Dans la semaine du 12 octobre 2026, la presse économique a fait état d’une cyberattaque contre un prestataire de services techniques intervenant pour de grands donneurs d’ordre : selon les articles publiés le 16 octobre 2026, le prestataire aurait confirmé une intrusion sur ses systèmes survenue le 12 octobre 2026 et indiqué, d’après ses premières investigations, que certaines données relatives à ses clients auraient fait l’objet d’accès ou de divulgations non autorisés. La même presse rapporte que le prestataire a déposé plainte, saisi les autorités compétentes et que son activité se poursuit normalement, tandis qu’un pirate revendiquerait la mise en vente de plus de dix millions de lignes de données, notamment des noms, des numéros de téléphone et des adresses postales. Ces volumes restent ceux revendiqués par le pirate et ne sont pas confirmés à ce stade.
À la date de rédaction, aucune source officielle ne constate au-delà de ce que la presse rapporte ni l’étendue exacte de l’intrusion, ni un dommage précis, et aucune responsabilité n’est établie : les contrats signés entre chaque entreprise et son prestataire priment sur toute analyse générale, et seul le juge décide en cas de litige. Cet article décrit donc, de façon générale, la méthode utile à toute entreprise cliente dont le prestataire informatique est piraté : déclarer le sinistre à l’assurance cyber et déposer plainte dans les soixante-douze heures, figer les preuves et mettre en demeure le prestataire, puis faire jouer les garanties et le recours contre le sous-traitant. La première partie traite des réflexes des premières heures, la seconde de la prise en charge financière et des responsabilités.
I. Cyberattaque entreprise : que faire dans les premières heures
A. Assurance cyber entreprise : déclarer le sinistre et déposer plainte en 72 heures
Lorsqu’une entreprise apprend que son prestataire informatique a été piraté et que des données qu’elle lui avait confiées ont pu être exposées, le premier réflexe concerne le contrat d’assurance cyber, lorsqu’il existe. La loi subordonne l’indemnisation à une plainte rapide : « Le versement d’une somme en application de la clause d’un contrat d’assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du code pénal est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime. » (article L. 12-10-1 du code des assurances). Le même article précise son champ : « Le présent article s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. » Une société cliente d’un prestataire piraté entre donc directement dans ce cadre, et le point de départ du délai de soixante-douze heures est la connaissance de l’atteinte par la victime, telle que la loi l’énonce.
En pratique, la plainte se dépose au commissariat de police ou à la brigade de gendarmerie, ou par écrit au procureur de la République du tribunal judiciaire dont dépend l’entreprise : pour une société installée à Paris ou en Île-de-France, il s’agit du procureur de la République du tribunal judiciaire de son siège, en joignant toutes les preuves déjà réunies. La plateforme gouvernementale cybermalveillance.gouv.fr recommande ainsi de déposer plainte au commissariat de police ou à la brigade de gendarmerie, ou par écrit au procureur de la République du tribunal judiciaire dont dépend l’entreprise, en fournissant toutes les preuves déjà réunies (fiche réflexe rançongiciel, cybermalveillance.gouv.fr). La même fiche insiste sur l’ordre des opérations : le dépôt de plainte doit intervenir avant la réinstallation des appareils touchés, de manière à conserver les preuves techniques de l’incident pour les enquêteurs. Réinstaller ou effacer avant la plainte, c’est donc risquer à la fois l’indemnisation et l’enquête.
