Le lundi 12 octobre 2026, des centaines de supermarchés français ont vu leurs meubles froids passer en dégivrage et grimper jusqu’à 50 °C, selon BFM qui décrit une attaque passée par un logiciel de régulation frigorifique déployé dans de très nombreux magasins. Un groupement coopératif de distribution évoque 300 magasins touchés dans son réseau et un préjudice estimé à des dizaines de millions d’euros au niveau national, toujours selon la même chaîne ; le parquet de Paris a annoncé l’ouverture d’une enquête confiée à l’office anticybercriminalité pour recenser les victimes et établir le lien avec les pertes rapportées. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décidera de l’imputation des pertes.

Si votre société édite, intègre, distribue ou maintient le logiciel par lequel une attaque de cette ampleur serait passée, vous devez vous préparer à une vague de réclamations en cascade : chaque client professionnel sinistré chiffre ses denrées détruites, sa perte d’exploitation et son préjudice d’image, puis se tourne vers vous. Certains vous écriront une mise en demeure dès la semaine prochaine, d’autres suspendront leurs paiements, d’autres encore résilieront et saisiront le tribunal de commerce. Cet article explique, pour le dirigeant d’une société de logiciels ou d’une entreprise de services numériques, ce que vos clients peuvent juridiquement vous réclamer, si vos plafonds contractuels tiendront devant le juge, et ce que votre société doit faire dans les 72 premières heures puis dans les mois suivants pour contenir la facture et rester en activité. Chaque affirmation déterminante renvoie à un texte en vigueur ou à une décision lue intégralement, avec le lien officiel.

I. Ce que vos clients professionnels peuvent vous réclamer quand votre système aurait servi de porte d’entrée

A. L’inexécution, la sécurité promise et l’addition : comment chiffrer votre exposition réelle

Le point de départ ne change pas avec l’actualité : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » (article 1103 du code civil). Vos clients liront donc d’abord vos contrats de licence, de maintenance et d’infogérance pour y chercher une obligation de sécurité, une garantie de disponibilité, un engagement de mise à jour des correctifs ou une clause de supervision. Même quand le contrat reste silencieux sur la cybersécurité, le droit complète ce silence : « Les contrats obligent non seulement à ce qui y est exprimé, mais encore à toutes les suites que leur donnent l’équité, l’usage ou la loi. » (article 1194 du code civil), et « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » (article 1104 du code civil). Un éditeur qui aurait laissé une faille connue sans correctif, ou un mainteneur qui n’aurait pas déployé un patch critique dans les délais promis, serait susceptible de se voir reprocher un manquement à ces suites naturelles du contrat, sans que le client ait besoin d’une clause intitulée « sécurité ».

Une fois le manquement allégué, vos clients disposent d’un arsenal que le code civil liste sans détour : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (article 1217 du code civil). Concrètement, attendez-vous à quatre mouvements simultanés : la suspension des redevances de maintenance au motif que le service promis n’est plus rendu, la demande de résolution des contrats en cours, la résiliation des renouvellements, et surtout des assignations en paiement de dommages et intérêts. Le fondement de ces dernières figure à l’article 1231-1 du code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La force majeure supposerait un événement imprévisible et irrésistible ; une cyberattaque massive décrite dans toute la presse le jour même rendra cette défense délicate pour un professionnel de l’informatique, dont le métier consiste précisément à anticiper ce risque, même si seul le juge tranchera au cas par cas.

Pour chiffrer l’exposition, distinguez trois masses de préjudice que vos clients ne manqueront pas d’additionner. D’abord le dommage direct et immédiat : denrées détruites, coût du vidage et du nettoyage des rayons, remplacement du matériel, surcoût énergétique. Ensuite la perte d’exploitation : chiffre d’affaires perdu pendant la fermeture ou la réouverture partielle, commandes annulées, pénalités versées par vos clients à leurs propres partenaires. Enfin le préjudice d’image et les frais de crise : communication, constats, expertises, isomorphismes avec des contrôles sanitaires. Le droit fixe une limite de principe à cette addition : « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » (article 1231-3 du code civil), et « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » (article 1231-4 du code civil). Autrement dit, même dans le scénario le plus défavorable, vos clients devraient démontrer un lien direct entre votre manquement allégué et chaque euro réclamé ; les préjudices lointains, hypothétiques ou déjà couverts par leur propre assurance perte d’exploitation ont vocation à être écartés, à condition que vous les contestiez poste par poste avec des pièces.

