Un matin d’octobre, le comptable ne parvient plus à ouvrir le logiciel de facturation, la messagerie affiche un message de rançon et un prestataire avoue qu’un serveur partagé a été compromis pendant la nuit. Ce scénario n’a rien d’exceptionnel : octobre est le Cybermois, mois européen de la cybersécurité, et la CNIL a précisément alerté cette année sur les cyberattaques qui visent les sous-traitants, au coeur des fuites de données des entreprises donneuses d’ordre. Quand l’attaque passe par un hébergeur, un logiciel de gestion ou un infogérant commun à des dizaines de clients, chaque entreprise utilisatrice devient à la fois victime et responsable du sort des données qu’elle a confiées.

La difficulté tient à ce double statut. Victime d’une intrusion, l’entreprise doit déposer plainte et chiffrer son préjudice pour obtenir réparation. Responsable de traitement, elle doit dans le même temps contenir la fuite, décider en quelques heures si elle notifie la CNIL, informer ou non les personnes concernées et documenter chaque choix, car l’autorité contrôlera plus tard la rigueur de sa réaction. Le moindre faux pas technique — éteindre un serveur et effacer des journaux, restaurer une sauvegarde sans constat préalable, payer la rançon sans avis — peut ruiner la preuve pénale et aggraver la position civile.

Cet article décrit la conduite à tenir, heure par heure, lorsqu’une cyberattaque touche votre entreprise ou votre sous-traitant : les gestes qui préservent la preuve et fondent la plainte pénale, les notifications à adresser dans les 72 heures, l’activation de l’assurance cyber et les recours contre le prestataire ou le concurrent qui exploite les données volées, avec les réflexes propres à Paris et à l’Île-de-France.

I. Contenir l’attaque, préserver la preuve et notifier dans les 72 heures

A. Isoler sans détruire : les gestes qui fondent la plainte pénale et la preuve civile

La première heure décide souvent de l’issue judiciaire du dossier. L’objectif est double : stopper la propagation et figer l’état des systèmes tel que l’attaquant l’a laissé. Concrètement, l’équipe informatique ou le prestataire doit déconnecter les machines atteintes du réseau sans les éteindre brutalement, révoquer les sessions et les accès distants compromis, changer les mots de passe des comptes à privilèges depuis un poste sain, et surtout préserver les journaux de connexion, les sauvegardes et les images disques avant toute réinstallation. Chaque action est horodatée dans un journal de crise : qui a fait quoi, à quelle heure, sur quelle machine. Ce journal servira de fil conducteur au dépôt de plainte, à l’expert d’assurance et, plus tard, au juge.

Le réflexe inverse — tout réinstaller vite pour « repartir » — est la première cause d’échec des procédures. Sans journaux ni image disque, il devient impossible de dater l’intrusion, d’identifier le vecteur et de prouver l’ampleur de l’extraction, et l’assureur comme le juge pénal n’auront que des affirmations. Avant toute remise en service, faites établir un constat par un commissaire de justice (ex-huissier) : captures des messages de rançon, état des fichiers chiffrés, contenu des répertoires suspects, adresses et messages reçus. Ce constat fige des éléments volatils que la restauration effacera et donne à la plainte une base matérielle solide.

Le dépôt de plainte vise d’abord les infractions d’intrusion. Aux termes de l’article 323-1 du code pénal :

« Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal)

Lorsque l’attaquant a extrait, détenu ou diffusé des données, l’article 323-3 du code pénal ajoute un second fondement :

« Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal)

La plainte doit donc décrire les deux étages : l’accès ou le maintien frauduleux, puis l’extraction ou le chiffrement avec rançon. Joignez le journal de crise, le constat, les journaux conservés et la liste des données potentiellement concernées (fichiers clients, paie, comptabilité, messageries). Déposez plainte en ligne via la plateforme THESEE pour les escroqueries et piratages, puis faites enregistrer le procès-verbal au commissariat ou à la brigade de gendarmerie, en vous constituant partie civile dès que le préjudice est chiffrable. À Paris, les dossiers complexes sont orientés vers le pôle cyber du tribunal judiciaire de Paris et la Brigade de lutte contre la cybercriminalité de la préfecture de police, habituée aux attaques visant des TPE et PME franciliennes : mentionnez dans la plainte le nombre de postes atteints, la durée d’interruption et le chiffre d’affaires journalier perdu, car ces éléments conditionnent l’orientation du dossier.