Parallèlement à la plainte, l’entreprise doit donner avis du sinistre à son assureur. Le code des assurances oblige l’assuré à « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés. » (article L. 113-2, 4°, du code des assurances). Autrement dit, le contrat peut fixer un délai plus long, jamais plus court que cinq jours ouvrés, et ce plancher est d’ordre public. La Cour de cassation l’a rappelé le 21 janvier 2021 en censurant une cour d’appel qui avait admis une déchéance fondée sur une clause prévoyant un délai de quatre jours seulement : « En statuant ainsi, alors qu’il n’était pas contesté que la clause de déchéance invoquée par l’assureur prévoyait un délai de déclaration de sinistre inférieur au délai minimal légal de cinq jours ouvrés, ce dont il résulte qu’elle n’était pas opposable à l’assuré, la cour d’appel a violé les textes susvisés. » (Cass. 2e civ., 21 janv. 2021, n° 19-13.347, lien Judilibre). L’arrêt, qui « CASSE ET ANNULE, en toutes ses dispositions, l’arrêt rendu le 10 janvier 2019, entre les parties, par la cour d’appel de Bourges », a été rendu au visa des « articles L. 113-2, 4°, et L. 111-2 du code des assurances », le second déclarant le premier d’ordre public.
Même lorsque le délai contractuel est valable, une déclaration tardive ne fait pas perdre automatiquement la garantie. La loi limite la sanction : « Lorsqu’elle est prévue par une clause du contrat, la déchéance pour déclaration tardive au regard des délais prévus au 3° et au 4° ci-dessus ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a causé un préjudice. » (même article L. 113-2 du code des assurances). L’assureur qui oppose la déchéance doit donc prouver son préjudice, et l’entreprise doit conserver la preuve de la date et du contenu de sa déclaration, par lettre recommandée ou envoi recommandé électronique. La sincérité de la déclaration compte autant que sa rapidité : « le contrat d’assurance est nul en cas de réticence ou de fausse déclaration intentionnelle de la part de l’assuré, quand cette réticence ou cette fausse déclaration change l’objet du risque ou en diminue l’opinion pour l’assureur, alors même que le risque omis ou dénaturé par l’assuré a été sans influence sur le sinistre. » (article L. 113-8 du code des assurances). Et la sanction est lourde puisque « Les primes payées demeurent alors acquises à l’assureur, qui a droit au paiement de toutes les primes échues à titre de dommages et intérêts. » Décrire avec exactitude le parc informatique, les mesures de sécurité, les sauvegardes et les antécédents de sinistres, dès la souscription comme en cours de contrat, constitue donc une protection directe de la garantie. À ce titre, la loi impose aussi de signaler les aggravations : « L’assuré doit, par lettre recommandée ou par envoi recommandé électronique, déclarer ces circonstances à l’assureur dans un délai de quinze jours à partir du moment où il en a eu connaissance » (article L. 113-2, 3°, du code des assurances), lorsque des circonstances nouvelles aggravent les risques ou en créent de nouveaux.
Enfin, si le pirate réclame une rançon, la doctrine officielle recommande de ne pas payer la rançon (cybermalveillance.gouv.fr), car le paiement n’offre aucune garantie de restitution des données ni de non-divulgation. Avant toute décision, l’entreprise isole les machines atteintes, coupe les connexions du réseau attaqué et alerte son service ou son prestataire informatique, puis fige les preuves avec un professionnel : fichiers de journalisation des solutions de sécurité (pare-feu, proxy, annuaire), copies physiques des postes ou serveurs touchés ou, à défaut, conservation de leurs disques durs, message de demande de rançon et quelques fichiers chiffrés utiles au signalement et à l’enquête Ces pièces serviront à la fois à l’assureur, à la plainte et, le cas échéant, au recours contre le prestataire.
B. Prestataire piraté : constats, mise en demeure et preuves du recours
Une fois l’assureur avisé et la plainte déposée, l’entreprise cliente doit écrire au prestataire : constater l’incident, exiger des explications et des mesures, et préserver son recours. La première lettre, envoyée en recommandé avec accusé de réception, demande au prestataire la nature exacte de l’atteinte, les catégories de données concernées, le nombre approximatif de personnes touchées, les mesures de confinement prises et le calendrier de restauration, ainsi que la copie des journaux techniques et l’attestation de ses mesures de sécurité. Cette demande s’appuie sur le contrat qui encadre la sous-traitance : la CNIL rappelle que les traitements confiés à un sous-traitant doivent respecter le RGPD et être encadrés par un contrat avec le responsable de traitement (CNIL, travailler avec un sous-traitant), contrat qui organise l’aide du prestataire en cas d’incident. Un prestataire qui détiendrait seul les journaux de connexion et refuserait de les communiquer empêcherait son client de notifier la violation à la CNIL et d’informer les personnes concernées : documenter ce refus par écrit, c’est déjà préparer le procès sur la part de responsabilité de chacun.