Un point mérite une vigilance particulière dès la réception des premières mises en demeure : la suspension des paiements par vos clients. L’article 1217 autorise en effet la partie qui s’estime victime d’une inexécution à refuser d’exécuter ou à suspendre l’exécution de sa propre obligation, mais cette exception d’inexécution suppose une inexécution suffisamment grave et un lien direct avec l’obligation suspendue. Un client qui cesserait de payer l’ensemble de ses factures, y compris celles afférentes à des modules ou des sites non affectés par l’incident, s’exposerait lui-même à une mise en demeure de payer assortie d’intérêts et à la suspension symétrique de vos propres prestations, dans les limites de vos conditions générales. Répondez donc à chaque suspension par un courrier précis : rappel des factures échues par site et par contrat, contestation motivée du lien invoqué, proposition d’un séquestre ou d’une consignation des sommes discutées pendant l’expertise, et maintien des prestations non contestées. Cette discipline épistolaire servira deux fois : elle préserve votre trésorerie et elle démontre votre bonne foi au sens de l’article 1104 si le litige arrive devant le tribunal de commerce.

B. Vos plafonds de responsabilité tiendront-ils devant le juge ?

C’est la question qui décidera du montant final : presque tous les contrats informatiques plafonnent la responsabilité du prestataire à un montant fixe ou à un pourcentage des redevances annuelles, excluent le préjudice indirect et la perte d’exploitation, et imposent un délai de réclamation. Ces clauses sont valables en principe, car les contrats tiennent lieu de loi entre les parties, mais le juge leur fait passer trois filtres qui expliquent la plupart des condamnations spectaculaires. Premier filtre, l’obligation essentielle : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » (article 1170 du code civil). Si votre obligation essentielle consiste à maintenir un système de régulation en état de fonctionner en sécurité, une clause qui exclurait toute indemnisation en cas d’indisponibilité totale du système serait susceptible d’être réputée non écrite, car elle viderait de sa substance l’engagement payé par le client. À l’inverse, un plafond chiffré qui laisse subsister une indemnisation réelle a de meilleures chances de survivre, comme l’illustre un arrêt récent de la cour d’appel de Paris : saisie d’une clause qui limitait l’indemnisation aux seuls frais de reconstitution dans la limite de 2 000 euros par sinistre, la cour a relevé qu’« Elle n’établit donc pas que les stipulations contractuelles visées ci-dessus videraient de sa substance l’obligation du contrat, ou qu’elle exonèrerait la société Brink’s de toute responsabilité, puisque les chèques sont des documents reconstituables, et qu’il lui appartenait de prendre en amont du transport les mesures préventives lui permettant de disposer des moyens de les remplacer en cas de perte, tout en étant indemnisée des frais induits » (cour d’appel de Paris, pôle 5, chambre 5, 4 juillet 2024, n° 21/18886). La leçon pour votre société est directe : documentez les mesures préventives que vos clients pouvaient prendre eux-mêmes (sauvegardes, supervision locale, consignes de secours, double commande manuelle), car le juge appréciera si votre plafond laissait au client un moyen raisonnable de limiter son propre dommage.

Deuxième filtre, la faute lourde et le dol. L’article 1231-3 écarte le plafond du prévisible lorsque l’inexécution est due à une faute lourde ou dolosive, et la jurisprudence prive d’effet les clauses limitatives quand le débiteur a commis une faute d’une gravité particulière, notamment quand il a délibérément méprisé un risque connu. Pour un éditeur ou un mainteneur, les faits susceptibles d’être qualifiés ainsi par un demandeur seraient, par exemple, la non-application pendant des mois d’un correctif de sécurité critique publié par un tiers, l’absence de journalisation permettant de détecter l’intrusion, ou la poursuite de la commercialisation d’une version dont une vulnérabilité serait documentée. Chaque situation se juge sur pièces, et la qualification appartiendra au tribunal, mais vous devez anticiper cet angle d’attaque : rassemblez dès maintenant votre historique de correctifs, vos journaux de déploiement, vos alertes de sécurité et vos recommandations écrites adressées aux clients, car ces documents feront la différence entre une négligence simple, couverte par votre plafond, et une faute lourde alléguée qui l’effacerait.

