Le week-end des 11 et 12 octobre 2026, les systèmes de supervision du froid de plusieurs centaines de supermarchés français se sont mis à dérégler leurs installations, avec des frigos montés jusqu’à 35 °C et des millions d’euros de marchandises détruites, selon le récit publié par Le Figaro le 12 octobre 2026, qui cite notamment la Coopérative U, Intermarché, Monoprix, Carrefour et E.Leclerc parmi les enseignes concernées. Le même jour, sur BFMTV, Thierry Cotillard, président du groupement Les Mousquetaires, a décrit « l’enfer » vécu par les magasins touchés par cette cyberattaque visant les systèmes de régulation frigorifique, et indiqué que 300 magasins de son groupement en avaient été victimes. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable où une société subit des pertes massives après la défaillance d’un prestataire informatique, et ne décrivent pas la situation d’une enseigne en particulier, sur laquelle l’article ne formule aucun constat. Aucune responsabilité n’est établie à la date de rédaction, les contrats signés priment sur toute analyse générale, et seul le juge décide. Quand la casse se chiffre en millions, les associés posent toujours la même question : le dirigeant qui avait choisi ce prestataire unique, sans plan de secours ni sauvegarde, doit-il payer de sa poche, et comment l’y contraindre concrètement. Cet article explique d’abord comment établir la faute de gestion et figer les preuves du préjudice, puis comment les associés font condamner le dirigeant au profit de la société, avec les textes applicables, deux décisions récentes et la marche à suivre à Paris et en Île-de-France.

I. Établir la faute du dirigeant et figer les pertes avant d’agir

A. Comment caractériser la faute de gestion d’un dirigeant face à une cyberpanne subie par la société

La première étape consiste à distinguer deux responsabilités que les associés confondent souvent : celle du prestataire informatique qui a failli, et celle du dirigeant qui l’avait choisi et organisé, ou non, la parade. Le prestataire répond de ses manquements contractuels devant la société, avec les plafonds de responsabilité et les exclusions que le contrat prévoit presque toujours. Le dirigeant, lui, répond devant la société des fautes commises dans sa gestion, et le fait que l’attaque vienne de l’extérieur ne l’exonère pas automatiquement : le juge examine ce qu’il avait mis en place avant la crise. En SARL, l’article L. 223-22 du code de commerce dispose : « Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion. » En société anonyme, l’article L. 225-251 du même code retient la même tripartition pour les administrateurs et le directeur général : « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. » En SAS, le renvoi est exprès, car l’article L. 227-8 du code de commerce prévoit : « Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée. » Le président de SAS encourt donc la même responsabilité pour les fautes commises dans sa gestion, appréciées au regard des pouvoirs réels qu’il exerçait.

En pratique, la faute de gestion se prouve par des manquements précis, datés et documentés, jamais par le seul montant des pertes. Le dossier des associés recense d’abord la dépendance à un prestataire unique pour une fonction vitale : un seul logiciel de supervision du froid pour des centaines de points de vente, sans redondance ni procédure de bascule manuelle, constitue un indice sérieux de défaut d’anticipation lorsque le dirigeant a été alerté du risque par des audits, des incidents antérieurs ou les recommandations de son propre prestataire. S’y ajoutent l’absence de sauvegardes testées, le défaut de mise à jour des correctifs de sécurité, l’absence de plan de continuité d’activité et de cellule de crise, ainsi que le retard à réagir une fois l’alerte donnée : ne pas isoler les systèmes, ne pas prévenir les responsables de magasins, ne pas faire appel à un expert en réponse à incident dans les premières heures. Chaque carence doit être rattachée à une pièce : rapport d’audit ignoré, courriel d’alerte resté sans suite, procès-verbal d’assemblée où la question de la sécurité informatique a été écartée, absence de ligne budgétaire dédiée. Le dirigeant qui démontre, à l’inverse, qu’il avait fait auditer ses systèmes, souscrit une assurance cyber, organisé des sauvegardes et réagi sans délai dispose d’une défense solide, car le juge apprécie la gestion en dirigeant raisonnable placé dans les mêmes circonstances, et non avec le recul de la catastrophe. Pour situer ces recours parmi les autres moyens d’action des associés et des dirigeants, les lecteurs peuvent se reporter utilement à la présentation du droit des sociétés à Paris par le cabinet, qui décrit les interventions possibles devant les juridictions du ressort.