La jurisprudence pénale montre que les condamnations suivent quand la preuve technique est conservée. Le 2 septembre 2025, la chambre criminelle de la Cour de cassation a rejeté le pourvoi d’un homme condamné pour maintien frauduleux dans un système de traitement automatisé de données à trois mois d’emprisonnement avec sursis, avec ce dispositif : (arrêt du 2 septembre 2025, n° 24-83.605)

« REJETTE le pourvoi ; » (arrêt du 2 septembre 2025, n° 24-83.605)

L’enseignement pour l’entreprise est direct : les juges sanctionnent le maintien frauduleux dès lors que les pièces techniques établissent l’intrusion, mais encore faut-il les avoir préservées au lieu de les écraser par une restauration précipitée.

Pensez aussi au volet interne. L’attaque révèle souvent que des fichiers confidentiels circulent sans contrôle : listes de clients, tarifs, marges, procédés. C’est le moment de rappeler par écrit les interdictions de copie et de transfert, de couper les accès des comptes partants et de vérifier les clauses de confidentialité des contrats de travail, car l’après-crise voit parfois d’anciens salariés ou des concurrents exploiter le désordre. La Cour de cassation a jugé le 2 septembre 2026 que (arrêt du 2 septembre 2026, n° 25-12.718)

« la seule détention d’informations confidentielles appartenant à une société concurrente apportées par un ancien salarié constitue un acte de concurrence déloyale » (arrêt du 2 septembre 2026, n° 25-12.718)

Autrement dit, si des fichiers exfiltrés pendant l’attaque réapparaissent chez un concurrent par l’intermédiaire d’un salarié parti, leur simple détention sur un poste du nouvel employeur suffit à caractériser la faute, sans qu’il soit besoin de prouver l’usage qui en a été fait. Conservez donc la cartographie des accès et les historiques de copie : ils serviront autant contre l’attaquant que contre l’éventuel bénéficiaire interne.

Enfin, qualifiez sans attendre les informations exposées au regard du secret des affaires. Est protégée à ce titre, selon l’article L151-1 du code de commerce :

« Est protégée au titre du secret des affaires toute information répondant aux critères suivants : 1° Elle n’est pas, en elle-même ou dans la configuration et l’assemblage exacts de ses éléments, généralement connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité ; 2° Elle revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret ; 3° Elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret. » (article L151-1 du code de commerce)

Listez les informations qui remplissent ces trois critères (bases clients enrichies, grilles tarifaires, procédés, données de recherche), décrivez les mesures de protection existantes (droits d’accès, chiffrement, clauses) et celles ajoutées depuis l’attaque. Cette qualification conditionne les recours en interdiction et en dommages-intérêts contre quiconque exploiterait les données volées, comme on le verra en seconde partie.

B. Notifier la CNIL en 72 heures, informer les personnes et tenir le registre

Parallèlement à la plainte, le compte à rebours réglementaire court. Dès qu’une violation de données à caractère personnel est connue — noms, coordonnées, identifiants, données de paie, relevés, parfois données sensibles —, le responsable de traitement doit évaluer le risque pour les droits des personnes et, sauf risque manifestement écarté et documenté, notifier la violation à la CNIL dans les 72 heures après en avoir eu connaissance, via le téléservice de notification. La notification décrit la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Une première notification incomplète, complétée ensuite, vaut mieux qu’une notification tardive : l’autorité sanctionne d’abord le silence et le retard.

