Selon Reuters le 9 octobre 2026, un deuxième centre de données exploité par un opérateur technologique a été frappé par des drones et partiellement mis hors service dans la région de Kalouga, après une première frappe deux jours plus tôt ; la presse américaine évoque un troisième site touché en quatre jours et des services en ligne perturbés, tandis que Les Echos du 9 octobre et Le Parisien du 12 octobre décrivent des frappes portées au coeur de l’économie numérique et l’effondrement d’activités dépendantes de ces infrastructures. Le scénario n’a rien d’exotique pour une entreprise française : en mars 2021, l’incendie d’un campus d’hébergement dans l’est de la France avait déjà mis hors ligne, pendant des jours, les sites et les applications de milliers de clients qui n’avaient rien à voir avec le sinistre. Quand le serveur qui porte la boutique en ligne, la messagerie, le logiciel de facturation ou les dossiers des clients s’éteint, le dirigeant découvre brutalement ce que vaut son contrat d’hébergement : un taux de disponibilité écrit en petits caractères, des pénalités plafonnées, des sauvegardes dont personne n’a vérifié la restauration, et un prestataire qui parle de cas de force majeure. Cet article décrit la méthode juridique complète du client confronté à un centre de données en panne : d’abord exiger le rétablissement et protéger les données dans les premières heures, ensuite résilier proprement, changer de prestataire et obtenir réparation du préjudice.

I. Centre de données en panne : faire rétablir le service et sécuriser les données

A. Taux de disponibilité, SLA et pénalités : exiger l’exécution du contrat d’hébergement

La première démarche consiste à relire le contrat d’hébergement ou d’infogérance et son annexe de qualité de service, souvent appelée SLA, pour identifier trois chiffres : le taux de disponibilité promis, le délai de rétablissement garanti après incident et le montant des pénalités ou des avoirs dus par minute ou par heure d’interruption. Ces stipulations ont une portée considérable devant le juge. Dans un litige entre un client et son hébergeur, la cour d’appel de Versailles a jugé, le 19 mai 2022 (RG n° 20/05106), que l’obligation essentielle de l’hébergeur est la mise à disposition permanente des données et applications hébergées, assortie dans cette espèce d’un taux de disponibilité de 99,5 %, et elle a retenu la responsabilité du prestataire qui n’avait pas remis en ligne une solution exploitable dans le délai contractuel de quatre heures après l’incident du 28 juin 2017. Un taux de 99,5 % représente environ trois heures et demie d’interruption tolérée par mois : au-delà, chaque heure d’arrêt documentée devient un manquement mesurable, et non une fatalité technique.

Sur le fondement de ce manquement, le client dispose de tout l’arsenal de l’inexécution contractuelle. L’article 1217 du code civil dispose : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » (article 1217 du code civil). Concrètement, le client peut suspendre le paiement des redevances d’hébergement pendant la panne, exiger la remise en service, réclamer une réduction de prix pour la période dégradée et déjà préparer la demande de dommages et intérêts. La suspension du paiement reste toutefois une arme à manier avec prudence : beaucoup de contrats autorisent l’hébergeur à suspendre à son tour l’accès en cas d’impayé, ce qui aggraverait la situation. Mieux vaut payer sous réserve écrite, en contestant expressément les factures de la période d’interruption, que cesser tout paiement sans notification.

La remise en route peut aussi passer par un autre prestataire. L’article 1222 du code civil prévoit : « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation […] Il peut demander au débiteur le remboursement des sommes engagées à cette fin. » (article 1222 du code civil). Pour une entreprise dont le site est éteint, cela signifie basculer en urgence vers un hébergement de secours, un serveur redondant ou un plan de reprise d’activité externalisé, puis réclamer à l’hébergeur défaillant le remboursement du surcoût, à condition d’avoir mis en demeure au préalable et de rester dans des dépenses raisonnables. Chaque devis accepté, chaque facture du prestataire de secours devra être conservée : c’est le chiffrage de demain.

