Le 12 octobre 2026, une cyberattaque visant les systèmes de supervision frigorifique utilisés par de très nombreux commerces alimentaires a paralysé les installations de plusieurs centaines de magasins en France. Selon la presse du 12 octobre, les pirates ont pris pour cible le système de régulation des températures, avec des chambres froides montées jusqu’à 35 °C, des stocks détruits et des pertes chiffrées en millions d’euros. Le patron d’un groupement coopératif a indiqué ce même jour que 300 de ses magasins avaient été touchés. Pour les sociétés exploitantes, le choc est double : marchandises perdues et magasins à l’arrêt d’un côté, responsabilités juridiques qui s’empilent de l’autre. Or, dans ce type de crise, l’erreur la plus coûteuse n’est pas toujours technique : elle tient aux heures qui suivent la découverte de l’attaque. Un dirigeant qui tarde à notifier, qui oublie d’informer ou qui laisse disparaître les preuves s’expose à voir sa propre responsabilité recherchée, alors même que l’attaque vient d’un prestataire extérieur. Cet article décrit la méthode complète : ce qu’il faut notifier dans les 72 heures, comment protéger la société et son dirigeant, et comment préparer le recours contre le prestataire défaillant. Les faits rapportés ici sont ceux publiés par la presse le 12 octobre 2026 ; les qualifications juridiques restent à apprécier au cas par cas et seul le juge tranche les litiges.
I. Les notifications et les conservations que le dirigeant doit verrouiller dans les 72 heures
Quand le prestataire annonce qu’il a été piraté, ou quand les écrans de supervision affichent des températures aberrantes, le dirigeant de la société cliente entre dans une course contre la montre. Trois réflexes s’imposent avant toute recherche de coupable : qualifier l’incident, notifier les autorités dans les délais légaux et figer les preuves. Chacun de ces gestes répond à une obligation précise, assortie de sanctions propres.
A. Notifier la violation de données personnelles à la CNIL dans les 72 heures et informer les personnes concernées
La première question à trancher est celle-ci : l’attaque a-t-elle exposé des données personnelles ? Dans un commerce, la réponse est presque toujours positive : fichiers clients et programmes de fidélité, données de paiement, plannings et bulletins des salariés, vidéosurveillance, messageries professionnelles. Dès qu’une violation de données à caractère personnel est constatée, le responsable du traitement doit la notifier à la CNIL. La Commission l’indique sans détour sur sa page officielle consacrée à la notification : la déclaration initiale doit intervenir dans les 72 heures suivant la constatation de la violation, et tout dépassement de ce délai doit être expliqué et motivé lors de la notification. Autrement dit, le délai court à compter de la constatation par la société, pas à compter de l’attaque elle-même ; mais une fois l’incident connu, chaque jour de retard devra être justifié.
La notification s’effectue en ligne sur le téléservice de la CNIL et peut se faire en deux temps : une première déclaration dans les 72 heures, puis une notification complémentaire dès que les investigations ont progressé. Parallèlement, la société doit inscrire l’incident dans son registre des violations, document que la CNIL peut contrôler. Lorsque la violation engendre un risque élevé pour les droits des personnes, par exemple des données bancaires ou des identifiants exposés, les personnes concernées doivent en être informées directement, dans un langage clair, avec la nature de la violation, ses conséquences probables et les mesures prises.
Le dirigeant qui néglige cette étape expose la société à deux risques. Le premier est administratif : la CNIL peut prononcer des sanctions financières lourdes en cas de manquement aux obligations de sécurité et de notification. Le second est pénal : l’article 226-17 du code pénal dispose que « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». La sécurité des traitements n’est donc pas une simple bonne pratique : c’est une obligation dont la méconnaissance est pénalement sanctionnée, et le dirigeant doit pouvoir démontrer que la société avait mis en place des mesures adaptées avant l’attaque.
En pratique, la société cliente doit aussi exiger de son prestataire informatique qu’il l’alerte sans délai et lui transmette les éléments techniques nécessaires à la notification : périmètre des données touchées, horodatage de l’intrusion, mesures de confinement. Si le contrat de prestations ne prévoit pas d’obligation d’alerte rapide du prestataire, cette lacune devra être corrigée à la prochaine révision, car c’est le responsable du traitement, donc la société cliente, qui répond devant la CNIL, pas son sous-traitant.