Lorsque l’attaque transite par un sous-traitant — hébergeur, éditeur de logiciel, prestataire de paie ou de sauvegarde —, exigez de lui par écrit, dès la découverte, la description précise de l’incident : date et heure de détection, périmètre des systèmes partagés, catégories de données exposées, mesures de confinement et journaux disponibles. Le contrat de sous-traitance doit en principe lui imposer de vous alerter sans retard et de coopérer ; à défaut de réponse rapide, mettez-le en demeure par lettre recommandée avec accusé de réception, car c’est vous, responsable de traitement, qui répondrez devant la CNIL du délai de 72 heures. Si plusieurs de vos sous-traitants partagent la même infrastructure compromise, traitez chaque flux séparément dans le registre des violations : un registre tenu avec rigueur, qui retrace les faits, les effets et les mesures, est la première pièce que le contrôleur demandera.

L’information des personnes concernées s’impose quand la violation engendre un risque élevé : usurpation d’identité, fraude bancaire, accès aux messageries, perte de contrôle durable. Clients, prospects et salariés doivent alors être avertis en des termes clairs, avec les mesures de protection à prendre (vigilance sur les messages frauduleux, changement de mots de passe, opposition bancaire si des moyens de paiement sont exposés). Pour les salariés, coordonnez-vous avec les représentants du personnel et le service des ressources humaines : une note interne mal rédigée, qui minimise ou dramatise, nourrit les contentieux prud’homaux ultérieurs. Les lecteurs qui s’interrogent sur le versant des victimes individuelles trouveront le pendant de cette démarche dans notre article consacré aux réflexes des personnes dont les données ont été piratées, qui détaille plainte, opposition et demandes d’indemnisation.

L’enjeu financier de ces notifications est majeur. Outre les amendes administratives du régime européen de protection des données, le droit pénal sanctionne l’absence des mesures de sécurité prescrites. L’article 226-17 du code pénal dispose :

« Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-17 du code pénal)

Conservez donc les preuves de votre conformité antérieure — politique de sécurité, sauvegardesExternalisées, authentification renforcée, audits, formation du personnel — et celles des mesures prises depuis l’attaque. Un dossier de conformité tenu à jour transforme un contrôle redouté en simple vérification.

À Paris et en Île-de-France, ajoutez trois réflexes pratiques. D’abord, signalez l’attaque sur la plateforme Cybermalveillance.gouv.fr, qui oriente vers des prestataires de réponse labellisés et produit une attestation utile pour l’assureur. Ensuite, si des données bancaires de clients sont exposées, prévenez votre banque et invitez par écrit les clients concernés à faire opposition et à surveiller leurs comptes, en conservant la preuve de ces messages : notre analyse des recours après vol de numéros de cartes sur des boutiques en ligne montre que cette diligence conditionne les remboursements. Enfin, si l’activité est à l’arrêt, informez le bailleur des locaux et les donneurs d’ordre des retards prévisibles, toujours par écrit, pour limiter les résiliations pour inexécution et préparer le chiffrage de la perte d’exploitation que l’expert d’assurance exigera.

II. Faire payer le préjudice : assurance cyber, sous-traitant et concurrent indélicat

A. Activer l’assurance cyber et chiffrer chaque poste de préjudice

La déclaration au assureur obéit à ses propres délais, souvent plus brefs que les délais légaux. L’article L113-2 du code des assurances impose à l’assuré :

« De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. » (article L113-2 du code des assurances)

Le même texte précise que ce délai contractuel ne peut être inférieur à cinq jours ouvrés, ramené à deux jours ouvrés en cas de vol. Vérifiez donc la police dès le premier jour : les contrats cyber prévoient fréquemment une déclaration en 48 ou 72 heures et l’appel préalable à une hotline qui mandate l’expert en réponse à incident. Déclarez par lettre recommandée ou par l’envoi recommandé électronique prévu au contrat, en joignant le journal de crise, le constat et la plainte, et exigez l’accord écrit de l’assureur avant d’engager des frais importants de reconstruction, sauf mesures conservatoires urgentes.

