Le 29 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a rendu public son rapport d’incident sur les cyberattaques qui ont touché la direction générale des finances publiques (DGFiP) pendant l’été 2026. D’après la page de l’agence, ce rapport a été remis au Premier ministre le jeudi 24 septembre 2026 et publié cinq jours plus tard. Il retrace des activités illégitimes observées entre mai et août 2026, avec deux vagues d’exfiltrations revendiquées les 12 et 13 août : la première sur la plateforme impots.gouv.fr, la seconde sur des données cadastrales détenues par la DGFiP. Pour les entreprises, l’événement ne se résume pas à une actualité administrative : 252 000 professionnels figurent parmi les personnes concernées par la première vague selon le rapport, les cabinets qui télédéclarent pour leurs clients et les éditeurs connectés aux portails fiscaux se retrouvent en première ligne, et les coupures d’accès décidées en urgence ont, toujours selon le rapport, entraîné des impacts significatifs sur des services et des entités partenaires. Cet article établit la carte des conséquences et des décisions en chaîne : qui détient quelle preuve, qui doit notifier quoi, et quelles clauses contractuelles relire avant d’agir. Réserves d’emblée, qui cadrent l’ensemble du propos : à la date de rédaction, l’intrusion et les exfiltrations sont constatées par une source officielle, le rapport public de l’ANSSI ; en revanche, aucune responsabilité d’une entreprise, d’un cabinet ou d’un prestataire en particulier n’est établie par ce rapport, qui a été anonymisé avant diffusion ; les contrats signés entre les parties priment sur toute analyse générale développée ici, et seul le juge, saisi d’un dossier complet, tranche les litiges et les responsabilités.

Le point de départ factuel mérite d’être cité précisément, car tout le raisonnement juridique en dépend. Selon l’annonce publiée par l’ANSSI, l’agence a mené une investigation pour retracer la chronologie des activités illégitimes observées sur les systèmes d’information de la DGFiP entre mai 2026 et août 2026 et identifier les mesures qui auraient pu permettre de les détecter ou de les prévenir. Le rapport a été remis au Premier ministre le jeudi 24 septembre 2026 et publié le jour même de l’annonce, soit le 29 septembre 2026. Sur le périmètre, l’agence indique que ses investigations ont permis de retracer des exfiltrations de données sur deux périmètres : le premier, revendiqué le 12 août et concernant la plateforme impots.gouv.fr, et le second, revendiqué le lendemain et concernant des données cadastrales détenues par la DGFiP. Le rapport public, daté du 23 septembre 2026 et diffusé le 29 septembre, comporte vingt pages dont une chronologie détaillée en annexe ; il a été anonymisé et les informations sensibles ont été masquées en vue de sa diffusion publique, ce qui signifie que les versions publiques ne permettent pas d’identifier les personnes physiques concernées ni de reconstituer les données techniques sensibles. Toute la suite de cet article repose sur ces documents lus intégralement le 2 octobre 2026, et sur les textes applicables en vigueur à cette date.

I. Ce que le rapport de l’ANSSI établit, et ce qu’il n’établit pas

A. Deux exfiltrations documentées et trois faiblesses exploitées

La première vague concerne l’outil de gestion de la relation avec les usagers de la DGFiP. Selon le rapport, une revendication est publiée sur un forum en ligne le 12 août 2026 à 13h50 au sujet de données de la plateforme impots.gouv.fr, et l’ANSSI notifie l’administration le même jour à 16h32. Le lendemain matin, le détail des données est publié : des données concernant, selon le rapport public de l’ANSSI, près de 353 000 particuliers et 252 000 professionnels, obtenues à partir d’un outil de gestion de la relation avec les usagers de la DGFiP. L’enseignement majeur, pour les entreprises, tient à la chronologie réelle : D’après le rapport, les investigations ont montré par la suite que l’exfiltration s’était produite sept semaines plus tôt, précédée de plusieurs semaines d’exploration d’applicatifs de la DGFiP initiée notamment depuis le Réseau interministériel de l’État (RIE). Autrement dit, pendant que les entreprises déposaient normalement leurs déclarations de l’été, les données issues de leurs échanges avec l’administration étaient déjà, selon le rapport, entre les mains de l’auteur de la revendication depuis la fin du mois de juin. Le rapport chiffre au passage la volumétrie des sessions d’exfiltration, avec 11 Go échangés entre le 22 et le 25 juin puis 3 Go entre le 21 et le 23 juillet, sans qu’aucune alerte ne soit levée.