B. Déclarer l’incident cyber, prévenir l’assureur et déposer plainte sans attendre
La notification CNIL n’épuise pas les démarches. Selon la taille de l’entreprise et son secteur, une déclaration d’incident de sécurité peut aussi être attendue sur le portail cyber de l’État. L’agence nationale de la sécurité des systèmes d’information explique sur son portail d’aide NIS 2 que l’incident s’entend de tout événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données et des systèmes. Une attaque qui coupe la supervision frigorifique de centaines de sites et détruit des stocks entre manifestement dans cette définition. Les entités dites essentielles et importantes doivent déclarer ces incidents importants à l’autorité nationale, avec une alerte précoce puis des notifications échelonnées. Même pour une société qui n’entre pas dans ce périmètre, un signalement sur la plateforme officielle crée une trace datée et ouvre l’accès aux conseils et aux dispositifs d’assistance. Cette trace servira plus tard à démontrer que le dirigeant a réagi en professionnel diligent.
Le deuxième destinataire urgent est l’assureur. Les contrats d’assurance cyber et les multirisques professionnelles imposent presque toujours une déclaration de sinistre dans un délai bref, souvent de deux à cinq jours ouvrés, et subordonnent la garantie au respect de ce délai. Le dirigeant doit donc déclarer en parallèle auprès de l’assurance cyber, s’il en existe une, et auprès de l’assurance perte d’exploitation et de la multirisque du commerce. Chaque déclaration doit décrire les faits connus sans les exagérer : date et heure de découverte, systèmes affectés, mesures conservatoires prises, pertes estimées à ce stade. Une déclaration incomplète mais datée vaut mieux qu’une déclaration parfaite envoyée hors délai, car le retard de déclaration est un motif classique de réduction ou de déchéance de garantie.
Le troisième geste est le dépôt de plainte. L’attaque décrite par la presse relève à première vue de plusieurs qualifications pénales. L’article 323-1 du code pénal punit de manière claire : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende ». Et l’article 323-3 du même code ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende ». Le dépôt de plainte doit intervenir vite, avec constitution de partie civile si le préjudice est déjà chiffrable, car il permet de demander des actes d’enquête sur les serveurs et les journaux de connexion avant leur effacement. Il n’interdit nullement, en parallèle, d’agir au civil contre le prestataire : l’action pénale vise les attaquants inconnus, l’action civile vise le contrat défaillant.
Enfin, le dirigeant doit figer les preuves dès les premières heures : journaux de température et d’alarmes, captures des écrans de supervision, échanges avec le prestataire, courriels d’alerte internes, constats d’huissier sur les installations et les marchandises détruites. Un constat dressé pendant la crise, avec relevés de température et photographies des stocks, pèsera beaucoup plus qu’une reconstitution a posteriori. Ces pièces serviront à la fois pour l’assurance, pour l’action contre le prestataire et pour la défense personnelle du dirigeant si sa gestion est contestée.
II. Protéger la société et son dirigeant après la notification : associés, faute de gestion et recours contre le prestataire
Une fois les notifications parties, le second front s’ouvre à l’intérieur de la société : les associés voudront savoir ce qui s’est passé, ce que cela coûte et qui va payer. C’est aussi le moment où le dirigeant doit organiser sa défense préventive, car toute perte d’exploitation importante finit par poser la question de la faute de gestion. La méthode tient en trois mots : informer, documenter, agir contre le prestataire.
A. Informer les associés, documenter chaque décision et écarter le grief de faute de gestion
En droit français, le dirigeant répond de ses fautes de gestion envers la société. Pour le gérant de SARL, l’article L. 223-22 du code de commerce prévoit que « Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion ». Pour les sociétés anonymes, l’article L. 225-251 du même code retient une formule identique : « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion ». Et pour les SAS, qui constituent la forme la plus répandue dans le commerce, l’article L. 227-8 du code de commerce fait le pont : « Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée ».