La mise en demeure distingue ensuite deux situations. Si le prestataire n’exécute plus ses obligations, par exemple la maintenance, l’hébergement ou la supervision convenue, le client peut suspendre le paiement des factures correspondantes en invoquant l’exception d’inexécution, à condition que l’inexécution du prestataire soit suffisamment grave : la cour d’appel de Paris rappelle qu’une partie peut « refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave » (CA Paris, pôle 5, ch. 11, 25 nov. 2022, RG n° 21/05032, lien Judilibre). Si l’inexécution persiste, la résolution unilatérale du contrat pour inexécution suffisamment grave suppose une notification écrite : le créancier « notifie au débiteur la résolution du contrat », et « Le créancier doit alors prouver la gravité de l’inexécution. » (même arrêt). Concrètement, chaque mise en demeure décrit précisément les manquements, impartit un délai de régularisation et annonce la sanction contractuelle ou judiciaire envisagée, afin que le juge saisi plus tard dispose d’un dossier chronologique et complet.
La jurisprudence illustre l’exigence des juges envers les professionnels de l’informatique. Dans cette affaire parisienne de contrat de maintenance, la cour a jugé que « S’agissant d’un contrat de maintenance, cette obligation apparaît essentielle et consiste en une obligation de résultat, sauf cas de force majeure, fait d’un tiers ou faute de la victime. » (CA Paris, pôle 5, ch. 11, 25 nov. 2022, RG n° 21/05032, lien Judilibre). Elle portait sur la sauvegarde des données, et la cour a retenu une faute lourde contre le prestataire qui avait manqué à son devoir d’information « en toute connaissance du risque que ce manquement impliquait, au regard de ses compétences professionnelles » (CA Paris, pôle 5, ch. 11, 25 nov. 2022, RG n° 21/05032, lien Judilibre). Transposée à une cyberattaque subie par le prestataire lui-même, cette logique conduit à examiner, pièce par pièce, si le prestataire avait mis en place les mesures de sécurité promises, s’il avait alerté son client sur les risques connus et s’il détenait des sauvegardes déconnectées permettant la restauration : la plateforme gouvernementale recommande d’ailleurs aux organisations de garder des copies déconnectées de leurs sauvegardes et d’en vérifier périodiquement la restauration (cybermalveillance.gouv.fr).
Le chiffrage du préjudice commence dès les premières heures et conditionne toute la suite. Le principe de la réparation contractuelle est posé par le code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Mais la réparation a des bornes : « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » (article 1231-4 du code civil). L’entreprise cliente ouvre donc un dossier financier dès le premier jour : coûts de confinement et d’expertise, perte d’exploitation, frais de notification et d’information des personnes, frais de restauration et de changement de prestataire, mises en demeure des clients et pénalités subies. Chaque poste est rattaché à une facture ou à un devis, car le juge n’indemnise que le préjudice prouvé et directement lié à l’inexécution. Les questions de résiliation et de réparation contractuelle au fond sont détaillées dans l’analyse consacrée au prestataire informatique piraté, à la résiliation et à la réparation, qui complète utilement la présente méthode centrée sur l’assurance et la notification.
II. Assurance cyber et sous-traitant : qui paie et qui répond
A. Contrat de sous-traitance données personnelles : ce que l’article 28 impose au prestataire
Lorsqu’une entreprise confie des données personnelles à un prestataire informatique, le droit européen qualifie le client de responsable du traitement et le prestataire de sous-traitant, avec des obligations propres à chacun. Dès le choix du prestataire, le responsable du traitement ne retient que des prestataires offrant des garanties suffisantes. La CNIL définit le sous-traitant comme la personne physique ou morale, entreprise ou organisme public, qui traite des données pour le compte d’un autre organisme, le responsable de traitement, dans le cadre d’un service ou d’une prestation (CNIL, travailler avec un sous-traitant), et c’est au client de vérifier ces garanties avant de signer. Conserver les réponses du prestataire à l’appel d’offres, ses certifications, ses audits de sécurité et ses engagements contractuels sur les mesures techniques, c’est donc conserver la preuve qu’il offrait, ou non, les garanties exigées : en cas de litige, le juge compare les garanties promises aux mesures réellement déployées.