La seconde vague touche des données cadastrales et fait entrer un acteur privé dans la chaîne. D’après le rapport, une nouvelle revendication est publiée le 13 août 2026 au sujet de données cadastrales détenues par la DGFiP, et les investigations de la DGFiP ont mis en évidence, selon le rapport, que la compromission du poste d’un géomètre-expert au sein d’un cabinet privé avait permis de contourner la double authentification par messagerie, puis d’accéder aux données et de les exfiltrer entre le 27 juillet et le 8 août 2026. Ce passage mérite une lecture attentive de la part des professions qui accèdent aux portails de l’administration pour le compte de leurs clients : le point d’entrée décrit n’est pas un serveur central, c’est le poste de travail d’un professionnel privé, et l’authentification renforcée en place, un code à usage unique adressé par courrier électronique, a été contournée. Le rapport ne dit ni le nom du cabinet ni l’identité du professionnel, et le présent article ne cherche pas à les établir : la leçon est générique et vaut pour tous les cabinets, études et prestataires qui se connectent aux systèmes de l’État avec des identifiants professionnels depuis des postes parfois partagés entre usages.

Sur les causes, le rapport écarte l’idée d’une attaque d’une sophistication exceptionnelle : Le rapport écarte l’idée d’une attaque d’une sophistication exceptionnelle : selon lui, la compromission résulte de l’exploitation de faiblesses dans trois domaines. Le premier domaine est l’identité. L’attaquant aurait disposé, sur une période de trois mois, de plusieurs dizaines de couples identifiant et mot de passe d’agents légitimes, probablement captés par des logiciels espions de type infostealers installés sur des ordinateurs non administrés par la DGFiP. Le rapport indique qu’le rapport suppose que la compromission d’un tel volume de comptes provient de l’utilisation d’appareils non administrés par la DGFiP pour accéder aux ressources métier, notamment des appareils personnels pour les identifiants du portail ADER ou ceux d’organismes tiers pour le portail APEX. Surtout, l’absence d’authentification multifacteur, en particulier sur les périmètres PIGP et ADER, permettait la réutilisation immédiate des identifiants compromis, sans mesure palliative efficace, toujours selon le rapport. Pour une entreprise, la transposition est directe : tout identifiant professionnel utilisé depuis un équipement personnel ou partagé, sans second facteur robuste, expose non seulement sa propre messagerie mais l’ensemble des portails auxquels cet identifiant donne accès, y compris ceux de ses clients.
Le deuxième domaine est l’architecture. Selon l’ANSSI, des applications sensibles étaient exposées, pour répondre à un besoin métier, sur Internet ou accessibles depuis le RIE sans cloisonnement, ce qui augmentait leur exposition et ouvrait un risque de latéralisation depuis des ressources d’organismes tiers, comme cela a été le cas depuis le ministère de l’Éducation nationale, selon les constatations du rapport. Le mécanisme décrit, la latéralisation, mérite explication : une fois introduit dans le réseau partagé par le biais d’un organisme tiers compromis, l’attaquant a pu se déplacer vers des applications d’une autre administration, sans cloison pour l’arrêter. Transposé au monde de l’entreprise, ce schéma est celui de tous les écosystèmes interconnectés : portails clients partagés, accès de maintenance du prestataire informatique, interfaces entre le donneur d’ordre et ses sous-traitants. Quand un maillon faible du réseau donne accès aux données de tous les autres, la question n’est plus seulement technique, elle devient contractuelle : qui devait cloisonner, qui devait contrôler les accès tiers, et qui en apporte la preuve.

