Dans la nuit du dimanche 11 au lundi 12 octobre 2026, plusieurs centaines de supermarchés français ont découvert au matin des rayons frais hors service : selon Le Figaro, une cyberattaque « inédite » a visé les installations de production de froid de plusieurs grandes enseignes — Coopérative U, Intermarché, Monoprix, Carrefour, E.Leclerc — avec des meubles frigorifiques montés jusqu’à 35 ou 36 °C et des stocks de produits frais et surgelés condamnés à la destruction. Dominique Schelcher, le patron de Coopérative U, a évoqué une attaque « d’une extrême gravité ». Les pertes se chiffreraient en millions d’euros pour le secteur. À la date de rédaction de cet article, l’enquête technique se poursuit : l’origine exacte de l’intrusion, l’identité des attaquants et l’étendue précise des défaillances de chaque acteur ne sont pas officiellement établies, et aucune responsabilité n’a été jugée. Seul le juge, au vu des expertises, tranchera.
Pourtant, dès qu’une société subit un piratage majeur, une question surgit dans les conseils d’administration et les assemblées d’associés : le dirigeant — président de SAS, gérant de SARL, directeur général — peut-il être tenu personnellement responsable du défaut de sécurité informatique qui a rendu l’attaque possible ou qui en a aggravé les conséquences ? Associés qui voient la valeur de leurs titres chuter, assureurs appelés en garantie, partenaires commerciaux lésés : tous cherchent un responsable solvable. Et le dirigeant, de son côté, doit organiser sa défense, prouver qu’il avait pris les mesures raisonnables et éviter que la crise cyber ne devienne une crise personnelle. Cet article expose les règles applicables en droit français : quand le défaut de sécurité devient une faute du dirigeant, qui peut agir contre lui, et comment il peut se défendre utilement, y compris devant les juridictions parisiennes.
I. Quand un défaut de sécurité informatique devient une faute du dirigeant
A. Comment contester la mise en cause du dirigeant après une cyberattaque contre la société ?
Le point de départ est simple : en droit français, le dirigeant répond de ses fautes de gestion envers la société et, dans des conditions plus strictes, envers les tiers. Pour les sociétés anonymes, l’article L. 225-251 du code de commerce dispose :
« Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. Si plusieurs administrateurs ou plusieurs administrateurs et le directeur général ont coopéré aux mêmes faits, le tribunal détermine la part contributive de chacun dans la réparation du dommage. » (article L. 225-251 du code de commerce)
Pour les SARL, le régime est parallèle. L’article L. 223-22 du code de commerce prévoit :
« Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion. » (article L. 223-22 du code de commerce)
Et pour les SAS, forme sociale la plus utilisée par les groupes de distribution et leurs franchisés comme par les prestataires informatiques, l’article L. 227-8 du code de commerce dispose :
« Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée. » (article L. 227-8 du code de commerce)
Concrètement, un défaut de sécurité informatique peut constituer une faute de gestion : absence de sauvegardes régulières et testées, logiciels d’exploitation ou de supervision non mis à jour malgré des alertes connues, absence de segmentation du réseau entre la bureautique et les systèmes industriels — comme les installations de froid pilotées à distance —, absence de plan de continuité et de reprise d’activité, mots de passe partagés ou droits d’accès excessifs confiés à un prestataire, absence d’audit après une première alerte. Chacun de ces manquements, s’il est prouvé, peut être qualifié de faute commise dans la gestion. Mais attention : le seul fait d’avoir été victime d’une attaque sophistiquée ne prouve aucune faute. Des pirates déterminés peuvent forcer des systèmes correctement administrés, et une faille dite « zero-day », inconnue de l’éditeur lui-même, ne peut être reprochée à un dirigeant qui avait appliqué les mises à jour disponibles. La faute doit être démontrée pièce par pièce : journaux de maintenance, contrats avec le prestataire informatique, rapports d’audit, échanges internes sur les alertes de sécurité. Sans ces preuves, la mise en cause reste une affirmation.