Troisième filtre, le déséquilibre significatif entre professionnels. Depuis plusieurs années, le juge sanctionne les clauses imposées par une partie à l’autre dans les relations commerciales : « 2° De soumettre ou de tenter de soumettre l’autre partie à des obligations créant un déséquilibre significatif dans les droits et obligations des parties ; » (article L. 442-1, I, 2° du code de commerce). La Cour de cassation vient de préciser la méthode dans un arrêt publié au Bulletin rendu le 26 février 2025 : « L’appréciation du déséquilibre significatif passe par une analyse concrète de l’économie générale du contrat. Un tel déséquilibre ne peut se déduire du seul fait que la clause litigieuse place la partie qui invoque à son profit l’article L. 442-1, I, 2°, du code de commerce dans une situation moins favorable que celle résultant de l’application de dispositions législatives ou réglementaires supplétives de la volonté des cocontractants. » (Cass. com., 26 février 2025, n° 23-20.225). Le même arrêt rappelle la sanction encourue, sur le fondement de l’article L. 442-4, I, alinéa 2 du même code, puisque « la partie victime peut faire constater la nullité des clauses ou contrats illicites et demander la restitution des avantages indus ». Pour votre société, le message est équilibré : un plafond négocié, proportionné aux redevances et inséré dans une économie contractuelle globalement équilibrée résistera ; en revanche, une exclusion totale de responsabilité stipulée dans des conditions générales non négociables, combinée à des pénalités à sens unique contre le client, exposerait la clause à la nullité. Relisez donc vos conditions générales avec cet arrêt en main, clause par clause, avant que vos adversaires ne le fassent.

Ajoutez un dernier enseignement tiré d’un contentieux où un transporteur plaidait lui aussi ses plafonds : la première chambre civile de la Cour de cassation, le 8 novembre 2023, a rejeté le pourvoi du transporteur contre des arrêts qui avaient écarté ses plafonds d’indemnisation au profit de dispositions plus favorables, privant sa décision de base légale « au regard de l’article L. 132-1 (devenu L. 212-1) du code de la consommation » (Cass. civ. 1re, 8 novembre 2023, n° 21-22.655). L’affaire relevait du droit de la consommation, donc d’un régime plus protecteur que vos contrats entre professionnels, mais elle rappelle une constante : le juge compare toujours le plafond contractuel aux régimes supplétifs et refuse de donner effet à une clause qui aboutirait à priver le créancier de toute réparation effective. Vos plafonds doivent donc être défendables non seulement dans leur montant, mais dans leur articulation avec le droit commun, et cette défense se prépare par écrit avant l’audience, jamais à la barre.

II. Ce que votre société doit faire dans les 72 premières heures, puis dans les mois suivants

A. Constater, déclarer et déposer plainte sans perdre une preuve ni une garantie

Les premières heures décident du sort des contentieux qui s’ouvriront dans six mois. Votre première tâche consiste à figer la preuve de ce qui s’est réellement passé sur vos systèmes : horodatage des alertes, journaux de connexion, versions déployées chez chaque client, échanges avec vos hébergeurs et sous-traitants, captures des tableaux de supervision. Faites dresser sans attendre un constat par un commissaire de justice, y compris sur vos propres serveurs et sur un site client qui accepterait la mesure, car ce procès-verbal fera foi jusqu’à preuve contraire et empêchera toute contestation ultérieure sur l’étendue réelle de l’incident. Adressez parallèlement à chaque client affecté un courrier factuel et mesuré : date et heure de détection, périmètre concerné, mesures conservatoires recommandées, point de contact unique, et engagement de transparence sur les investigations, sans reconnaissance de responsabilité. Ceux qui liront ce courrier comprendront que vous gérez la crise en professionnel ; ceux qui vous assigneront quand même ne pourront pas soutenir que vous avez dissimulé quoi que ce soit. La méthode détaillée de la notification et de la preuve des pertes, côté client comme côté prestataire, est exposée dans notre guide de la notification et de la preuve des pertes après une cyberattaque de prestataire, utile pour calibrer vos propres constats.

