Le 30 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information a rendu public un rapport décrivant la compromission d’une centaine de comptes liés à ses propres outils collaboratifs et à ceux de la direction interministérielle du numérique, après l’exploitation d’une faille de la plateforme d’analyse de données Metabase. L’éditeur avait lui-même décrit le 27 août 2026 la découverte, le 3 août 2026, d’une clé d’interface créée hors des heures ouvrées chez l’un de ses clients en nuage, puis la distribution d’un correctif le 6 août 2026. Données de connexion, identifiants, courriels, mots de passe hachés, informations administratives d’organismes et historiques de connexion auraient été exfiltrés, selon le rapport. Aucune responsabilité n’est établie à la date de rédaction : les faits sont ceux que décrivent l’éditeur et l’agence, les qualifications juridiques restent à l’appréciation du juge, et les contrats signés entre chaque maillon de la chaîne priment sur toute analyse générale.

Pour l’entreprise cliente d’une plateforme compromise, pour son fournisseur et pour son prestataire, la question n’est pas de commenter l’incident des autres. Elle est de savoir qui détient quelle preuve, qui doit notifier qui et dans quel délai, s’il faut suspendre, résilier ou maintenir les contrats, et contre qui se retourner si le dommage se réalise en aval. Cet article établit la carte de ces décisions : d’abord ce que les sources officielles établissent et ce que chaque acteur doit conserver comme preuve, ensuite les décisions contractuelles et contentieuses qui se prennent en chaîne, de la notification à la réparation.

I. Une faille d’éditeur et trois maillons exposés

A. Ce que les sources officielles établissent, et ses limites

Selon le billet publié par l’éditeur Metabase le 27 août 2026, tout commence le 3 août 2026 par le signalement d’un client : une clé d’interface de programmation a été créée en dehors des heures normales de travail. L’enquête interne repère un schéma d’accès anormal, une même adresse ayant créé une clé sur deux instances clientes distinctes en suivant la même séquence de points d’accès. Par rétro-ingénierie, l’éditeur identifie une vulnérabilité alors inconnue, dite zero-day, permettant de générer une session active, puis diffuse un correctif à son parc d’instances en nuage et publie les versions corrigées le 6 août. L’éditeur précise que toutes les installations fonctionnant avec les versions 0.58 et ultérieures étaient vulnérables, et indique avoir mandaté un cabinet externe de réponse aux incidents et d’investigation numérique. Ce récit est celui de l’entreprise elle-même : il décrit une réaction, pas une absence de faute, et il ne dit rien des instances auto-hébergées par les clients, qui devaient appliquer elles-mêmes la mise à jour.

Selon l’article de BFM Tech publié le 30 septembre 2026 à 18 h 42, le rapport rendu public le même jour par l’agence fait état de 120 comptes compromis, dont 118 liés à l’agence et une trentaine appartenant à des utilisateurs externes. Les catégories de données exfiltrées, toujours selon ce compte rendu du rapport, comprennent des statistiques d’utilisation, des identifiants, des courriels, des mots de passe hachés, des informations administratives d’organismes publics telles que numéros SIREN et SIRET, budgets et effectifs, des métadonnées de contributions à des projets logiciels libres et des historiques de connexions anonymisés. L’agence indique que des mesures de sécurisation ont été mises en place, notamment la mise à jour des instances vulnérables et un renouvellement des mots de passe pour l’ensemble des comptes, et que les comptes inutilisés depuis plus de trois mois ont été désactivés. Pour la direction interministérielle du numérique, l’agence estime que les données compromises seraient déjà publiques, tout en relevant que les vulnérabilités ont été corrigées. Ces éléments sont rapportés ici à l’indicatif parce qu’ils figurent dans ces sources ; tout ce que ces sources ne disent pas, notamment l’usage qui aurait été fait des données et l’identité des auteurs, reste au conditionnel ou n’est pas écrit.

Trois maillons professionnels se distinguent alors. Le premier est l’éditeur de la plateforme, qui conçoit le logiciel, exploite le nuage et publie les correctifs. Le deuxième est l’entreprise ou l’organisme client qui utilise la plateforme, en nuage ou auto-hébergée, pour traiter ses propres données et parfois celles de ses propres clients. Le troisième est le prestataire intermédiaire, infogérant, intégrateur ou sous-traitant, qui a déployé, paramétré ou supervisé l’outil pour le compte du client. La veille encore, ces trois acteurs échangeaient des journaux, des correctifs et des attestations ; depuis la faille, ils s’échangent des notifications, des mises en demeure et des demandes de preuves. Chacun détient une partie du dossier et aucun ne détient le dossier entier : l’éditeur détient les journaux de sa flotte et la chronologie du correctif, le client détient ses propres journaux, ses contrats et son registre des traitements, le prestataire détient les traces de ses interventions. La suite des décisions dépend de cette répartition.