Envers les tiers — clients professionnels, fournisseurs, consommateurs — le dirigeant est en outre protégé par une exigence renforcée : seule une faute détachable de ses fonctions engage sa responsabilité personnelle. La Cour de cassation l’a rappelé le 2 avril 2025 : « Il résulte de l’article L. 225-251 du code de commerce que la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute détachable de ses fonctions et qu’il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales. » (Cass. com., 2 avril 2025, n° 23-22.728). Dans cette affaire, le dirigeant qui n’avait pas mentionné une créance en apparence contestable sur la liste des créanciers d’une sauvegarde n’avait pas commis de faute détachable, faute de mauvaise foi démontrée. Transposé à la cybersécurité, cet enseignement est net : une simple négligence dans le suivi informatique — un patch appliqué avec retard, un audit reporté — suffit rarement à engager la responsabilité personnelle du dirigeant envers les tiers ; il faut une faute intentionnelle d’une particulière gravité, par exemple le fait de dissimuler sciemment une faille connue aux partenaires ou de mentir sur l’état de la sécurité pour obtenir un contrat. En revanche, envers la société elle-même, une faute de gestion simple suffit : l’associé qui agit au nom de la société n’a pas à prouver une faute détachable.
Le droit commun de la responsabilité civile s’applique en complément. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Les victimes directes de la cyberattaque — par exemple le commerçant dont les denrées ont péri — agiront d’abord contre la société exploitante et contre le prestataire informatique, sur le terrain contractuel et délictuel, avant d’envisager la mise en cause personnelle du dirigeant, verrouillée par la faute détachable. Pour approfondir la chaîne des recours entre l’entreprise victime, son prestataire et ses clients, on peut se reporter à l’analyse des recours après une cyberattaque passée par le prestataire informatique et à celle des réclamations en cascade subies par l’éditeur dont le logiciel a servi de vecteur.
B. Quelles preuves et quelles procédures pour obtenir réparation après le piratage ?
Obtenir réparation suppose de figer la preuve immédiatement. Les journaux de connexion, les relevés de température des installations, les courriels d’alerte du superviseur de froid, les constats d’huissier — devenus constats de commissaire de justice — dressés dans les rayons, les bons de destruction des denrées, les factures du prestataire de maintenance : tout doit être conservé dès le premier jour. Un constat réalisé le lendemain de la panne, qui décrit les températures relevées, les afficheurs en erreur et les volumes détruits, pèsera lourd devant le tribunal ; un chiffrage reconstitué six mois plus tard, sans pièce d’époque, sera discuté. La société victime doit aussi déclarer le sinistre à son assureur dans le délai du contrat, souvent de cinq jours ouvrés, et vérifier ses garanties : perte d’exploitation, frais supplémentaires d’exploitation, responsabilité civile professionnelle, garantie cyber quand elle a été souscrite. Le dirigeant qui omet de déclarer à temps commet une faute supplémentaire, celle-là facile à prouver.
Sur le plan pénal, les faits eux-mêmes sont sévèrement réprimés, ce qui donne à la société victime et à ses associés un levier : la plainte avec constitution de partie civile. L’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-1 du code pénal). L’article 323-3 ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). Quand le piratage a déréglé des automates jusqu’à détruire des stocks, l’altération du fonctionnement du système et la modification frauduleuse de données — les consignes de température — correspondent aux qualifications aggravées. La chambre criminelle l’a illustré le 2 septembre 2025 en rejetant le pourvoi d’un ancien administrateur réseau condamné pour maintien frauduleux dans un système de traitement automatisé de données à trois mois d’emprisonnement avec sursis, avec intérêts civils alloués à la société plaignante (Cass. crim., 2 septembre 2025, n° 24-83.605). Déposer plainte rapidement présente trois avantages : déclencher l’enquête et les expertises techniques de la police judiciaire, interrompre la prescription de l’action civile, et obtenir, en cas de condamnation, des dommages-intérêts adossés à une décision pénale.
