave, et la jurisprudence du 1er septembre 2026 montre le prix d’une suspension décidée sans preuve ni mise en demeure préalable : condamnation au paiement des redevances, des indemnités contractuelles et des frais. La voie prudente consiste à mettre le prestataire en demeure par écrit, de façon précise et circonstanciée : exiger la confirmation de l’incident, la liste des données concernées, les mesures de confinement, le calendrier de remédiation, la suspension des accès distants et la remise des journaux. Après mise en demeure, le créancier peut aussi faire exécuter l’obligation par un tiers : « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation ou, sur autorisation préalable du juge, détruire ce qui a été fait en violation de celle-ci. » Un audit externe, une prestation de confinement ou une migration d’urgence entrent dans ce cadre, à condition d’en garder les factures pour en demander le remboursement. Quant à la résolution, elle « résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Rompre brutalement sans vérifier la clause et sans caractériser la gravité exposerait l’entreprise à devoir les redevances jusqu’au terme, comme dans l’affaire toulousaine. Et lorsque plusieurs contrats forment une opération d’ensemble — maintenance, hébergement, licences, financement — la disparition de l’un peut entraîner la caducité des autres : « Lorsque l’exécution de plusieurs contrats est nécessaire à la réalisation d’une même opération et que l’un d’eux disparaît, sont caducs les contrats dont l’exécution est rendue impossible par cette disparition et ceux pour lesquels l’exécution du contrat disparu était une condition déterminante du consentement d’une partie. » Chaque contrat de la chaîne doit donc être relu avant toute notification de rupture. Le manquement, s’il était établi, ouvrirait droit à réparation : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La cour d’appel de Reims a ainsi, le 28 avril 2026, partagé par moitié les responsabilités entre un prestataire informatique et son client après une attaque par rançongiciel, retenant que le client aurait dû mieux définir ses besoins et établir un cahier des charges : la sécurité est une obligation partagée, et le juge pèse la faute de chacun. La mise en demeure mérite un soin particulier, car tout l’édifice contractuel repose sur elle : suspension, exécution par un tiers et résolution supposent une inexécution caractérisée après interpellation restée vaine. Elle devrait être adressée par un moyen conférant date certaine, viser précisément les stipulations invoquées, décrire les faits constatés avec leurs dates, impartir un délai raisonnable et proportionné à la nature des mesures demandées, et rappeler les sanctions envisagées. Une mise en demeure vague ou comminatoire, qui se bornerait à exiger « toutes mesures utiles », ne produirait guère d’effet devant le juge. Symétriquement, l’entreprise qui reçoit une mise en demeure de son prestataire — par exemple pour des redevances qu’elle aurait suspendues — devrait y répondre dans le délai imparti, en exposant ses griefs avec pièces, plutôt que de garder le silence : le tribunal de commerce de Toulouse a précisément sanctionné un client qui n’avait jamais interpellé le prestataire avant de cesser de payer. Par ailleurs, les clauses limitatives ou exclusives de responsabilité, fréquentes dans les contrats informatiques, devraient être relues à la lumière de leur opposabilité : des conditions générales non jointes au devis accepté et non signées peuvent être déclarées inopposables, comme l’a jugé la cour d’appel de Reims à propos d’une clause qui cantonnait la responsabilité du prestataire. Enfin, si le dialogue se rompt, le juge des référés peut ordonner des mesures conservatoires — provision, injonction de faire, désignation d’expert — sans trancher le fond, ce qui permet de sécuriser la situation en attendant que la lumière soit faite sur la réalité de l’incident.

Pour les litiges entre professionnels, l’accompagnement des entreprises en contentieux commercial et contractuel permet de faire relire ces clauses et de calibrer mise en demeure, suspension ou résolution avant d’agir.