Le troisième domaine est la détection, et le constat est sévère : Le rapport constate qu’aucune de ces exfiltrations n’avait été détectée, ni par les moyens de supervision de la DGFiP ni par ceux de l’ANSSI, révélant des lacunes dans la supervision des systèmes d’information de l’administration fiscale. Le rapport détaille les signaux qui n’ont pas été corrélés : des connexions nocturnes, des volumes anormaux, des adresses IP déjà catégorisées comme malveillantes ou localisées à l’étranger, et une technique de scraping qui impose un nombre de requêtes considérable. Surtout, le portail ADER, utilisé pour exfiltrer les données issues de l’outil de relation usagers, n’était tout simplement pas supervisé par le centre opérationnel de sécurité de la DGFiP. Pour les entreprises, la leçon probatoire est considérable : pendant sept semaines, rien ne permettait de savoir que des données avaient quitté le système, et c’est la publication revendicative du mois d’août qui a servi de notification de fait. Or, en matière de données personnelles comme en matière contractuelle, les délais courent à compter de la connaissance de l’incident : d’où l’importance, pour chaque acteur de la chaîne, de documenter précisément quand il a appris quoi, et par quel canal.

Il faut enfin noter les conséquences immédiates des mesures d’endiguement, car elles constituent le premier effet domino décrit par le rapport lui-même : Les mesures d’endiguement prises immédiatement, notamment les coupures des accès des agents et des partenaires au portail à l’origine des exfiltrations, ont entraîné des impacts significatifs sur des services de la DGFiP et d’entités partenaires, indique le rapport. Concrètement, pour rétablir la sécurité, l’administration a coupé les accès des agents et des partenaires au portail compromis, et ce sont les organismes partenaires, entreprises, cabinets et prestataires connectés, qui ont subi l’interruption de service. Le plan d’action défini avec la DGFiP, qui couvre le renforcement de la supervision, la généralisation de l’authentification forte et la réduction de la surface d’exposition, ne pourra aboutir, selon le rapport, qu’avec l’appui de toute la chaîne métier. Les entreprises ne sont donc pas de simples spectatrices de la remédiation publique : elles en sont, pour partie, les exécutantes.

B. Ce que le rapport n’établit pas : ni attribution individuelle ni responsabilité d’un acteur privé

La rigueur impose de dire aussi ce que le rapport ne permet pas de conclure. D’abord, il n’attribue l’attaque à aucune personne identifiée : il décrit des activités illégitimes, une revendication publiée sur un forum en ligne, des marqueurs techniques, mais il ne désigne ni auteur ni complice, et il a été anonymisé avant publication. Ensuite, il n’établit la responsabilité d’aucune entreprise, d’aucun cabinet ni d’aucun prestataire : s’agissant du cabinet privé dont le poste aurait servi de point d’entrée à la seconde vague, le rapport décrit un mécanisme de compromission, pas une faute, et il ne dit rien des mesures de sécurité que ce cabinet avait ou non mises en place. Toute qualification en termes de faute, de manquement ou de responsabilité à l’encontre d’un acteur privé identifié ou identifiable serait donc, à ce stade, prématurée : elle appartiendrait au juge, au vu de l’ensemble des pièces, et non au commentateur du rapport. C’est le sens de la réserve posée en introduction et rappelée en conclusion : l’intrusion est établie par une source officielle, les responsabilités ne le sont pas.

De même, le rapport ne chiffre pas le préjudice subi par les personnes concernées, particuliers comme professionnels, et il ne dit pas quelles données exactement ont été exploitées après leur exfiltration. Les 353 000 particuliers et 252 000 professionnels mentionnés désignent des personnes concernées par les données exfiltrées, pas des victimes d’un préjudice démontré. Pour les entreprises dont des données fiscales ou cadastrales figureraient dans les jeux exfiltrés, la distinction est essentielle : être concerné par une exfiltration ouvre des droits et des obligations, notamment en matière de protection des données, mais ne prouve ni un dommage ni un droit automatique à réparation. Chaque entreprise devra donc établir sa propre situation : quelles données la concernant ont été exposées, quels usages frauduleux en ont été faits, et quel préjudice chiffrable en résulte, pièces à l’appui.