B. Qui détient quelle preuve, et que conserver en premier

Le réflexe premier n’est ni de résilier ni de communiquer, mais de figer les preuves. Côté client professionnel, doivent être conservés sans délai les journaux de connexion de l’instance concernée, la version exacte du logiciel en service aux dates de la fenêtre d’exposition, les échanges avec l’éditeur et le prestataire, les relevés d’utilisation anormale et l’inventaire des données traitées dans l’outil. Côté prestataire, ce sont les comptes rendus d’intervention, les dimostrations de mises à jour proposées ou appliquées, les alertes transmises au client et leurs dates. Côté éditeur, la chronologie de la découverte et du correctif, déjà partiellement publiée, devra être complétée si un litige survient. Cette discipline probatoire conditionne tout : sans date de version, sans journal et sans écrit, il devient très difficile d’établir qui savait quoi et quand, et donc qui a manqué à quoi.

La qualification des rôles au regard du droit des données personnelles structure ensuite les obligations. Le règlement européen sur la protection des données impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à leurs mesures techniques et organisationnelles, de manière à garantir la protection des droits des personnes concernées (CNIL, travailler avec un sous-traitant). L’entreprise cliente qui confie ses tableaux de bord à une plateforme est le plus souvent responsable du traitement, l’éditeur son sous-traitant, et le prestataire intermédiaire un sous-traitant ultérieur. Cette chaîne détermine le sens des notifications : le sous-traitant alerte le responsable de toute violation dans les meilleurs délais après en avoir pris connaissance, afin que ce dernier puisse remplir ses propres obligations. Puis, si le risque pour les droits et libertés des personnes est avéré, c’est au responsable du traitement de notifier l’autorité : la notification devant intervenir dans les meilleurs délais et au plus tard soixante-douze heures après la prise de connaissance par le responsable du traitement (CNIL, violations de données personnelles : les règles à suivre). Lorsque le risque serait élevé, l’information des personnes concernées s’ajouterait dans les meilleurs délais, sauf les cas particuliers prévus par les textes.

La Commission nationale de l’informatique et des libertés, dans son dossier pratique consacré au sous-traitant au centre de la crise après une cyberattaque, décrit la même mécanique en deux temps : le sous-traitant aide ses clients concernés à effectuer leur notification et effectue également une notification pour lui-même lorsque des données qu’il traite pour son propre compte ont été exposées, puis les personnes sont informées si le risque est élevé (CNIL, cyberattaque : le sous-traitant au centre de la crise). Concrètement, l’entreprise cliente doit donc exiger de l’éditeur et du prestataire une notification documentée, périmètre, catégories de données, mesures prises, puis décider elle-même de notifier la Commission dans les soixante-douze heures et d’informer les personnes si le seuil est atteint. Chaque étape doit être écrite, datée et conservée : c’est ce dossier qui sera examiné en cas de contrôle ou de contentieux. Le point de départ de ce délai de soixante-douze heures mérite une attention particulière : il se situe au moment où l’entreprise acquiert un degré de certitude raisonnable que l’incident a eu lieu et a touché des données personnelles, ce qui suppose des mesures de détection en place et des investigations menées au plus tôt. Pendant cette phase d’investigation, le responsable n’est pas encore considéré comme ayant connaissance de la violation, mais chaque jour sans investigation fragilise cette position. D’où l’importance d’un journal d’incident horodaté, tenu dès le premier signal, qui fera foi devant l’autorité comme devant le juge. De même, le registre des activités de traitement doit être mis à jour pour mentionner l’incident, son périmètre et les mesures correctives, et la police d’assurance cyber, si elle existe, doit être déclarée dans le délai stipulé, souvent bref, avec le même dossier de preuves. L’assureur, le commissaire aux comptes et, le cas échéant, les donneurs d’ordre soumis à des obligations sectorielles de sécurité forment un second cercle à informer, chacun selon son propre contrat et son propre calendrier. Omettre l’un de ces cercles, c’est prendre le risque de perdre une garantie ou de manquer un délai alors même que le dossier au fond serait solide.