B. Face à sa propre chaîne : données personnelles, secret et assurance

L’exposition des données ne s’arrête pas au contrat avec le prestataire. Lorsqu’un traitement est effectué pour le compte d’une entreprise cliente, celle-ci devrait ne retenir que des prestataires offrant des garanties suffisantes de sécurité et de protection des droits, garanties appréciées à la signature puis pendant toute la relation. La Commission nationale de l’informatique et des libertés rappelle que les sous-traitants sont soumis aux mêmes exigences que les responsables de traitement Responsable du traitement et sous-traitant sont tenus ensemble à la sécurité, avec des mesures techniques et organisationnelles adaptées au risque : chiffrement, résilience des systèmes, capacité de rétablissement et tests réguliers. En cas de violation avérée, le sous-traitant devrait alerter son client sans attendre, et le responsable du traitement devrait notifier l’autorité de contrôle dans les meilleurs délais, si possible sous soixante-douze heures, puis informer les personnes concernées en cas de risque élevé. Or, à ce stade, aucune violation n’est établie par une source officielle : une revendication sur un site de recensement ne constitue pas, à elle seule, la connaissance d’une violation au sens de ces textes. L’entreprise cliente devrait donc exiger du prestataire une position écrite — confirmation ou démenti circonstancié — et, dans l’attente, documenter sa diligence : registre des traitements, analyse du risque, courriers au prestataire. Si la violation était confirmée, chaque entreprise cliente deviendrait à son tour débitrice de ces notifications pour les données dont elle est responsable, y compris à l’égard de ses propres clients et fournisseurs dont les données transitaient par le prestataire. Les tiers sans contrat disposeraient, eux, de droits propres : droit d’accès et d’information auprès du responsable du traitement qui a confié leurs données au prestataire, et, en cas de préjudice démontré, action en responsabilité, délictuelle faute de contrat, contre l’auteur de la faute établie. Parallèlement, les entreprises devraient relire leurs contrats d’assurance : cyber, responsabilité civile professionnelle, protection juridique et pertes d’exploitation, avec leurs obligations de déclaration et leurs exclusions. Les fournisseurs impayés dans la tourmente conserveraient leurs droits au paiement dans les délais convenus et, en cas de retard, l’indemnité forfaitaire de recouvrement, dont « Le montant de l’indemnité forfaitaire pour frais de recouvrement prévue au II de l’article L. 441-10 est fixé à 40 euros. » Enfin, chacun devrait changer les mots de passe et révoquer les accès partagés avec le prestataire, journaliser ces opérations et s’abstenir de toute imputation publique : affirmer sans preuve qu’une société a été piratée ou qu’elle est responsable exposerait son auteur à des poursuites, alors même qu’il se prétendrait victime par ricochet.

Resterait la question des personnes physiques dont les données transitent par ces fichiers : salariés des entreprises clientes, interlocuteurs chez les fournisseurs, contacts commerciaux. Si une violation était confirmée, l’entreprise responsable du traitement devrait pouvoir démontrer qu’elle avait choisi son sous-traitant avec soin, que le contrat encadrait la sécurité et le sort des données, et que son registre des traitements décrivait ces flux. Le délégué à la protection des données, lorsqu’il existe, devrait être associé sans attendre : qualification de l’incident, analyse du risque pour les droits et libertés, préparation des notifications. Les entreprises sans délégué désigné devraient identifier qui, en interne, porte ces décisions, car le délai de soixante-douze heures court à compter de la connaissance de la violation, et l’improvisation se paie en retard de notification. Quant aux tiers — prospects, anciens contacts, fournisseurs du prestataire — ils pourraient exercer leurs droits auprès de chaque responsable du traitement concerné : demander quelles données sont détenues, d’où elles proviennent, à qui elles ont été communiquées, et en obtenir l’effacement lorsqu’elles ne sont plus nécessaires. Une entreprise qui recevrait de telles demandes devrait y répondre dans les délais légaux, sans renvoyer systématiquement vers le prestataire, car c’est sa propre qualité de responsable du traitement qui serait en jeu pour les données qu’elle lui a confiées.