Si des données personnelles ont été compromises — fichiers clients, données de fidélité, vidéosurveillance — la société doit en outre arbitrer la notification à la CNIL et l’information des personnes concernées dans les délais du règlement européen, sous peine de sanctions administratives qui viendraient aggraver le préjudice social et nourrir, là encore, le grief de faute de gestion contre le dirigeant. Chaque manquement procédural postérieur à l’attaque — notification tardive, dissimulation aux associés, poursuite de la vente de denrées dont la chaîne du froid a été rompue — constitue un fait distinct, souvent plus facile à établir que le défaut de sécurité initial, et engage la responsabilité sanitaire et pénale de l’exploitant. La gestion de crise compte autant que la prévention : un dirigeant qui réagit vite, fait fermer les rayons douteux, fait détruire les lots suspects et informe loyalement ses associés se met à l’abri du reproche d’aggravation du dommage, même si la sécurité initiale était perfectible.
II. Associés et dirigeants : agir ou se défendre utilement
A. Quelle action l’associé minoritaire peut-il intenter contre le dirigeant négligent ?
L’associé qui estime que le dirigeant a exposé la société au piratage par sa négligence dispose de plusieurs voies, graduées selon la gravité des faits et la preuve disponible. La première est l’action sociale, exercée au nom de la société pour obtenir réparation du préjudice subi par elle : chiffre d’affaires perdu, stocks détruits, coût de remise en état des systèmes, rançon éventuellement versée, honoraires d’experts, perte de valeur. L’article L. 225-252 du code de commerce ouvre cette action aux actionnaires : « Outre l’action en réparation du préjudice subi personnellement, les actionnaires peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les administrateurs ou le directeur général. Les demandeurs sont habilités à poursuivre la réparation de l’entier préjudice subi par la société, à laquelle, le cas échéant, les dommages-intérêts sont alloués. » (article L. 225-252 du code de commerce). En SARL, l’article L. 223-22 reprend le même mécanisme au profit des associés, et précise : « Aucune décision de l’assemblée ne peut avoir pour effet d’éteindre une action en responsabilité contre les gérants pour faute commise dans l’accomplissement de leur mandat. » (article L. 223-22 du code de commerce) Une majorité qui donnerait quitus au dirigeant ne purge pas la faute. C’est l’action dite ut singuli : un minoritaire, seul ou groupé, agit pour la société quand la majorité s’y refuse, et les dommages-intérêts reviennent à la société, ce qui reconstitue indirectement la valeur de ses titres.
La deuxième voie est politique : la révocation du dirigeant. En SARL, le gérant est révocable par décision des associés représentant plus de la moitié des parts ; en SAS, les statuts fixent librement les conditions de révocation du président, parfois ad nutum, parfois pour justes motifs. Une cyberattaque majeure, avec ses pertes et son retentissement médiatique, constitue souvent le juste motif invoqué, mais le dirigeant révoqué brutalement peut contester une révocation abusive et réclamer des dommages-intérêts, surtout s’il prouve que la sécurité relevait d’un prestataire défaillant ou d’une décision collective du conseil. Chaque camp doit donc documenter : l’associé, les manquements précis et leur lien avec le dommage ; le dirigeant, les décisions de sécurité qu’il avait prises ou proposées et les refus budgétaires éventuels de ses associés. Sur la révocation et sa contestation, les règles exposées pour le président de SAS révoqué du jour au lendemain s’appliquent pleinement à un dirigeant écarté après une crise cyber.