Deux frontières doivent être posées dès ce stade pour éviter les demandes vouées à l’échec. D’une part, la simple erreur d’appréciation commerciale ne constitue pas une faute : avoir choisi un prestataire reconnu, au terme d’un appel d’offres sérieux et d’un contrat comportant des engagements de sécurité, relève du risque d’entreprendre, même si ce choix se révèle malheureux. La faute suppose un manquement caractérisé aux diligences qu’on attend d’un dirigeant normalement prudent et informé. D’autre part, l’action dirigée contre le dirigeant n’exonère pas la société de ses propres obligations nées de la crise : notification des violations de données personnelles à la CNIL dans les délais, information des clients concernés, déclarations à l’assureur perte d’exploitation, conservation des marchandises détruites pour expertise. Les associés qui veulent faire payer le dirigeant ont donc intérêt à exiger de lui, par écrit, l’exécution immédiate de ces diligences, ce qui crée à la fois une trace de la carence éventuelle et la preuve de leur propre vigilance. Les échanges avec le dirigeant passent par des courriers recommandés ou des mises en demeure d’avocat, les assemblées font l’objet de questions écrites préalables, et chaque réponse, ou absence de réponse, alimente le dossier qui servira devant le juge.

B. Comment figer les preuves et chiffrer le préjudice avant que les traces ne disparaissent

Une action en responsabilité ne vaut que par ses preuves, et les preuves informatiques sont par nature volatiles : journaux de connexion écrasés par rotation, sauvegardes réutilisées, configurations modifiées pour relancer l’activité. La première mesure consiste à faire constater l’état des systèmes et des pertes par un commissaire de justice, qui dresse un procès-verbal de constat des températures relevées, des marchandises détruites, des messages d’erreur affichés et des échanges avec le prestataire. Ce constat, réalisé dans les jours qui suivent la panne, fixe contradictoirement, ou au moins objectivement, la matérialité des faits avant toute remise en route qui effacerait les traces. En parallèle, les associés exigent du dirigeant la préservation complète des journaux techniques, des contrats et avenants signés avec le prestataire, des factures de maintenance, des rapports d’audit et de la correspondance relative à la sécurité des systèmes, en lui rappelant par écrit que toute destruction volontaire de preuve serait relevée devant le tribunal.

Lorsque le dirigeant refuse l’accès aux documents ou organise l’inertie, les associés minoritaires disposent d’un levier d’instruction avant tout procès au fond. L’article 145 du code de procédure civile prévoit : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Sur ce fondement, le juge peut ordonner une expertise informatique avant dire droit, la production forcée de pièces détenues par la société ou son prestataire, ou la désignation d’un technicien chargé de copier les journaux. La demande se forme en référé devant le tribunal judiciaire du siège social, avec un dossier qui démontre le motif légitime : pertes chiffrées provisoirement, refus de communication documenté, risque de dépérissement des preuves. Cette voie présente un avantage décisif : elle fige la preuve sans attendre l’issue d’un procès au fond qui durera des mois, et le rapport de l’expert judiciaire servira ensuite de socle à l’action en responsabilité. Les lecteurs confrontés à l’urgence probatoire trouveront des développements complémentaires dans l’article du cabinet consacré à la preuve des pertes après la panne du froid et à l’assurance perte d’exploitation.