Un point mérite une vigilance particulière : les fichiers décrits contiendraient aussi des éléments couverts par le secret des affaires — tarifs, marges, listes de clients et de fournisseurs, conditions négociées. Si ces informations étaient effectivement diffusées, chaque entreprise concernée devrait en inventorier la part qui lui appartient et rappeler par écrit à ses partenaires leurs obligations de confidentialité, sans pour autant diffuser elle-même la liste de ce qui aurait fuité : republier l’inventaire des données exposées aggraverait le dommage. Les clauses de non-divulgation des contrats avec le prestataire et avec les partenaires devraient être relues pour vérifier leur durée, leur périmètre et les sanctions prévues. En cas d’utilisation par un concurrent d’informations ainsi obtenues, l’action en concurrence déloyale ou en violation du secret des affaires supposerait de démontrer le caractère secret des informations, les mesures de protection prises et l’obtention illicite : autant d’éléments qui se préparent dès l’annonce, par la conservation des politiques internes de classification, des accords de confidentialité signés et des restrictions d’accès documentées. Là encore, aucune accusation nominative ne devrait être lancée sur la foi d’une revendication anonyme : désigner publiquement un concurrent comme bénéficiaire de la fuite, sans preuve, inverserait les rôles devant le tribunal.

Sur le plan financier, l’entreprise devrait déclarer sans tarder le sinistre potentiel à ses assureurs : assurance cyber quand elle existe, responsabilité civile professionnelle, protection juridique, voire pertes d’exploitation. Les polices imposent des délais de déclaration brefs et sanctionnent le retard par la déchéance ; elles excluent souvent la faute intentionnelle, les sanctions réglementaires et les amendes, et plafonnent les frais d’expertise et de notification. Déclarer ne signifie pas reconnaître une faute : la déclaration décrit un fait — l’annonce d’une exposition — et sollicite la garantie pour les frais de gestion de crise, d’audit et de défense. L’entreprise joindrait à sa déclaration le contrat avec le prestataire, la copie datée de l’annonce, ses courriers de mise en demeure et le chiffrage provisoire des mesures engagées. Si elle n’est pas assurée, elle chiffrerait de même ses coûts, car ils constitueraient, le cas échéant, un poste de préjudice réclamé au responsable établi par le juge. Dans tous les cas, les décisions coûteuses — audit complet, migration d’urgence, campagne de notification — gagneraient à être précédées d’un écrit qui en expose la nécessité, afin que leur caractère raisonnable puisse être discuté pièces à l’appui plutôt qu’après coup.

Enfin, la chaîne de sous-traitance complique la carte : le prestataire compromis peut lui-même recourir à des hébergeurs, des éditeurs ou des centres de support, en France ou hors d’Europe, et chaque maillon ajoute un lieu de stockage et un régime de responsabilité. L’entreprise cliente devrait donc demander à son prestataire la liste de ses propres sous-traitants et la localisation des données, informations que le contrat devrait prévoir. Sans réponse écrite, elle ne pourrait ni évaluer son exposition réelle ni remplir ses propres obligations d’information à l’égard de ses clients et de ses salariés.

En conclusion, et avec les mêmes réserves qu’en ouverture : à la date de rédaction, aucune intrusion, aucun dommage ni aucune responsabilité ne sont constatés par une source officielle ; seule une revendication, relayée par un site spécialisé, décrit des fichiers qui seraient diffusés. Les entreprises potentiellement concernées — clientes du prestataire, fournisseurs, prospects et contacts figurant dans ses outils — devraient figer leurs preuves, relire leurs contrats, mettre en demeure par écrit avant de suspendre ou de rompre, exiger du prestataire une position documentée et préparer, sans les anticiper, les notifications qui s’imposeraient si une violation était confirmée. Les contrats signés priment sur toute analyse générale, et seul le juge, au vu des pièces versées aux débats, déciderait des responsabilités et des réparations.