Enfin, le rapport ne règle aucune question contractuelle entre acteurs privés. Il ne dit pas si un cabinet comptable qui n’aurait pas pu accéder au portail pendant la coupure peut s’exonérer de ses retards déclaratifs, si un éditeur de logiciels dont le connecteur aurait relayé des identifiants compromis engage sa responsabilité, ni si un prestataire coupé du réseau peut suspendre ses prestations. Ces questions relèvent des contrats signés, des textes applicables et, en cas de désaccord, du juge. C’est pourquoi la seconde partie de cet article ne prédit aucune issue contentieuse : elle dresse la carte des textes, des preuves et des décisions que chaque acteur de la chaîne devrait examiner, dans l’ordre où l’urgence les impose.

II. La carte des décisions en chaîne : entreprises, cabinets et prestataires

A. Côté entreprises déclarantes et cabinets : données, notifications et preuves

La première question que toute entreprise devrait se poser est celle de son exposition. Les données exfiltrées proviennent, pour la première vague, d’un outil de gestion de la relation avec les usagers : il s’agit donc potentiellement de données issues des échanges entre les contribuables, y compris professionnels, et l’administration, et non du contenu intégral des déclarations. Pour la seconde vague, il s’agit de données cadastrales, qui intéressent directement les entreprises propriétaires, les foncières, les aménageurs et leurs conseils. Concrètement, l’entreprise devrait inventorier, avec son cabinet comptable ou son service fiscal interne, les échanges intervenus avec la DGFiP sur la période de mai à août 2026, vérifier si elle a fait l’objet d’une information individuelle, et surveiller les signaux d’exploitation frauduleuse : courriers suspects se prévalant de données fiscales exactes, tentatives d’usurpation d’identité auprès des banques ou des partenaires, ou sollicitations fondées sur des références cadastrales précises. Chaque constat devrait être horodaté et conservé, car c’est sur ces pièces que reposera, le cas échéant, la démonstration d’un préjudice.
La deuxième question est celle des notifications au titre de la protection des données, et elle se pose en cascade. Le texte européen applicable est le règlement (UE) 2016/679, et ses délais sont brefs. Son article 33 impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf risque improbable pour les droits et libertés des personnes, tandis que le sous-traitant doit notifier toute violation au responsable du traitement dans les meilleurs délais après en avoir pris connaissance ; et lorsque la violation est susceptible d’engendrer un risque élevé, l’article 34 impose au responsable du traitement de la communiquer à la personne concernée dans les meilleurs délais (règlement (UE) 2016/679, voir la page de la CNIL sur les notifications de violation de données personnelles). Ces trois phrases dessinent les obligations de chaque maillon : l’éditeur de logiciel de comptabilité ou de paie qui constaterait une violation sur son périmètre devrait la notifier à son client entreprise dans les meilleurs délais ; l’entreprise responsable du traitement de ses salariés, clients et prospects apprécierait le risque et notifierait la Commission nationale de l’informatique et des libertés dans les 72 heures si le risque est caractérisé ; et les personnes concernées seraient informées en langage clair si le risque élevé est retenu. La documentation de chaque violation est elle-même une obligation, puisque le responsable du traitement devrait constituer un dossier permettant à l’autorité de contrôle de vérifier le respect de ces règles. Pour les entreprises concernées par les exfiltrations de l’été 2026, la difficulté tient au point de départ du délai : c’est la connaissance de l’incident qui fait courir les 72 heures, et la publication du rapport de l’ANSSI le 29 septembre 2026 constitue, pour beaucoup d’acteurs, la première information précise et vérifiable. D’où la recommandation pratique : dater et conserver tout écrit, message de l’administration, alerte du prestataire ou article de presse spécialisée, qui établit quand l’entreprise a effectivement pris connaissance de l’atteinte.