La troisième voie, la plus redoutée, intervient si la crise conduit la société à la liquidation judiciaire : l’action en responsabilité pour insuffisance d’actif. L’article L. 651-2 du code de commerce dispose : « Lorsque la liquidation judiciaire d’une personne morale fait apparaître une insuffisance d’actif, le tribunal peut, en cas de faute de gestion ayant contribué à cette insuffisance d’actif, décider que le montant de cette insuffisance d’actif sera supporté, en tout ou en partie, par tous les dirigeants de droit ou de fait, ou par certains d’entre eux, ayant contribué à la faute de gestion. » (article L. 651-2 du code de commerce). Le même texte protège toutefois le dirigeant simplement négligent : « en cas de simple négligence du dirigeant de droit ou de fait dans la gestion de la personne morale, sa responsabilité au titre de l’insuffisance d’actif ne peut être engagée ». Pour un supermarché franchisé ou une PME prestataire dont la trésorerie s’effondre après l’attaque — stocks à renouveler, clients perdus, investissements de remise à niveau —, la frontière entre la négligence simple et la faute de gestion caractérisée se jouera sur les pièces : absence totale de sauvegardes, refus documenté de souscrire une assurance cyber pourtant proposée, poursuite d’activité avec des systèmes notoirement compromis. Le dirigeant qui s’est porté caution des dettes de sa société encourt en outre les poursuites de la banque sur son patrimoine personnel ; sur ce point, les moyens de contestation d’un cautionnement disproportionné doivent être examinés en parallèle.
Enfin, l’associé qui a subi un préjudice distinct de celui de la société — par exemple parce que le dirigeant lui a dissimulé l’ampleur de la compromission pour lui racheter ses titres à vil prix avant l’annonce publique — peut agir en réparation de son préjudice personnel, sans passer par l’action sociale. Ce préjudice personnel, autonome du préjudice social, ouvre droit à des dommages-intérêts versés directement à l’associé. La dissimulation d’information par le dirigeant, si elle est établie, confine alors à la faute détachable décrite par la Cour de cassation le 2 avril 2025, car elle suppose une intention dolosive incompatible avec l’exercice normal des fonctions sociales.
B. Comment le dirigeant d’une société parisienne organise-t-il sa défense devant les tribunaux d’Île-de-France ?
Le dirigeant mis en cause ne doit ni se taire ni se précipiter : il doit construire un dossier de défense méthodique, de préférence avec son conseil, dès la réception de la première mise en demeure. Premier réflexe : rassembler les preuves de diligence. Contrats de maintenance et d’infogérance, rapports d’audit de sécurité, attestations du prestataire sur les correctifs appliqués, politiques internes de mots de passe et d’habilitations, registres des sauvegardes et des tests de restauration, décisions budgétaires consacrées à la sécurité, échanges montrant que les alertes ont été traitées : chaque document réduit l’espace du reproche. Si le dirigeant avait alerté ses associés sur la nécessité d’investissements de sécurité restés sans suite, les procès-verbaux d’assemblée et ses courriers deviennent ses meilleures pièces. Deuxième réflexe : faire réaliser une expertise technique indépendante, distincte de celle de l’assureur, pour établir le vecteur réel de l’attaque — hameçonnage d’un salarié, compromission du prestataire, faille zero-day — et démontrer, le cas échéant, que les mesures en place correspondaient aux usages du secteur. Troisième réflexe : vérifier la couverture d’assurance responsabilité civile des dirigeants, souvent souscrite par les groupes et les PME structurées, qui prend en charge les frais de défense et, selon les plafonds, les condamnations civiles, hors faute intentionnelle et hors amendes pénales.