Les pénalités contractuelles de retard obéissent à un régime précis. Lorsque le contrat stipule une somme par heure d’indisponibilité, l’article 1231-5 du code civil s’applique : « le juge peut, même d’office, modérer ou augmenter la pénalité ainsi convenue si elle est manifestement excessive ou dérisoire. » (article 1231-5 du code civil). Une pénalité symbolique d’un euro par heure d’arrêt d’une boutique qui réalise plusieurs milliers d’euros de chiffre d’affaires quotidien pourrait être regardée comme dérisoire et relevée par le juge, tandis qu’une pénalité écrasante sans rapport avec le prix du contrat pourrait être modérée. Deux précautions s’imposent : d’une part, « Sauf inexécution définitive, la pénalité n’est encourue que lorsque le débiteur est mis en demeure », de sorte que la mise en demeure écrite, immédiate et détaillée conditionne tout ; d’autre part, les crédits de service que beaucoup d’hébergeurs accordent sous forme d’avoirs ne remplacent les dommages et intérêts que si le contrat le stipule clairement, ce qui est rarement le cas.

Enfin, le contenu même du contrat peut être contesté s’il a été signé sans information loyale. L’article 1112-1 du code civil impose : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer […] » et précise que « Les parties ne peuvent ni limiter, ni exclure ce devoir. » (article 1112-1 du code civil). Le taux réel de disponibilité constaté les mois précédents, l’absence de redondance géographique des serveurs, la sous-traitance de l’hébergement à un tiers non déclaré, l’inexistence d’un plan de reprise testé : autant d’informations déterminantes pour une entreprise qui confie son outil de production à un prestataire. Si l’hébergeur les a tues alors que le client lui faisait légitimement confiance sur ces sujets techniques, le manquement à ce devoir d’information engage sa responsabilité et peut entraîner l’annulation du contrat. Dès la signature du contrat suivant, exiger par écrit la cartographie des sites d’hébergement, les engagements de restauration et la liste des sous-traitants.

B. Preuves de la panne, sauvegardes et notification RGPD : protéger l’entreprise cliente

Pendant que le service est interrompu, la priorité opérationnelle est de figer les preuves, car l’hébergeur contrôle les journaux techniques et pourrait être tenté de minimiser la durée et l’étendue de l’incident. Faire dresser sans attendre un constat par un commissaire de justice qui décrit l’inaccessibilité du site, les messages d’erreur affichés, l’heure des tentatives et l’état des services : ce procès-verbal fera foi jusqu’à preuve contraire. En parallèle, archiver les échanges avec le support du prestataire, les tickets d’incident avec leurs horodatages, les notifications de l’hébergeur, les captures d’écran des tableaux de bord, les relevés de supervision et les attestations des salariés et des clients qui constatent l’arrêt. Relever précisément l’heure de début et l’heure de fin de chaque coupure, service par service, en distinguant l’indisponibilité totale de la dégradation partielle. Ces pièces serviront à démontrer le dépassement du taux contractuel, à calculer les pénalités et à chiffrer la perte d’exploitation.

La deuxième urgence porte sur les données elles-mêmes. Vérifier l’existence et l’état des sauvegardes : dernière sauvegarde complète, sauvegardes incrémentales, lieu de stockage distinct du site principal, et surtout test de restauration, car une sauvegarde qui ne se restaure pas ne vaut rien. Dans l’affaire jugée à Versailles en 2022, c’est précisément l’absence de remise en ligne d’une solution exploitable dans le délai de quatre heures qui a scellé la responsabilité de l’hébergeur. Si le contrat prévoit un plan de reprise d’activité avec un objectif de délai de rétablissement et un objectif de point de reprise, exiger son déclenchement formel et consigner chaque étape. Si les données sont perdues ou corrompues, chiffrer immédiatement le coût de reconstitution : ressaisie comptable, reconstitution des stocks, requalification des fichiers clients, interruption des livraisons.

La troisième urgence est réglementaire et concerne toutes les entreprises qui hébergent des données personnelles de clients, de salariés ou de prospects. Le prestataire d’hébergement agit en principe comme sous-traitant au sens du règlement européen sur la protection des données, ce qui suppose un contrat écrit de sous-traitance décrivant les traitements, les durées et les mesures de sécurité. Le règlement impose au responsable du traitement et à son sous-traitant de garantir la sécurité des données, y compris leur disponibilité, avec une capacité à rétablir l’accès dans des délais appropriés en cas d’incident ; toute violation de données à caractère personnel résultant de l’indisponibilité ou de la perte doit être notifiée à l’autorité de contrôle dans les meilleurs délais et, si possible, soixante-douze heures au plus tard après en avoir pris connaissance, et communiquée aux personnes concernées lorsque la violation engendre un risque élevé pour leurs droits (règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, dont la CNIL contrôle l’application en France). Pour le dirigeant français, cela se traduit par des gestes datés : qualifier l’incident avec le délégué à la protection des données, inscrire la violation au registre, préparer la notification à la CNIL dans le délai de soixante-douze heures si des données personnelles sont affectées, et informer les clients concernés lorsque le risque l’exige. L’omission de cette notification expose l’entreprise à une sanction propre, qui s’ajouterait au préjudice commercial de la panne.