Votre deuxième tâche consiste à déclarer l’incident à votre assureur de responsabilité civile professionnelle, et vite. La loi impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés. » (article L. 113-2, 4° du code des assurances). Votre police prévoit le plus souvent cinq jours ouvrés à compter de la connaissance du sinistre, et la sanction d’une déclaration tardive peut aller jusqu’à la déchéance de garantie, même si la loi l’encadre : « la déchéance pour déclaration tardive au regard des délais prévus au 3° et au 4° ci-dessus ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a causé un préjudice. » Ne jouez pas avec ce délai : adressez une déclaration conservatoire par lettre recommandée avec accusé de réception dès que la presse fait état de l’attaque et que des clients vous mettent en cause, quitte à la compléter ensuite par une déclaration circonstanciée avec constats et chiffrages. Vérifiez dans le même mouvement vos plafonds de garantie par sinistre et par année d’assurance, la franchise, l’éventuelle exclusion des préjudices immatériels non consécutifs et la clause de direction du procès, car une cascade de réclamations épuisera vite un plafond calibré pour un sinistre isolé. Si votre police comporte une garantie cyber dédiée, activez aussi la cellule de crise de l’assureur, dont les experts techniques renforceront vos constats.

Votre troisième tâche consiste à déposer plainte et à vous constituer partie civile. L’accès frauduleux à un système informatique constitue un délit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-1 du code pénal). Dans l’affaire du 12 octobre 2026, le parquet de Paris a déjà ouvert une enquête confiée à l’office anticybercriminalité, selon BFM ; votre plainte déposée à Paris permettra de joindre votre dossier à cette enquête, d’accéder au dossier pénal et de solliciter des actes d’investigation techniques que vous ne pourriez pas ordonner seul. Pour une société francilienne, le dépôt s’effectue auprès du procureur de la République de Paris ou des services d’enquête spécialisés, avec une annexe technique précise : adresses IP, journaux, chronologie, liste des clients affectés, évaluation provisoire du préjudice. La constitution de partie civile, même pour un euro symbolique dans un premier temps, vous ouvrira l’accès aux pièces et pèsera dans les négociations commerciales : un client saura que l’origine pénale de l’incident est instruite par l’autorité judiciaire, ce qui ne vous exonère de rien mais replace le débat dans son contexte exact.

Votre quatrième tâche concerne les données personnelles, si l’attaque en a compromis. Dès lors que des données de clients, de salariés ou d’utilisateurs auraient été consultées, exfiltrées ou altérées, la violation doit être notifiée à la CNIL, qui attend une notification initiale dans un délai de 72 heures si possible après la constatation de la violation, avec explication des motifs du retard en cas de dépassement de ce délai (CNIL, notifier une violation de données personnelles). Si le risque pour les droits des personnes serait élevé, l’information individuelle des personnes concernées s’ajouterait à cette notification. Documentez votre analyse de risque par écrit, car la CNIL comme le juge apprécieront que vous ayez arbitré en 72 heures avec méthode plutôt que réagi dans la précipitation. Enfin, si votre société est francilienne, centralisez le pilotage à Paris : commissaire de justice parisien pour les constats sur vos serveurs, avocat au barreau de Paris pour la plainte et les mises en demeure, expert-comptable pour le chiffrage, le tout coordonné par un associé ou un dirigeant unique. Notre équipe d’avocats en droit des sociétés à Paris accompagne ce type de cellule de crise depuis la première mise en demeure jusqu’à l’audience.

B. Provisionner, refinancer et renégocier : garder la société à flot et garder vos clients

Passée la crise technique, la crise financière commence, et elle obéit à des règles comptables et sociétaires impitoyables. Dès que le montant probable des réclamations devient évaluable, votre expert-comptable devra inscrire des provisions pour risques et charges dans vos comptes, car la sincérité du bilan l’exige. Si ces provisions et les pertes d’exploitation creusent vos capitaux propres sous la moitié du capital social, la loi impose une procédure précise : « Si, du fait de pertes constatées dans les documents comptables, les capitaux propres de la société deviennent inférieurs à la moitié du capital social, les associés décident, dans les quatre mois qui suivent l’approbation des comptes ayant fait apparaître cette perte s’il y a lieu à dissolution anticipée de la société. » (article L. 223-42 du code de commerce pour la SARL, avec un dispositif équivalent à l’article L. 225-248 du code de commerce pour les sociétés par actions). Anticipez ce calendrier au lieu de le subir : convoquez l’assemblée en temps utile, faites voter la poursuite de l’activité, publiez et faites inscrire la décision au registre du commerce et des sociétés, puis reconstituez vos fonds propres dans le délai légal par augmentation de capital, abandon de créances en compte courant ou conversion de dettes. Une société qui traverse une cyberattaque majeure tout en respectant publiquement ses obligations sociétaires envoie aux clients, aux banques et au tribunal un signal de solidité qui vaut tous les communiqués.