L’autre instrument d’éclairage, propre au droit des sociétés, est l’expertise de gestion, qui permet aux minoritaires de faire examiner une ou plusieurs opérations de gestion par un expert désigné en justice. En SARL, l’article L. 223-37 du code de commerce dispose : « Un ou plusieurs associés représentant au moins le dixième du capital social peuvent, soit individuellement, soit en se groupant sous quelque forme que ce soit, demander en justice la désignation d’un ou plusieurs experts chargés de présenter un rapport sur une ou plusieurs opérations de gestion. » Le même texte précise : « S’il est fait droit à la demande, la décision de justice détermine l’étendue de la mission et des pouvoirs des experts. Elle peut mettre les honoraires à la charge de la société. » En société anonyme, l’article L. 225-231 du même code ouvre une voie comparable : « A défaut de réponse dans un délai d’un mois ou à défaut de communication d’éléments de réponse satisfaisants, ces actionnaires peuvent demander en référé la désignation d’un ou plusieurs experts chargés de présenter un rapport sur une ou plusieurs opérations de gestion. » La procédure suppose donc d’avoir d’abord posé des questions écrites au dirigeant et essuyé une absence de réponse ou une réponse insuffisante, ce qui impose de commencer par écrire avant de saisir le juge. Le rapport d’expertise, annexé à celui du commissaire aux comptes en vue de la prochaine assemblée, éclaire les associés sur la réalité de la faute et le montant du préjudice, et prépare directement l’action en paiement qui suit. Le chiffrage lui-même se construit avec l’expert-comptable : marchandises détruites valorisées au coût d’achat, marge perdue pendant l’arrêt établie par comparaison avec les exercices précédents, surcoûts de remise en route et franchises d’assurance déduites des indemnités déjà versées.

II. Faire condamner le dirigeant au profit de la société

A. Comment les associés exercent eux-mêmes l’action sociale quand la société reste inerte

Le réflexe naturel des associés consiste à attendre que la société, représentée par son dirigeant, agisse contre ce même dirigeant, ce qui n’arrive presque jamais : nul ne se poursuit lui-même. Le droit des sociétés tranche cette paralysie en donnant aux associés le pouvoir d’agir à la place de la société, pour son compte et à son profit. En SARL, l’article L. 223-22 du code de commerce prévoit : « Outre l’action en réparation du préjudice subi personnellement, les associés peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les gérants. » Le même article ajoute : « Les demandeurs sont habilités à poursuivre la réparation de l’entier préjudice subi par la société à laquelle, le cas échéant, les dommages-intérêts sont alloués. » Les dommages-intérêts reviennent donc à la société, et non aux associés demandeurs, ce qui distingue nettement cette action sociale, dite ut singuli, de l’action personnelle par laquelle un associé réclame la réparation de son préjudice propre. En société anonyme, l’article L. 225-252 du même code ouvre la même faculté aux actionnaires : « Outre l’action en réparation du préjudice subi personnellement, les actionnaires peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les administrateurs ou le directeur général. » Et le texte précise de la même façon : « Les demandeurs sont habilités à poursuivre la réparation de l’entier préjudice subi par la société, à laquelle, le cas échéant, les dommages-intérêts sont alloués. » Dans les sociétés civiles, notamment les SCI qui portent les murs des magasins, l’article 1843-5 du code civil dispose : « Outre l’action en réparation du préjudice subi personnellement, un ou plusieurs associés peuvent intenter l’action sociale en responsabilité contre les gérants. » Il ajoute : « Les demandeurs sont habilités à poursuivre la réparation du préjudice subi par la société ; en cas de condamnation, les dommages-intérêts sont alloués à la société. » Chaque forme sociale offre ainsi aux associés une voie d’action directe au service du patrimoine commun.

Deux verrous statutaires que les dirigeants invoquent fréquemment sont d’avance neutralisés par la loi. D’une part, toute clause qui subordonnerait l’action sociale à l’autorisation préalable de l’assemblée est réputée non écrite, et aucune décision d’assemblée, y compris un quitus voté par la majorité, ne peut éteindre l’action en responsabilité pour faute commise dans l’accomplissement du mandat. D’autre part, et c’est l’apport majeur de la jurisprudence récente, l’action des associés ne peut pas être déclarée irrecevable au motif que la société agirait déjà elle-même pour le même préjudice. Par arrêt du 7 mai 2025, publié au Bulletin (Cass. com., 7 mai 2025, pourvoi n° 23-15.931), la chambre commerciale a cassé un arrêt d’appel qui avait jugé les associés sans intérêt à agir parce que la société réclamait déjà réparation du même dommage. La Cour énonce : « Vu les articles 31 du code de procédure civile et L. 223-22, alinéa 3, du code de commerce », puis rappelle : « Selon le premier de ces textes, l’action est ouverte à tous ceux qui ont un intérêt légitime au succès ou au rejet d’une prétention, sous réserve des cas dans lesquels la loi attribue le droit d’agir aux seules personnes qu’elle qualifie pour élever ou combattre une prétention ou pour défendre un intérêt déterminé. » Elle ajoute : « Selon le second, les associés peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les gérants. » Elle en déduit : « Il en résulte que les associés sont investis d’un droit propre d’agir en réparation du préjudice subi par la société, lequel n’est pas affecté par l’exercice concomitant de son action par la société. » Les associés disposent donc d’un droit propre, qui survit à l’action parallèle de la société et que le dirigeant ne peut pas paralyser en faisant voter une action de façade par une majorité complaisante.