Face à ces demandes, l’hébergeur invoquera fréquemment la force majeure : cyberattaque massive, acte de guerre, incendie du site, coupure électrique générale. L’article 1218 du code civil définit strictement cette exonération : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » (article 1218 du code civil). Trois conditions cumulatives doivent donc être réunies, et la troisième pèse lourd pour un professionnel de l’hébergement : un opérateur dont le métier est précisément d’anticiper les sinistres par la redondance des sites, les groupes électrogènes, les sauvegardes externalisées et la supervision permanente peine à soutenir que les effets d’un incendie ou d’une attaque étaient inévitables par des mesures appropriées. Par ailleurs, « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat », ce qui permet au client de rompre lorsque l’arrêt se prolonge au point de ruiner l’utilité du service, par exemple une boutique fermée pendant la période des fêtes. Exiger de l’hébergeur la description précise des mesures de protection qu’il avait mises en place : son silence sur ce point fragilise son moyen de défense.

Enfin, ne pas négliger les démarches externes qui conditionnent les garanties. Déposer plainte contre inconnu en cas d’attaque informatique, de sabotage ou d’intrusion, auprès du commissariat ou de la gendarmerie, en joignant le constat et les journaux disponibles : le récépissé de plainte sera exigé par l’assureur et pèsera dans l’appréciation de la faute du prestataire. Déclarer le sinistre à l’assureur cyber ou à l’assureur perte d’exploitation dans les délais stipulés au contrat d’assurance, souvent cinq jours ouvrés, en adressant une première estimation même provisoire. Alerter par écrit les principaux clients affectés par l’interruption, avec un calendrier de rétablissement réaliste : cette transparence limite les résiliations en chaîne et démontre, en cas de litige ultérieur, que l’entreprise a tout mis en oeuvre pour contenir le dommage, ce que le juge prend en compte dans l’évaluation des responsabilités.

II. Résilier l’hébergeur défaillant et obtenir réparation : clause limitative, préjudice et juge

A. Résiliation du contrat cloud, réversibilité et récupération des données : la méthode sans faute

Quand la confiance est rompue ou que le service ne reviendra pas à un niveau acceptable, la sortie du contrat doit être organisée avec autant de rigueur que la gestion de crise. La voie la plus rapide est la résolution unilatérale pour inexécution grave. L’article 1226 du code civil dispose : « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. » (article 1226 du code civil). La formule « à ses risques et périls » n’est pas une clause de style : si le juge estime ensuite que l’inexécution n’était pas assez grave, la rupture sera imputée au client, avec des dommages et intérêts à la clé. La procédure doit donc être suivie à la lettre : sauf urgence, mise en demeure préalable impartissant un délai raisonnable de rétablissement, avec la mention expresse qu’à défaut le contrat sera résolu ; puis, si l’inexécution persiste, notification écrite de la résolution avec les motifs précis, références des coupures, dépassement chiffré du taux de disponibilité, manquement au délai de restauration. Le texte ajoute que « Le débiteur peut à tout moment saisir le juge pour contester la résolution. Le créancier doit alors prouver la gravité de l’inexécution », d’où l’importance du dossier de preuves constitué dans les premières heures.

Si le contrat est à durée indéterminée, une voie plus simple existe : l’article 1211 du code civil prévoit que « Lorsque le contrat est conclu pour une durée indéterminée, chaque partie peut y mettre fin à tout moment, sous réserve de respecter le délai de préavis contractuellement prévu ou, à défaut, un délai raisonnable. » (article 1211 du code civil). Inutile alors de démontrer la gravité de la panne : il suffit de notifier la résiliation en respectant le préavis, dont la durée s’apprécie au regard de l’ancienneté de la relation et du temps nécessaire pour migrer les systèmes sans casse. Cette voie n’exonère pas l’hébergeur des conséquences de la panne déjà subie, pour lesquelles la demande de réparation reste ouverte, mais elle sécurise la sortie sans débat sur la gravité. Pour les contrats à durée déterminée avec reconduction tacite, vérifier la date d’échéance et le délai de dénonciation, souvent de trois mois, et envoyer la résiliation par lettre recommandée avec accusé de réception en visant expressément la clause.