Lisez ensuite les exclusions avec une attention particulière. Les polices excluent souvent la fraude interne sans effraction, les systèmes non maintenus à jour contrairement aux préconisations, les sauvegardes inexistantes ou le défaut de notification au sous-traitant. Si l’expert oppose une exclusion, demandez-lui par écrit le fondement exact et les pièces manquantes, et complétez le dossier : factures de maintenance, journaux de mises à jour, attestations de formation, rapports d’audit. La déchéance pour déclaration tardive ne peut d’ailleurs être opposée que si l’assureur établit que le retard lui a causé un préjudice, et jamais en cas de force majeure, ce qui laisse une marge de discussion quand le retard résulte du chaos des premiers jours, à condition de l’avoir documenté.

Le chiffrage doit être méthodique, poste par poste. Distinguez les coûts de réponse (constat, expert judiciaire ou amiable, prestataire de décontamination, reconstruction des systèmes, renforcement de la sécurité), la perte d’exploitation (marge perdue pendant l’arrêt, commandes annulées, pénalités payées aux clients, heures supplémentaires de rattrapage), les coûts réglementaires (notification, information des personnes, assistance téléphonique, surveillance des usages frauduleux) et les atteintes durables (clients perdus, décote d’une cession en cours, atteinte à la réputation). Appuyez chaque poste sur des pièces : comptabilité comparative des trois derniers exercices, carnets de commandes, contrats annulés, factures de prestataires, relevés bancaires. Les obligations nées du commerce se prescrivent par cinq ans, comme le rappelle l’article L110-4 du code de commerce :

« Les obligations nées à l’occasion de leur commerce entre commerçants ou entre commerçants et non-commerçants se prescrivent par cinq ans si elles ne sont pas soumises à des prescriptions spéciales plus courtes. » (article L110-4 du code de commerce)

Ce délai de cinq ans vaut pour les recours contre le prestataire comme pour l’action en garantie contre l’assureur : il interdit de laisser dormir le dossier une fois l’urgence passée, mais il laisse le temps de consolider le chiffrage avec l’expert-comptable avant d’assigner.

N’oubliez pas les préjudices annexes propres aux PME franciliennes : loyers de locauxinexploitables pendant la fermeture, salaires maintenus sans production, intérim de remplacement du responsable informatique, campagnes de communication pour rassurer la clientèle. Chaque dépense doit être reliée par écrit à l’attaque (bons de commande mentionnant l’incident, courriels aux clients annonçant les retards), faute de quoi l’assureur la classera en charge d’exploitation ordinaire.

B. Poursuivre le sous-traitant défaillant et barrer la route au concurrent qui profite des données volées

Quand l’attaque vient du sous-traitant — serveur mutualisé non cloisonné, correctif de sécurité non appliqué, sauvegarderomise mais inexistante —, le recours contractuel est la voie naturelle. L’article 1231-1 du code civil pose le principe :

« Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil)

Relisez le contrat pour identifier les obligations précises méconnues : taux de disponibilité garanti, délai de restauration, chiffrement, tests d’intrusion, audits, notification d’incident, réversibilité. Mettez en demeure de remédier et de communiquer les journaux, puis faites constater par écrit la persistance des manquements. Le sous-traitant invoquera souvent la force majeure ou la faute d’un tiers (son propre hébergeur) : une cyberattaque n’est irrésistible que si les règles de l’art ont été respectées, et le défaut de correctif connu ou de cloisonnement ruine cette défense. Notre article sur le prestataire informatique piraté détaille les clauses de résiliation et de sortie à activer dans ce cas, avec les points de vigilance sur la réversibilité des données : utilisez-le comme mode d’emploi contractuel pendant que le présent article sécurise le volet réglementaire et assurantiel.