La mise en œuvre suit un ordre méthodique que les associés ont intérêt à respecter. Ils consultent d’abord les statuts et le registre des décisions pour identifier le dirigeant responsable et la période des faits, puis adressent une mise en demeure de réparer le préjudice subi par la société, ce qui interrompt la prescription et démontre leur bonne foi. Ils votent ensuite en assemblée, s’ils sont majoritaires, la révocation du dirigeant et l’exercice de l’action sociale par la société elle-même ; s’ils sont minoritaires, ils exercent directement l’action ut singuli devant le tribunal judiciaire du siège social, en demandant la condamnation du dirigeant à payer des dommages-intérêts à la société. Un arrêt récent illustre l’issue favorable de cette voie : la cour d’appel de Chambéry, par arrêt du 24 février 2026 (CA Chambéry, 1re chambre, 24 février 2026, n° 23/00658), statuant sur le fondement de l’action sociale, a infirmé le jugement qui avait débouté l’associé demandeur et condamné le gérant à payer à la société la réparation du préjudice établi. Les associés joignent à leur assignation le constat du commissaire de justice, le rapport d’expertise de gestion ou d’expertise judiciaire, le chiffrage de l’expert-comptable et la correspondance prouvant les mises en demeure restées vaines. Ils sollicitent en outre, lorsque l’urgence le justifie, des mesures provisoires telles que la séquestration des sommes contestées ou la désignation d’un administrateur provisoire chargé de préserver l’actif pendant l’instance.

B. Quand la société ne s’en relève pas : insuffisance d’actif, prescription et réflexes parisiens

Lorsque les pertes précipitent la société en liquidation judiciaire, le terrain de la responsabilité se déplace vers l’action en responsabilité pour insuffisance d’actif, qui permet au liquidateur, et dans certaines conditions aux créanciers, de faire supporter au dirigeant tout ou partie du trou. L’article L. 651-2 du code de commerce dispose : « Lorsque la liquidation judiciaire d’une personne morale fait apparaître une insuffisance d’actif, le tribunal peut, en cas de faute de gestion ayant contribué à cette insuffisance d’actif, décider que le montant de cette insuffisance d’actif sera supporté, en tout ou en partie, par tous les dirigeants de droit ou de fait, ou par certains d’entre eux, ayant contribué à la faute de gestion. » Le même article tempère aussitôt : « Toutefois, en cas de simple négligence du dirigeant de droit ou de fait dans la gestion de la personne morale, sa responsabilité au titre de l’insuffisance d’actif ne peut être engagée. » La distinction est capitale après une cyberpanne : la simple négligence, comme un retard isolé dans l’application d’un correctif, ne suffit pas, tandis qu’une faute caractérisée ayant contribué au gouffre, comme le maintien délibéré d’un système vital sans sauvegarde malgré des alertes répétées, expose le dirigeant à supporter l’insuffisance d’actif en tout ou partie. Les associés qui ont exercé l’action sociale avant l’ouverture de la procédure conservent l’intérêt de leur démarche, car les sommes allouées à la société réduisent d’autant l’insuffisance d’actif et améliorent les perspectives de poursuite de l’activité ou de cession. Ils veillent également à déclarer leurs créances personnelles, notamment leurs avances en compte courant d’associé, dans les délais de la procédure collective, ces créances suivant toutefois le sort commun des créanciers chirographaires.