La jurisprudence rappelle avec constance que cette responsabilité n’est pas automatique : elle suppose la preuve cumulative d’une faute, d’un préjudice et d’un lien de causalité. La cour d’appel de Rennes l’a redit le 16 juin 2026 (3e chambre commerciale, RG n° 25/04129) dans une affaire de révocation d’un président de SAS poursuivi pour fautes de gestion : la cour rappelle que la responsabilité suppose la preuve cumulée d’une faute, d’un préjudice et d’un lien de causalité. Dans cette affaire, la cour a examiné un à un les griefs, défaut de consultation des associés, dépenses d’aménagement, présentation des comptes, et n’a retenu aucune faute, confirmant le jugement de débouté prononcé par le tribunal de commerce de Brest et condamnant le demandeur aux dépens d’appel. L’enseignement est direct : des associés mécontents ne suffisent pas, il faut une faute caractérisée et un préjudice qui en découle.
Appliqué à une cyberattaque venue du prestataire, ce cadre protège le dirigeant diligent mais sanctionne le dirigeant passif. Le dirigeant qui avait choisi un prestataire sérieux, souscrit une assurance cyber, organisé des sauvegardes et réagi en notifiant puis en préservant les preuves pourra démontrer l’absence de faute. À l’inverse, l’absence de contrat de maintenance, l’absence de sauvegardes, des alertes ignorées pendant des semaines ou une notification CNIL omise alimenteront le grief de faute de gestion. Les associés disposent d’ailleurs d’une arme spécifique : l’article L. 225-252 du code de commerce leur permet, « soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les administrateurs ou le directeur général », et les demandeurs « sont habilités à poursuivre la réparation de l’entier préjudice subi par la société ». Mieux vaut donc aller au-devant des questions que les subir : convoquer les associés, présenter un rapport de crise daté, chiffrer les pertes, exposer les actions engagées et faire consigner ces informations au procès-verbal.
La Cour de cassation ajoute une nuance importante pour les tiers : la responsabilité personnelle du dirigeant envers les tiers, par exemple des clients intoxiqués ou des fournisseurs impayés, suppose une faute détachable des fonctions. Le 2 avril 2025 (chambre commerciale, arrêt n° 190, pourvoi n° 23-22.728), la chambre commerciale a jugé que la responsabilité personnelle du dirigeant envers les tiers suppose une faute détachable des fonctions, caractérisée par une faute intentionnelle d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales, et a rejeté le pourvoi du créancier qui invoquait une telle faute. Un dirigeant qui gère la crise avec sérieux n’a donc pas à craindre une mise en cause personnelle tous azimuts ; mais il doit garder la preuve écrite de chaque décision, car c’est sur pièces que le juge appréciera sa diligence.
Pour les sociétés exploitées à Paris et en Île-de-France, quelques repères pratiques méritent d’être rappelés. La CNIL siège à Paris et ses contrôles sur place y sont fréquents dans le commerce de détail ; un registre des violations tenu à jour est la première pièce que ses agents demanderont. En cas de litige avec le prestataire, le tribunal de commerce de Paris sera souvent compétent pour les sociétés dont le siège y est situé, tandis que la plainte pénale pourra être déposée auprès du parquet de Paris, doté d’un pôle économique et financier habitué à la cybercriminalité. Les constats d’huissier, devenus constats de commissaire de justice, peuvent être diligentés en urgence dans tout le ressort, y compris de nuit et le week-end sur autorisation. Ces détails d’organisation ne changent pas le droit applicable, mais ils font gagner les heures qui comptent.
B. Se retourner contre le prestataire informatique : mise en demeure, résiliation et action en responsabilité
Le prestataire dont le système a servi de porte d’entrée aux pirates n’est pas un simple spectateur : il est lié à la société par un contrat qui comporte des obligations de sécurité, de maintenance et de conseil. L’article 1231-1 du code civil pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Or une cyberattaque ne constitue une force majeure que si elle était imprévisible et irrésistible, ce qui est difficile à soutenir pour un professionnel de l’informatique dont le métier est précisément d’anticiper ces attaques. Hors du contrat, l’article 1240 du code civil ajoute : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».