La troisième question est celle du secret fiscal, qui protège les entreprises autant qu’il oblige l’administration. Le livre des procédures fiscales dispose en son article L. 103 que l’obligation du secret professionnel, telle qu’elle est définie par le code pénal, s’applique à toutes les personnes appelées à l’occasion de leurs fonctions à intervenir dans l’assiette, le contrôle, le recouvrement ou le contentieux des impôts. Et le code pénal punit en son article 226-13 « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, […] d’un an d’emprisonnement et de 15 000 euros d’amende. » L’entreprise dont les données fiscales auraient été exfiltrées n’est pas l’auteur de la révélation, elle en est la personne protégée : c’est ce statut qui fonde, le cas échéant, sa constitution de partie civile dans une procédure pénale, et qui justifie qu’elle demande à être tenue informée des suites judiciaires. En miroir, les cabinets et prestataires qui détiennent eux-mêmes des données fiscales de leurs clients sont dépositaires d’informations confidentielles et devraient vérifier leurs propres circuits : chiffrement, cloisonnement des accès, journalisation. Si un cabinet constatait que ses propres systèmes ont relayé la compromission, il basculerait du statut de spectateur à celui d’acteur notifiant, avec les obligations de notification décrites ci-dessus.

La quatrième question est celle de la preuve, car tout le contentieux à venir reposera sur des écrits. Le code civil pose en son article 1353 que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Appliqué à la crise de l’été 2026, ce principe distribue les rôles : l’entreprise qui invoquerait l’indisponibilité d’un portail pour justifier un retard déclaratif devrait prouver l’indisponibilité et sa diligence, captures d’écran datées, messages d’erreur conservés, courriers à l’administration et à ses partenaires ; le cabinet qui soutiendrait avoir tout mis en œuvre malgré la coupure devrait produire ses journaux d’activité et ses écrits d’information aux clients ; le prestataire qui prétendrait que l’incident lui est extérieur devrait établir l’état de ses propres systèmes. Les journaux de connexion, les accusés de réception, les échanges avec l’assistance des portails et les attestations d’huissier ou constats techniques constituent les pièces reines de ces dossiers. Une entreprise qui subit l’incident sans rien écrire s’expose, en cas de litige ultérieur, à ne pouvoir établir ni la cause de son retard ni la réalité de sa diligence.

La cinquième question, souvent négligée dans le commentaire des cyberattaques, est celle de la continuité des obligations déclaratives et contractuelles. L’exfiltration de données et même la coupure temporaire d’un portail ne suspendent pas, par elles-mêmes, les échéances fiscales, sociales ou contractuelles de l’entreprise. Les déclarations devraient être déposées par tout autre canal disponible, les paiements honorés à l’échéance, et les difficultés signalées par écrit à l’administration et aux cocontractants avant l’échéance, pas après. L’entreprise qui anticipe et documente son empêchement s’ouvre la possibilité de demander des remises ou des délais ; celle qui attend la relance pour invoquer l’incident se prive de cette faculté. Les cabinets ont ici un rôle décisif : informer leurs clients par écrit des perturbations constatées, proposer les canaux de substitution, et conserver la preuve de ces diligences, car leur propre responsabilité professionnelle pourrait être recherchée en cas de retard déclaratif imputé à leur inaction.