La jurisprudence illustre ce que produit une résiliation bien conduite. Le 26 janvier 2024, la cour d’appel de Paris (RG n° 21/13794) a prononcé la résiliation d’un contrat d’infogérance avec effet au 30 janvier 2020, condamné le client à payer au prestataire la seule somme de 545 euros au titre du forfait échu et impayé du mois de janvier 2020, et débouté le prestataire du surplus de ses demandes. La leçon est nette : le client ne doit que le service réellement fourni jusqu’à la rupture, et le prestataire qui réclame des mois de redevances pour un service interrompu ou inexécuté est débouté. Dans le même esprit, la cour d’appel de Versailles, dans son arrêt du 19 mai 2022 déjà cité, a constaté que les services, interrompus le 28 juin 2017, n’avaient jamais repris, a jugé non fondée la facture émise le 1er août 2017 pour les mois suivants, et a condamné l’hébergeur à émettre un avoir l’annulant. Toute facture émise pour une période postérieure à l’arrêt définitif du service doit donc être contestée par écrit, mois par mois, en exigeant l’avoir correspondant.

Reste l’obstacle classique : la clause limitative ou exclusive de responsabilité inscrite dans les conditions générales de l’hébergeur, qui plafonne l’indemnisation à quelques mois d’abonnement et exclut la perte d’exploitation. Trois arrêts de la Cour de cassation encadrent sa validité. Le 22 octobre 1996, la chambre commerciale a jugé que doit être réputée non écrite la clause qui contredit la portée de l’obligation essentielle, le débiteur ayant manqué à l’obligation essentielle dont la clause contredit la portée (chambre commerciale, 22 octobre 1996). Le 13 février 2007, elle a confirmé qu’un manquement à une obligation essentielle du contrat fait échec à l’application de la clause limitative de réparation qui y est stipulée (chambre commerciale, 13 février 2007, n° 05-17.407). Puis, le 29 juin 2010, elle a précisé l’équilibre : seule la clause qui contredit la portée de l’obligation essentielle souscrite par le débiteur est réputée non écrite (chambre commerciale, 29 juin 2010, n° 09-11.841). Autrement dit, le plafond joue lorsqu’il a été négocié et qu’il n’est pas dérisoire, mais il tombe lorsque son montant ridicule vide l’obligation de disponibilité de toute substance : un plafond de trois mois de redevances pour un hébergement facturé plusieurs milliers d’euros mensuels se défend, un plafond de quelques centaines d’euros pour un client dont l’activité entière dépend du service prêtera à discussion.

L’arrêt versaillais de 2022 applique exactement cette grille : la cour valide la clause qui plafonne la responsabilité à trois mois de prestations, car elle laisse intacte l’obligation essentielle de disponibilité à 99,5 % et se borne à organiser à l’avance les conséquences d’un incident que les parties avaient envisagé, de sorte que la clause produit son plein effet. Le client a ainsi obtenu 8 497,20 euros correspondant à trois mois de facturation, ni plus ni moins. Pour le dirigeant, l’enseignement est double : avant de signer, négocier le plafond en le rapportant au coût réel d’une journée d’arrêt, et refuser les exclusions systématiques de tout préjudice d’exploitation ; après la panne, calculer ce que la clause laisse espérer et décider en connaissance de cause entre l’acceptation du plafond et sa contestation judiciaire pour caractère dérisoire.

La sortie ne serait pas complète sans la récupération des données et des systèmes, point sur lequel les hébergeurs en difficulté font souvent traîner les choses. Vérifier la clause de réversibilité du contrat : format de restitution, délai, assistance à la migration, destruction des copies conservées par le prestataire. En l’absence de clause suffisante, mettre en demeure par écrit la restitution complète des données dans un format exploitable, en rappelant que la rétention des données du client pour faire pression sur des factures contestées expose le prestataire à une condamnation supplémentaire. Les principes applicables à l’éditeur de logiciels qui refuse de rendre les données, déjà exposés dans notre analyse de la réversibilité face à un éditeur SaaS qui refuse de restituer les données, valent pour l’hébergeur : résiliation notifiée, délai de restitution imparti, astreinte demandée au juge en cas de refus. Pendant la migration, conserver l’ancien environnement en lecture seule le temps de vérifier l’intégrité des données transférées, et faire constater par écrit la date effective de bascule.