Le temps joue contre les associés distraits, car l’action en responsabilité se prescrit rapidement. L’article L. 225-254 du code de commerce prévoit : « L’action en responsabilité contre les administrateurs ou le directeur général, tant sociale qu’individuelle, se prescrit par trois ans, à compter du fait dommageable ou s’il a été dissimulé, de sa révélation. » Le point de départ glisse à la révélation lorsque le dirigeant a dissimulé les faits, par exemple en présentant à l’assemblée des comptes qui minorent les pertes ou en taisant un rapport d’audit accablant, ce qui est fréquent dans les dossiers de gouvernance défaillante. En pratique, les associés interrompent la prescription par une assignation en justice ou par une mise en demeure adressée dans les formes, et ils datent précisément la découverte des faits dans leurs écritures, car le dirigeant ne manquera pas de soulever la prescription comme première défense. Ils distinguent par ailleurs l’action sociale, qui répare le préjudice de la société et dont le produit revient à celle-ci, de l’action personnelle, ouverte à l’associé qui démontre un préjudice propre distinct de la simple dépréciation de ses titres, comme la perte d’une chance de céder ses parts à un prix déterminé avant la révélation de la faute. Cette seconde action obéit aux règles générales de la responsabilité civile et suppose la preuve d’une faute séparable des fonctions lorsque le tiers ou l’associé agit directement contre le dirigeant, notion que la jurisprudence n’admet qu’avec une exigence élevée.

À Paris et en Île-de-France, le parcours procédural obéit à des repères concrets que les associés gagnent à connaître avant de se lancer. L’action sociale en responsabilité et la demande d’expertise de gestion relèvent du tribunal judiciaire du lieu du siège social : pour une société dont le siège est à Paris, il s’agit du tribunal judiciaire de Paris, dont les chambres commerciales connaissent du contentieux des sociétés. Les mesures urgentes, constat avant dire droit sur le fondement de l’article 145 du code de procédure civile, expertise, séquestre ou désignation d’un mandataire ad hoc chargé de représenter la société dans l’action dirigée contre son dirigeant, passent par le juge des référés du même tribunal, qui statue en quelques semaines lorsque l’urgence et le motif légitime sont établis. Les associés préparent le dossier avec l’expert-comptable de la société ou un expert indépendant, font établir le constat du commissaire de justice dans le ressort utile, et conservent chaque preuve de leurs démarches préalables, questions écrites au dirigeant, demandes de communication de pièces, mises en demeure. Côté registre, la révocation du dirigeant fautif et la nomination de son successeur se déclarent au greffe du tribunal de commerce de Paris pour y être publiées, car les tiers restent fondés à se fier aux inscriptions jusqu’à leur mise à jour. Les délais parisiens restent raisonnables en référé, mais l’action au fond devant le tribunal s’étale couramment sur douze à vingt-quatre mois, ce qui justifie de figer les preuves et d’interrompre la prescription dès les premières semaines. Les associés qui craignent la disparition des journaux techniques ou la cession précipitée d’actifs demandent sans attendre les mesures conservatoires adaptées, plutôt que de découvrir l’insolvabilité organisée au jour du jugement.

Conclusion

La cyberpanne des systèmes de froid d’octobre 2026 rappelle une règle permanente du droit des sociétés : l’attaque peut venir de l’extérieur, mais la responsabilité du dirigeant se juge sur ce qu’il avait préparé à l’intérieur. Les associés ne sont pas condamnés à subir les pertes ni à attendre que le dirigeant se poursuive lui-même. Ils établissent la faute de gestion par des manquements précis et documentés, figent les preuves par constat et expertise avant qu’elles ne s’effacent, chiffrent le préjudice avec l’expert-comptable, puis exercent l’action sociale au profit de la société, sans qu’une action parallèle de celle-ci puisse les priver de leur droit propre, comme l’a jugé la Cour de cassation le 7 mai 2025. Quand la société bascule en liquidation, l’insuffisance d’actif prend le relais pour les fautes caractérisées, dans le délai de prescription de trois ans qui court de la révélation des faits dissimulés. La méthode prime l’indignation : écrire avant d’assigner, chiffrer avant de réclamer, interrompre la prescription avant de plaider. Les dossiers gagnés sont ceux où chaque étape a laissé une trace.