B. Côté éditeurs, prestataires et partenaires connectés : contrats, force majeure et pénal

Pour les éditeurs de logiciels, les prestataires informatiques et plus largement les fournisseurs dont les systèmes sont interconnectés avec ceux de leurs clients, la crise de l’été 2026 pose d’abord une question contractuelle : que promettait exactement le contrat en matière de sécurité et de disponibilité. Les clauses à relire en priorité sont celles qui définissent les engagements de sécurité, les objectifs de disponibilité, les procédures de notification d’incident, les audits et les limitations de responsabilité. Un prestataire dont le contrat promet une disponibilité chiffrée et une notification sous quelques heures sera jugé sur ces engagements, pas sur des standards abstraits ; à l’inverse, un contrat qui qualifie précisément les obligations de moyens du prestataire lui offre un cadre de défense, à condition qu’il prouve avoir mis en œuvre les moyens promis. Les entreprises clientes devraient, de leur côté, vérifier les clauses qui leur imposent des obligations de coopération, de mise à jour ou de signalement, car le prestataire en difficulté ne manquera pas de les invoquer. Les litiges en chaîne de l’automne 2026 se joueront, pour une large part, sur ces stipulations : les contrats signés priment sur toute analyse générale, et c’est à leur lecture attentive que les directions juridiques et les conseils en droit des affaires et contentieux des entreprises à Paris devraient consacrer leurs premières heures.
La tentation sera grande, pour les prestataires en difficulté, d’invoquer la force majeure, et c’est ici que la lecture du rapport de l’ANSSI devrait inciter à la prudence plutôt qu’à l’optimisme. Le code civil définit en son article 1218 la force majeure en matière contractuelle comme l’événement « échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées », qui « empêche l’exécution de son obligation par le débiteur ». Trois conditions cumulatives, donc : extériorité, imprévisibilité, irrésistibilité. Or le rapport décrit précisément des mesures appropriées qui auraient pu déjouer la compromission : authentification multifacteur généralisée, interdiction ou encadrement des équipements personnels pour les accès sensibles, cloisonnement des applications exposées sur le réseau partagé, supervision et corrélation des signaux. Un prestataire qui n’aurait mis en œuvre aucune de ces mesures préconisées par l’état de l’art pourrait difficilement soutenir que les effets de l’incident ne pouvaient être évités par des mesures appropriées ; à l’inverse, celui qui prouverait, journaux et audits à l’appui, un niveau de sécurité conforme aux engagements contractuels et aux référentiels applicables disposerait d’un dossier sérieux, sans garantie de succès pour autant. Et quand bien même l’empêchement serait temporaire, le texte précise que « l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat » : la suspension n’est donc pas une dispense définitive, et le créancier dont l’activité est bloquée conserve ses droits. Le même code rappelle d’ailleurs en son article 1231-1 que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » C’est donc au débiteur qui invoque l’incident de justifier de son empêchement, pièces à l’appui, et non au créancier de prouver la faute.

Lorsque l’inexécution est suffisamment grave et durable, la question de la résolution du contrat se pose, et elle intéresse les deux côtés de la chaîne. Le code civil dispose en son article 1224 que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » L’entreprise cliente d’un prestataire durablement indisponible après un incident devrait donc vérifier l’existence d’une clause résolutoire, mettre en demeure par écrit en visant la clause, et n’envisager la résolution unilatérale par notification qu’en cas d’inexécution suffisamment grave, au risque, en cas d’appréciation erronée, de voir sa propre résolution jugée fautive. Symétriquement, le prestataire qui envisagerait de suspendre ses prestations faute de paiement de ses factures par un client lui-même fragilisé par la crise devrait mesurer la gravité de sa propre décision. Dans les chaînes de contrats, chaque rupture en appelle une autre : le donneur d’ordre qui résilie sans motif suffisant s’expose à devoir des dommages-intérêts à son prestataire, et le prestataire qui suspend sans droit s’expose au même risque envers son client. La documentation écrite de chaque étape, mise en demeure, réponse, constat, proposition de solution de substitution, est la seule protection efficace des deux côtés.