Si aucun contrat ne lie l’entreprise à l’auteur de l’exploitation — concurrent qui démarchent vos clients avec vos listes, site qui diffuse vos tarifs, ancien salarié qui réutilise vos fichiers —, le fondement devient délictuel. L’article 1240 du code civil dispose :

« Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil)

Sur ce fondement, l’arrêt du 2 septembre 2026 déjà cité permet d’agir contre le concurrent détenteur des fichiers, et l’action peut être portée en référé pour faire interdire sous astreinte toute utilisation et ordonner la restitution ou la destruction des copies. Pour le secret des affaires, l’article L152-1 du code de commerce ajoute :

« Toute atteinte au secret des affaires telle que prévue aux articles L. 151-4 à L. 151-6 engage la responsabilité civile de son auteur. » (article L152-1 du code de commerce)

Demandez au juge des référés du tribunal judiciaire ou du tribunal de commerce les mesures provisoires : interdiction d’usage, séquestre des supports, expertise informatique pour tracer la provenance des fichiers. L’article L151-8 du code de commerce protège par ailleurs vos propres démarches judiciaires, puisque le secret n’est pas opposable, notamment :

« Pour la protection d’un intérêt légitime reconnu par le droit de l’Union européenne ou le droit national. » (article L151-8 du code de commerce)

Concrètement, produire en justice des documents couverts par le secret des affaires pour prouver l’atteinte reste possible. La Cour de cassation l’a admis le 5 juin 2024 en jugeant que (arrêt du 5 juin 2024, n° 23-10.954)

« le droit à la preuve peut justifier la production d’éléments couverts par le secret des affaires, à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi. » (arrêt du 5 juin 2024, n° 23-10.954)

Ne produisez donc que les pièces strictement nécessaires, expurgées du surplus confidentiel, et demandez au juge les mesures de protection de l’instance (cercle de confidentialité, restriction d’accès, versions expurgées).

À Paris et en Île-de-France, portez le litige contre le prestataire devant le tribunal de commerce de Paris si le contrat contient une clause attributive au profit des juridictions parisiennes, ce qui est fréquent dans les contrats d’infogérance, et sollicitez le juge des référés pour l’expertise et les mesures conservatoires : les délais d’obtention d’une expertise y sont de quelques semaines quand le dossier est prêt. Pour le volet pénal, la constitution de partie civile devant le juge d’instruction du tribunal judiciaire de Paris permet de suivre l’enquête sur l’attaquant pendant que l’instance commerciale avance contre le prestataire. Chiffrez la demande en distinguant la marge perdue, les coûts de reconstruction et le préjudice moral de l’entreprise (atteinte à la réputation, temps de direction détourné), et provisionnez les délais : entre l’assignation, l’expertise et le jugement au fond, un litige prestataire dure couramment douze à dix-huit mois à Paris, d’où l’intérêt des référés et des négociations adossées à un chiffrage expertisé.

Conclusion

Une cyberattaque qui frappe votre entreprise ou votre sous-traitant en plein Cybermois ne se résume ni à un incident technique ni à une simple formalité CNIL : c’est une crise à trois fronts — pénal, réglementaire et commercial — qui se gagne dans les premières 72 heures. Isoler sans détruire, constater par commissaire de justice, déposer plainte sur les fondements des articles 323-1 et 323-3 du code pénal, notifier la CNIL et informer les personnes exposées, déclarer le sinistre à l’assureur dans le délai contractuel : chacune de ces démarches conditionne les suivantes, et chacune repose sur des écrits datés. Vient ensuite le temps du recours : garantie de l’assureur, responsabilité contractuelle du sous-traitant défaillant sur le fondement de l’inexécution, responsabilité délictuelle du concurrent qui détient ou exploite les données volées, protection du secret des affaires et droit à la preuve strictement proportionné. Les entreprises parisiennes et franciliennes disposent pour cela d’interlocuteurs identifiés — pôle cyber du tribunal judiciaire, brigade dédiée de la préfecture de police, tribunal de commerce de Paris — mais ces atouts ne servent que si les preuves techniques ont été préservées dès la première heure. Face à une attaque dont le vecteur reste incertain, faites auditer vos contrats de sous-traitance, votre registre des violations et vos polices cyber avant la prochaine échéance, et conservez chaque preuve : au moment d’assigner ou de transiger, seules les pièces écrites comptent.