Pour une entreprise parisienne ou francilienne, le cadre procédural présente des particularités utiles. Le litige contre l’hébergeur relève en principe du tribunal des activités économiques : celui de Paris si le défendeur y est immatriculé ou si une clause attributive de juridiction le désigne, celui de Nanterre pour les prestataires des Hauts-de-Seine où se concentrent de nombreux opérateurs. Vérifier la clause attributive dans les conditions générales, car les hébergeurs y élisent souvent un tribunal éloigné ; cette clause, négociée entre professionnels, est en principe valable et doit être intégrée à la stratégie. En cas d’urgence, le juge des référés peut ordonner la poursuite provisoire du service, la restitution des données sous astreinte ou l’allocation d’une provision sur le préjudice, à condition de démontrer l’évidence du manquement et l’urgence née de l’arrêt d’activité. Constituer dès le premier jour le dossier parisien type : contrat et conditions générales avec le SLA, échanges horodatés avec le support, constats du commissaire de justice, relevés de supervision, factures contestées et chiffrage détaillé de la perte d’exploitation visé par l’expert-comptable. Les juridictions franciliennes, rompues aux litiges informatiques, sanctionnent les dossiers approximatifs : un tableau de coupures précis vaut mieux qu’un long discours sur la gravité de la panne.

B. Perte d’exploitation, facture contestée et assurance : chiffrer et faire payer la panne

Obtenir réparation suppose de transformer l’incident technique en préjudice chiffré, poste par poste, car le juge n’indemnise que ce qui est prouvé. L’article 1231-1 du code civil pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Le fardeau de la preuve de la force majeure pèse donc sur l’hébergeur, tandis que le client doit établir l’existence et le montant de chaque chef de préjudice. La perte d’exploitation se calcule à partir de la marge sur coûts variables des jours d’arrêt, en comparant le chiffre d’affaires des périodes équivalentes : relevés bancaires, journaux de caisse, rapports de la plateforme de paiement, attestations de l’expert-comptable. S’y ajoutent les coûts directs de la crise : bascule d’urgence vers un prestataire de secours, heures supplémentaires des équipes, ressaisie des données, audits de sécurité, frais de constat et d’avocat exposés pour faire valoir ses droits, ces derniers pouvant être récupérés au titre des frais irrépétibles.

Certains postes résistent mieux que d’autres à l’épreuve du procès. Les dépenses engagées pour limiter le dommage, comme le surcoût d’un hébergement de secours, sont indemnisées sur le fondement de l’article 1222 déjà cité, pourvu qu’elles soient raisonnables et documentées. La reconstitution des données détruites, factures du prestataire de ressaisie à l’appui, constitue un préjudice direct rarement contesté. En revanche, la perte de chance de conclure des contrats pendant la panne, la dégradation du référencement naturel du site resté hors ligne et l’atteinte à l’image de marque exigent des démonstrations rigoureuses : statistiques d’audience avant et après, témoignages de clients perdus, sondages de notoriété. Lorsque la clause limitative exclut les préjudices indirects tels que la perte de revenus, de clientèle ou de profits, comme dans le contrat validé par la cour d’appel de Versailles en 2022, ces postes sont écartés sauf annulation de la clause : d’où l’importance de concentrer le chiffrage sur les préjudices directs et de contester la clause lorsqu’elle aboutit à une indemnisation dérisoire au regard d’une indisponibilité totale et prolongée.

La faute lourde de l’hébergeur peut faire sauter tous les plafonds, mais elle ne se présume pas. La Cour de cassation a tranché, le 29 juin 2010, que la faute lourde ne se déduit pas du seul manquement à une obligation contractuelle, même essentielle, mais de la gravité du comportement du débiteur (même arrêt, chambre commerciale, 29 juin 2010, n° 09-11.841). Il faut donc démontrer un comportement d’une particulière gravité : absence totale de sauvegardes malgré un engagement contractuel exprès, site unique sans redondance pour des données présentées comme critiques, alertes de sécurité ignorées pendant des mois, mensonges sur l’état réel des restaurations, abandon du client sans information pendant la crise. Les audits antérieurs, les rapports de tests de restauration jamais effectués, les courriels restés sans réponse et les engagements commerciaux non tenus forment le faisceau d’indices qui caractérise cette gravité. Sans ces éléments, le plafond contractuel s’appliquera, comme les trois mois de redevances retenus à Versailles.