Envers les tiers à ses contrats, clients ou partenaires qui subiraient un dommage, le prestataire dont une faute serait démontrée répondrait sur le fondement du code civil dont l’article 1240 dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le volet pénal de la crise mérite enfin l’attention des entreprises, non pour brandir la menace pénale dans les négociations commerciales, mais pour comprendre les réflexes qu’elle impose. Le code pénal punit en son article 323-1 « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » L’usage détourné d’identifiants légitimes, y compris ceux d’un salarié ou d’un prestataire qui outrepasserait son habilitation, entre dans ce champ : la Cour de cassation a ainsi rejeté le pourvoi formé contre un arrêt de la cour d’appel d’Agen qui avait condamné un greffier associé à 15 000 euros d’amende et à six mois d’interdiction professionnelle pour atteinte à un système de traitement automatisé de données après manipulation de données depuis le système informatique de son greffe (Crim., 8 juin 2021, n° 20-85.853). Dans une autre affaire visant un administrateur réseau poursuivi pour maintien frauduleux dans le système de son employeur, la chambre criminelle a maintenu une condamnation à trois mois d’emprisonnement avec sursis pour atteinte à un système de traitement automatisé de données, en statuant également sur les intérêts civils de la société qui s’était constituée partie civile (Crim., 2 septembre 2025, n° 24-83.605). Ces décisions montrent deux choses utiles aux entreprises : d’une part, le détournement d’accès par un initié est pénalement sanctionné, ce qui justifie les politiques internes de gestion des habilitations et de révocation immédiate des accès au départ des collaborateurs et à la fin des missions des prestataires ; d’autre part, l’entreprise dont le système est atteint peut obtenir réparation de son préjudice devant le juge pénal en se constituant partie civile, à condition d’avoir déposé plainte et chiffré son dommage. Concrètement, l’entreprise qui découvrirait que des identifiants volés à ses collaborateurs ont servi de vecteur à une compromission en chaîne devrait déposer plainte sans tarder, conserver les journaux et faire établir un constat technique, car ces pièces serviront à la fois au pénal et au civil.

Deux erreurs fréquentes devraient être évitées dans les semaines qui viennent. La première consisterait, pour une entreprise, à considérer que l’incident de l’été 2026 la dispense de toute diligence : ni l’exfiltration subie par l’administration ni la coupure temporaire d’un portail ne suspendent par elles-mêmes les échéances déclaratives, les paiements ou les obligations d’information, et l’inaction serait jugée sur ses propres mérites. La seconde consisterait, pour un prestataire ou un client, à rompre ou suspendre un contrat sans écrit préalable ni fondement vérifié, en pariant sur la crise générale pour justifier une décision individuelle : la force majeure et l’inexécution suffisamment grave s’apprécient contrat par contrat, pièce par pièce, et le juge ne se contentera pas d’une référence incantatoire à l’actualité. Entre ces deux écueils, la voie raisonnable est celle du dossier écrit : constater, horodater, notifier, proposer des solutions de substitution, puis discuter des conséquences financières au vu des pièces. Les acteurs qui appliquent cette discipline sortiront de la crise avec des litiges circonscrits ; ceux qui subissent l’incident sans l’écrire s’exposent à des litiges sur le principal lui-même.

En conclusion, le rapport public de l’ANSSI du 29 septembre 2026 transforme une actualité administrative en feuille de route pour les entreprises : deux vagues d’exfiltrations documentées entre juin et août 2026, touchant l’outil de relation avec les usagers de la DGFiP et des données cadastrales, 252 000 professionnels concernés par la première vague selon le rapport, un point d’entrée via le poste d’un professionnel privé pour la seconde, et des coupures d’accès qui ont perturbé les entités partenaires. Chaque maillon de la chaîne devrait en tirer des décisions concrètes : inventorier son exposition et surveiller les signaux d’exploitation, respecter la cascade des notifications du règlement européen sur les données personnelles, conserver les preuves de sa diligence, honorer ses échéances par tout canal disponible, relire ses contrats avant d’invoquer la force majeure ou de résilier, et déposer plainte, constats et journaux à l’appui, en cas d’atteinte à ses propres systèmes. Dernières réserves, qui valent avertissement : aucune responsabilité d’une entreprise, d’un cabinet ou d’un prestataire en particulier n’est établie par les sources citées, les constats du rapport ne valent pas décision de justice, les stipulations des contrats conclus priment sur les analyses générales développées ici, et seule une décision du juge, au vu de l’ensemble des pièces d’un dossier, dira qui doit finalement supporter le coût d’une crise qui se propage.