La première étape est une mise en demeure circonstanciée, envoyée en recommandé avec accusé de réception et par courriel pour la rapidité : description de l’incident, manquements reprochés au regard du contrat et des règles de l’art, demande de remise en service sous astreinte, demande de communication des journaux techniques et du plan de remédiation, chiffrage provisoire des pertes, réserve d’action pour le surplus. Cette lettre interrompt toute discussion sur une prétendue ignorance et fait courir les intérêts. Si le prestataire reste inerte, la société peut envisager la résiliation pour inexécution, en respectant la clause résolutoire du contrat ou, à défaut, en saisissant le juge des référés pour faire constater la rupture et obtenir des mesures provisoires. Un précédent article de ce site détaille d’ailleurs la saisine du juge des référés pour contraindre un prestataire défaillant à intervenir et figer les preuves, démarche complémentaire de celle décrite ici : contraindre le prestataire en référé et figer les preuves.
Sur le fond, l’action en responsabilité du client contre son prestataire informatique est admise, mais elle exige une démonstration rigoureuse, comme l’illustre un arrêt récent de la cour d’appel de Lyon du 19 mars 2026. Dans cette affaire (RG n° 22/04208, décision du tribunal de commerce de Bourg-en-Bresse confirmée en appel), la société cliente soutenait que le prestataire informatique spécialisé était tenu d’une obligation renforcée de conseil et de mise en garde, même envers un client professionnel, et invoquait des défauts de conception et de sécurisation du système. La cour a pourtant confirmé le rejet de toutes les demandes : la cliente n’a pas démontré de faute délictuelle du prestataire à son préjudice, les dommages trouvaient leur origine dans le comportement de son propre préposé, et elle disposait de l’outil nécessaire pour contrôler son travail. La cour a donc confirmé en toutes ses dispositions la décision des premiers juges. La leçon est nette : pour obtenir réparation, la société cliente doit prouver une faute précise du prestataire en lien direct avec le dommage, et elle ne peut pas se dispenser de ses propres contrôles internes. Les journaux de supervision, les tickets d’incidents antérieurs restés sans réponse et les audits de sécurité inexécutés seront les pièces décisives.
Le chiffrage du préjudice doit être engagé sans tarder, avec l’expert-comptable et l’assureur : marchandises détruites avec factures d’achat et constats de destruction, marge perdue pendant la fermeture avec comparatif des exercices précédents, coûts de remise en service et de remplacement du système, frais de communication de crise, surcoûts de personnel et d’intérim. Un article de ce site consacré à la preuve des pertes et à l’assurance perte d’exploitation détaille cette étape : prouver les pertes et activer l’assurance perte d’exploitation. Enfin, si le prestataire est lui-même en difficulté financière, la société cliente doit déclarer sa créance sans attendre et envisager des mesures conservatoires, car un débiteur insolvable rend toute victoire judiciaire théorique. Pour une analyse d’ensemble du droit des sociétés applicable à ces situations, le lecteur peut se reporter à la page du cabinet consacrée à l’accompagnement des sociétés et de leurs dirigeants à Paris.
Conclusion
Face à la cyberattaque de son prestataire, le dirigeant ne peut ni rester spectateur ni tout régler d’un seul geste. Les 72 premières heures commandent les notifications : déclaration à la CNIL avec explication de tout retard, signalement cyber auprès des autorités, déclaration aux assureurs dans les délais contractuels, dépôt de plainte et gel des preuves. Les semaines suivantes commandent la gestion sociale : informer les associés, consigner les décisions, chiffrer les pertes et préparer l’action contre le prestataire sur le fondement de l’inexécution contractuelle. À chaque étape, la même logique s’applique : le dirigeant qui documente sa diligence se protège contre le grief de faute de gestion, tandis que la société qui prouve précisément la faute de son prestataire maximise ses chances d’indemnisation. L’actualité d’octobre 2026 montre l’ampleur que peut prendre une attaque partie d’un simple système de supervision ; elle montre aussi que les sociétés les mieux préparées sont celles qui avaient, avant la crise, un contrat de maintenance exigeant, des sauvegardes testées et une assurance cyber adaptée. Vérifier ces trois points dès aujourd’hui reste le moyen le plus sûr d’éviter que la prochaine attaque ne devienne une faute.