II. Les décisions qui se prennent en chaîne

A. Tenir le contrat, suspendre ou rompre : l’ordre des sanctions

Face à une plateforme compromise, la tentation est de tout arrêter d’un coup : couper l’accès, résilier tous les contrats, changer d’éditeur. Le droit civil hiérarchise autrement les réactions, et cet ordre protège aussi bien le client que le fournisseur. La partie qui subit l’inexécution dispose d’un éventail gradué : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (article 1217 du code civil). La suspension du paiement des redevances pendant que le service est inutilisable, l’exigence d’une remise en conformité avec un calendrier précis, puis seulement la résolution si l’inexécution serait suffisamment grave, forment une séquence lisible et défendable. Chaque décision doit être notifiée par écrit, car c’est la notification qui fait courir les délais et qui prouve la bonne foi.

La résolution elle-même obéit à des conditions strictes : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » (article 1224 du code civil). Et lorsque le contrat comporte une clause résolutoire, celle-ci doit avoir été visée : « La clause résolutoire précise les engagements dont l’inexécution entraînera la résolution du contrat. La résolution est subordonnée à une mise en demeure infructueuse, s’il n’a pas été convenu que celle-ci résulterait du seul fait de l’inexécution. La mise en demeure ne produit effet que si elle mentionne expressément la clause résolutoire. » (article 1225 du code civil). L’entreprise cliente qui envisage de rompre avec son éditeur ou son infogérant doit donc relire la clause, mettre en demeure en visant expressément cette clause, laisser le délai stipulé, puis seulement notifier la résolution. À défaut, la rupture pourrait elle-même être regardée comme fautive, et le client deviendrait le débiteur de dommages-intérêts envers le prestataire qu’il accusait.

Reste la question que tout dirigeant pose : le contrat plafonne-t-il la réparation ? Deux décisions récentes encadrent la réponse, dans un sens favorable aux clients mais sans automatisme. Par un arrêt du 13 novembre 2025, la chambre commerciale de la Cour de cassation a jugé, dans un litige opposant l’éditeur Oracle à ses clientes Gravotech, que : la chambre commerciale de la Cour de cassation jugeant que la résolution d’un contrat pour inexécution laisse subsister les clauses limitatives de réparation des conséquences de cette inexécution (Cass. com., 13 novembre 2025, n° 22-22.225, Oracle contre Gravotech). Autrement dit, résoudre le contrat ne fait pas disparaître le plafond convenu : le client qui résilie ne recouvre pas pour autant une réparation illimitée. La même décision rappelle d’ailleurs une exigence de procédure qui vaut pour tous les contentieux en chaîne : « Le juge doit, en toutes circonstances, faire observer et observer lui-même le principe de la contradiction. » (article 16 du code de procédure civile), de sorte qu’aucun moyen relevé d’office ne peut fonder une condamnation sans débat préalable. Mais ce plafond lui-même peut être écarté lorsqu’il heurte l’obligation essentielle du contrat, car « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » (article 1170 du code civil). La cour d’appel de Paris l’a appliqué le 17 avril 2026 à un prestataire de télésurveillance défaillant : la cour d’appel de Paris a jugé le 17 avril 2026 que l’obligation essentielle inexécutée s’analyse en une obligation de résultat, dont le créancier établit la méconnaissance par la seule preuve de l’inexécution, et qu’une clause limitative qui contredirait la portée de cette obligation essentielle, en la vidant de sa substance, doit être réputée non écrite (CA Paris, pôle 5, chambre 11, 17 avril 2026, n° 23/05693, SOVAMEP contre ERYMA). Transposée à une plateforme d’analyse compromise, cette logique inviterait à examiner si la sécurité des accès constituerait l’obligation essentielle du contrat d’hébergement ou de fourniture du logiciel ; si tel serait le cas selon le juge saisi, le client n’aurait qu’à prouver l’inexécution, et le plafond qui viderait cette obligation de sa substance pourrait être réputé non écrit. Ce raisonnement reste une argumentation à plaider, jamais un résultat acquis.