Sur le fond, la défense s’articule autour de quatre axes. D’abord, contester la faute : les mesures prises étaient conformes à l’état de l’art et aux moyens de la société, l’attaque relevait d’une sophistication que ces mesures ne pouvaient raisonnablement empêcher, et aucun texte n’impose à une PME de distribution un niveau de sécurité équivalent à celui d’un opérateur d’importance vitale. Ensuite, contester le lien de causalité : le dommage — denrées détruites, fermeture des rayons — résulte de l’acte malveillant des pirates, cause étrangère, et non du défaut allégué ; même avec des correctifs à jour, l’intrusion se serait produite par le même vecteur. Puis, contester le quantum : les pertes alléguées doivent être justifiées lot par lot, déduction faite des indemnités d’assurance déjà versées et des économies réalisées, et la perte de valeur des titres doit être évaluée par un expert, non affirmée. Enfin, retourner la perspective : c’est le prestataire informatique ou l’éditeur du logiciel de supervision qui a manqué à son obligation de délivrer un système sûr et maintenu, et la société — donc indirectement le dirigeant — dispose contre lui d’un recours contractuel et délictuel, avec appel en garantie envisageable dans la procédure engagée par les associés. La page droit des sociétés du cabinet à Paris présente les accompagnements possibles pour ces stratégies de défense et de recours.
À Paris et en Île-de-France, le contentieux se joue devant des juridictions rompues à ces dossiers. Les litiges entre associés et dirigeants d’une société commerciale relèvent du tribunal de commerce de Paris, sur l’île de la Cité, ou du tribunal de commerce du siège social pour les sociétés franciliennes ; l’action en responsabilité pour insuffisance d’actif relève du tribunal judiciaire qui a ouvert la liquidation — à Paris, le tribunal judiciaire de Paris, porte de Clichy. Les assignations doivent respecter les délais de prescription : trois ans à compter du fait dommageable ou de sa révélation pour l’action sociale, trois ans à compter du jugement de liquidation pour l’insuffisance d’actif. En pratique parisienne, les délais d’audiencement devant le tribunal de commerce imposent d’anticiper : une assignation délivrée en fin d’année 2026 aboutira rarement à un jugement avant la fin 2027, et le dirigeant avisé utilisera ce temps pour faire diligenter une expertise judiciaire, solliciter la médiation du tribunal ou négocier un protocole transactionnel qui éteindra le litige sans reconnaissance de faute. La médiation interentreprises et les conciliations proposées par les tribunaux de commerce franciliens donnent de bons résultats dans ces dossiers techniques, où ni les associés ni le dirigeant n’ont intérêt à laisser le conflit s’éterniser pendant que la société doit se reconstruire. Et si la société parisienne appartient à un réseau coopératif ou à une franchise, le règlement des différends prévu par le contrat de réseau — conciliation préalable, arbitrage — doit être examiné avant toute saisine, sous peine d’irrecevabilité.
Conclusion
La cyberattaque qui a frappé les supermarchés français dans la nuit du 11 au 12 octobre 2026 rappelle qu’aucune société n’est à l’abri, pas même celles dont le métier semblait éloigné du numérique : quand le froid qui conserve les aliments dépend d’un logiciel piloté à distance, la sécurité informatique devient une question de survie économique. Pour le dirigeant, l’enseignement est double. En amont, la prévention se documente : audits, correctifs, sauvegardes testées, plan de continuité, assurance adaptée — autant de diligences qui, le jour de la crise, feront la différence entre une faute de gestion caractérisée et un risque d’entreprise assumé avec sérieux. En aval, la gestion de crise se prouve : constatations immédiates, déclaration à l’assureur, plainte pénale, information loyale des associés, destruction des lots suspects. Pour l’associé, les armes existent — action sociale ut singuli, révocation, action en insuffisance d’actif, plainte avec constitution de partie civile — mais elles exigent des preuves précises, pas des présomptions : être victime d’un piratage ne suffit pas à faire condamner un dirigeant, et la Cour de cassation exige pour les tiers une faute intentionnelle d’une particulière gravité. Dans tous les cas, ni l’ampleur médiatique de l’attaque, ni le montant des pertes, ni la colère des partenaires ne remplacent la démonstration, pièce par pièce, de la faute, du dommage et du lien entre eux : c’est au juge, et à lui seul, qu’il reviendra de dire si le défaut de sécurité relevait de la fatalité technologique ou de la négligence du capitaine.