En parallèle, gérez votre trésorerie comme un contentieux : chaque euro compte deux fois, une fois en caisse et une fois en provision. Négociez avec votre banque un rééchelonnement de vos échéances en présentant votre plan de crise écrit, vos constats et vos déclarations d’assurance, car un banquier informé tôt accompagne plus volontiers qu’un banquier surpris par un impayé. Suspendez les distributions de dividendes et les rachats de titres tant que le chiffrage n’est pas stabilisé, afin qu’aucun client ne puisse soutenir que vous avez organisé votre insolvabilité. Si un client obtient une condamnation provisionnelle en référé, provisionnez-la sans tarder et examinez les voies de recours avec votre avocat au lieu de laisser courir les intérêts et les astreintes. Et si, malgré tout, la trésorerie venait à manquer, souvenez-vous qu’une déclaration de cessation des paiements effectuée à temps protège le dirigeant bien mieux qu’une agonie de six mois ; ce n’est pas le scénario à souhaiter quand l’assurance et les plafonds contractuels peuvent absorber le choc, mais c’est une option que seul un dirigeant informé peut actionner au bon moment.

Reste le chantier le plus rentable : renégocier vos contrats pour l’avenir pendant que la crise rend tout le monde lucide. Proposez à vos clients un avenant de sortie de crise qui règle le passé et sécurise l’avenir : geste commercial chiffré en échange d’une quittance partielle, échéancier de reprise des redevances, plan de mise à jour de sécurité avec jalons vérifiables, et surtout clauses réécrites à la lumière de l’arrêt du 26 février 2025 : plafond exprimé en multiple des redevances annuelles plutôt qu’en forfait dérisoire, définition précise du préjudice indemnisable, obligation pour le client de mettre en œuvre les mesures de secours documentées, procédure d’expertise amiable préalable à toute assignation, et médiation obligatoire devant un centre parisien avant tout recours au tribunal de commerce. Les clients qui auront vu votre sérieux pendant la crise signeront ces avenants plus facilement que vous ne l’imaginez, car eux aussi veulent un prestataire solvable et améliorable plutôt qu’un cadavre contractuel. Pour les prospects en cours de négociation, intégrez dès le devis une annexe de sécurité avec niveaux de service, délais de correctifs et responsabilités respectives ; ce document, négocié et signé, deviendra votre meilleur moyen de défense devant le juge de demain, exactement comme les mesures préventives documentées ont fait la différence devant la cour d’appel de Paris en 2024.

Conclusion

Une cyberattaque passée par votre logiciel ne signe pas l’arrêt de mort de votre société, mais elle déclenche un compte à rebours juridique où chaque semaine compte : constats et déclarations d’assurance dans les cinq jours ouvrés, notification CNIL dans les 72 heures si des données personnelles seraient affectées, plainte pour accéder à l’enquête pénale, chiffrage contradictoire poste par poste, et défense de vos plafonds contractuels à la lumière de l’article 1170 du code civil et de l’arrêt de la Cour de cassation du 26 février 2025 sur le déséquilibre significatif. Les sociétés qui traversent ce type de crise avec méthode partagent trois traits : des contrats dont les plafonds laissent subsister une réparation réelle, des preuves techniques conservées dès la première heure, et une trésorerie pilotée avec l’expert-comptable et la banque avant que les provisions ne mangent les fonds propres. À la date de rédaction, aucune responsabilité n’est établie dans l’affaire des systèmes frigorifiques du 12 octobre 2026, les contrats signés priment sur toute analyse générale, et seul le juge décidera ; mais les réflexes décrits dans cet article valent pour toute société de logiciels ou de services numériques dont le système serait un jour le vecteur allégué d’une attaque, à Paris comme partout en France.