Le contentieux en chaîne trouve son modèle dans un arrêt de la cour d’appel de Versailles du 19 mai 2022 : l’hébergeur Claranet, dont l’incident du 28 juin 2017 avait entraîné l’interruption du service et la perte complète des données comptables de l’association Amnesty International, a été déclaré responsable envers l’infogérant Apogea, qui avait lui-même indemnisé l’association par un protocole transactionnel de 48 752,40 euros (CA Versailles, 12e chambre, 19 mai 2022, n° 20/05106). Trois maillons, un incident à la source, une indemnisation qui remonte : le client final est désintéressé par son prestataire direct, qui se retourne contre l’hébergeur. C’est exactement la grammaire d’une faille d’éditeur : chaque maillon paie son voisin puis appelle en garantie le maillon amont, à condition d’avoir conservé les preuves et respecté les clauses de garantie et d’assurance de chaque contrat. Pour les entreprises qui structurent leurs relations de fourniture et de sous-traitance, la page consacrée aux contentieux et contrats en droit des affaires à Paris rappelle que ces chaînes contractuelles se préparent avant l’incident, dans les clauses de sécurité, de notification et de recours.

B. Réparer le dommage en aval sans rompre brutalement

Le dommage ne s’arrête pas à la relation entre l’éditeur et son client direct. L’entreprise cliente utilise la plateforme pour servir ses propres clients : tableaux de bord partagés, rapports transmis, identifiants de collaborateurs exposés. Si elle interrompt brutalement ses propres prestations ou si elle rompt sans préavis avec un sous-traitant devenu inutile, elle crée un second litige dont elle serait l’auteur. Le code de commerce sanctionne cette brutalité : « Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait, par toute personne exerçant des activités de production, de distribution ou de services de rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment de la durée de la relation commerciale, en référence aux usages du commerce ou aux accords interprofessionnels » (article L. 442-1, II du code de commerce). La cour d’appel de Paris l’a illustré le 11 avril 2025 en condamnant un constructeur automobile à verser 94 222,47 euros à son ancien partenaire pour un préavis jugé insuffisant, porté à six mois (CA Paris, pôle 5, chambre 11, 11 avril 2025, n° 22/20200). Même en pleine crise, la réorganisation des contrats aval exige donc un préavis écrit et proportionné à la durée de la relation, sauf inexécution grave de l’autre partie ou force majeure, que le même texte réserve expressément.

La réparation, enfin, suit le principe de l’exécution défectueuse des contrats : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Mais cette réparation n’est pas illimitée : « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » (article 1231-4 du code civil). Pour l’entreprise cliente, cela signifie documenter le lien direct entre la faille et chaque poste de préjudice : coût de la remédiation, interruption d’activité mesurée, notifications effectuées, perte de clientèle établie par pièces. La cour d’appel de Paris, dans l’affaire de télésurveillance précitée, a d’ailleurs rappelé que la réparation d’un manquement à une obligation d’alerte ne pouvait consister qu’en une perte de chance d’éviter ou de limiter le dommage, et non en l’équivalent du dommage entier. Par analogie, l’entreprise qui reprocherait à son éditeur de ne pas l’avoir alertée à temps devrait s’attendre à ce que le juge raisonne en perte de chance, en tenant compte de ce qu’elle aurait pu faire elle-même si elle avait été informée plus tôt, par exemple appliquer le correctif sur ses instances auto-hébergées ou révoquer les clés exposées. Les sommes allouées produiront quant à elles des intérêts dont la capitalisation annuelle peut être ordonnée dans les conditions prévues par la loi (article 1343-2 du code civil), ce qui donne aussi aux entreprises une raison supplémentaire de dater précisément leur mise en demeure et leur assignation.

Au terme de cette carte, chaque acteur connaît sa première décision. L’éditeur documente, corrige et notifie ses clients dans les meilleurs délais. L’entreprise cliente fige ses preuves, exige la notification documentée du sous-traitant, notifie l’autorité dans les soixante-douze heures si le risque est caractérisé, informe les personnes si le risque serait élevé, puis gradue sa réponse contractuelle de la suspension à la résolution en visant les clauses. Le prestataire intermédiaire assiste ses clients dans leurs notifications, conserve la trace de ses interventions et prépare son recours en garantie contre l’amont. Aucune intrusion supplémentaire ni aucun dommage définitif n’est constaté par une source officielle à la date de rédaction au-delà de ce que décrivent l’éditeur et l’agence ; aucune responsabilité n’est établie ; les contrats signés priment sur toute analyse générale, et seul le juge, au vu des pièces de chaque espèce, décidera qui doit répondre de quoi.