Du côté des factures, la règle dégagée par la jurisprudence est simple : on ne paie que le service fourni. La cour d’appel de Versailles a annulé la facture émise pour les mois suivant l’arrêt définitif du service, et la cour d’appel de Paris n’a laissé au prestataire d’infogérance que le forfait du mois en cours à la date d’effet de la résiliation. En pratique, contester chaque facture de la période d’interruption par lettre recommandée, en visant les dates de coupure constatées et en exigeant l’avoir correspondant, puis compenser les avoirs obtenus avec les sommes réclamées au titre du préjudice. Si l’hébergeur prélève malgré la contestation, faire opposition auprès de la banque sur les prélèvements futurs en motivant l’opposition par la résiliation notifiée, et réclamer la restitution des sommes prélevées à tort. La prescription applicable entre commerçants est de cinq ans : « Les obligations nées à l’occasion de leur commerce entre commerçants ou entre commerçants et non-commerçants se prescrivent par cinq ans si elles ne sont pas soumises à des prescriptions spéciales plus courtes. » (article L. 110-4 du code de commerce). Cinq ans laissent le temps de négocier, mais les preuves s’effacent vite : journaux techniques écrasés, salariés partis, prestataire parfois liquidé. Agir dans les premiers mois, c’est préserver ses droits.

L’assurance complète le dispositif lorsque le contrat d’hébergement plafonne la réparation. La garantie perte d’exploitation après incident informatique, souvent logée dans le contrat cyber ou dans la multirisque professionnelle, prend en charge la marge perdue pendant la période d’interruption et parfois les frais supplémentaires de reprise, sous déduction d’une franchise en jours ou en montant. Relire les exclusions : pannes du fournisseur d’accès ou du fournisseur d’énergie, actes de guerre et cyberattaques étatiques, défaillances d’un prestataire non déclaré dans le questionnaire de souscription. Déclarer le sinistre dans le délai contractuel avec une première estimation chiffrée, missionner l’expert de l’assureur sur les systèmes avant toute réinstallation qui effacerait les traces, et conserver la correspondance avec l’hébergeur pour démontrer à l’assureur que la cause du sinistre est externe à l’entreprise. Si l’assureur dénie sa garantie en invoquant une exclusion d’acte de guerre pour une panne liée aux frappes de centres de données à l’étranger, contester en démontrant que la cause directe de l’arrêt est la défaillance du prestataire français et non l’événement lointain. Les démarches communes aux cyberattaques visant les prestataires, de la plainte à la notification, sont détaillées dans notre analyse du prestataire informatique piraté et de la résiliation avec réparation.

Conclusion

Un centre de données qui s’éteint, qu’il soit frappé par des drones, ravagé par un incendie ou victime d’une cyberattaque, place l’entreprise cliente devant un enchaînement d’obligations dont aucune ne souffre l’attente : mettre en demeure et figer les preuves dans les premières heures, déclencher les sauvegardes et le plan de reprise, qualifier l’incident au regard du RGPD et notifier si nécessaire dans les soixante-douze heures, puis résilier selon la procédure de l’article 1226 ou du préavis de l’article 1211, récupérer les données en imposant la réversibilité, et chiffrer poste par poste une perte d’exploitation que le juge n’indemnisera qu’à hauteur des pièces produites. La jurisprudence donne au client des armes solides : une obligation de disponibilité regardée comme essentielle, des clauses limitatives écartées lorsqu’elles la vident de sa substance, des factures annulées pour un service jamais repris. Elle lui rappelle aussi ses devoirs : prouver la gravité de l’inexécution s’il rompt unilatéralement, démontrer la faute lourde s’il veut dépasser les plafonds, agir avant que les preuves ne s’effacent et que la prescription de cinq ans ne s’accomplisse. Le contrat d’hébergement se négocie quand tout fonctionne, avec un plafond de responsabilité rapporté au coût réel d’une journée d’arrêt et une réversibilité écrite noir sur blanc ; il s’exécute quand tout s’arrête, avec méthode, constats et délais respectés.