Le contrat écrit, souvent appelé DPA ou accord de sous-traitance, n’est pas une formalité : les traitements confiés à un sous-traitant doivent respecter le RGPD et être encadrés par un contrat avec le responsable de traitement (CNIL, travailler avec un sous-traitant). En pratique, ce contrat définit l’objet et la durée du traitement, la nature et la finalité, les types de données et les catégories de personnes concernées, ainsi que les droits du client (article 28, paragraphe 3, du règlement (UE) 2016/679) Le même régime impose au sous-traitant de ne traiter les données que sur instruction documentée du client, de prendre les mesures de sécurité requises, d’aider le client à répondre aux demandes des personnes concernées, et, au terme de la prestation et selon le choix du client, de supprimer toutes les données ou de les lui renvoyer en détruisant les copies existantes. Après une cyberattaque, ces clauses deviennent opérationnelles : le client ordonne par écrit au prestataire de lui transmettre les journaux, de l’aider à notifier, de ne pas détruire les preuves et de restituer ou détruire les données selon l’option choisie, chaque instruction étant documentée.
Le défaut de mesures de sécurité expose en outre à des sanctions pénales. La loi punit « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-17 du code pénal). L’article 32 du règlement, auquel ce texte renvoie, exige du responsable comme du sous-traitant un niveau de sécurité adapté aux risques, incluant la pseudonymisation, la confidentialité, l’intégrité, la disponibilité et des procédures de test et d’évaluation régulières. Quant aux attaquants eux-mêmes, le code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de « trois ans d’emprisonnement et de 100 000 € d’amende », peine portée à « cinq ans d’emprisonnement et de 150 000 € d’amende » lorsqu’il en est résulté « soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système » (article 323-1 du code pénal), et punit de « cinq ans d’emprisonnement et de 150 000 € d’amende » « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient » (article 323-3 du code pénal). La mise en vente de données exfiltrées entre dans ces qualifications, ce qui fonde la plainte pénale de l’entreprise cliente comme celle du prestataire, chacun pour son propre préjudice.
Reste la question centrale pour le client : qui doit alerter la CNIL et les personnes concernées lorsque c’est le sous-traitant qui a été piraté. La réponse tient en un principe : c’est le responsable du traitement qui notifie, aidé par son sous-traitant. En droit français, « Le responsable de traitement notifie à la Commission nationale de l’informatique et des libertés et communique à la personne concernée toute violation de données à caractère personnel en application des articles 33 et 34 du règlement (UE) 2016/679 du 27 avril 2016. » (article 58, I, de la loi n° 78-17 du 6 janvier 1978). Le point de départ court à la connaissance de la violation par le responsable du traitement, ce qui suppose que le sous-traitant l’ait alerté sans tarder : d’où l’importance d’une clause contractuelle imposant au prestataire une alerte chiffrée en heures, et non en jours.
La CNIL précise la méthode sur sa page officielle : le responsable du traitement documente en interne chaque violation, notifie à la CNIL celles qui présentent un risque pour les droits et libertés des personnes et, lorsque le risque est élevé, en informe également les personnes concernées (CNIL, notifier une violation de données personnelles). La violation elle-même se définit largement : Entre dans cette catégorie toute destruction, perte, altération, divulgation non autorisée ou accès non autorisé à des données personnelles, qu’elle soit accidentelle ou illicite (même source). La CNIL ajoute un conseil de prudence : En cas de doute, la CNIL invite à notifier : elle indique ensuite s’il faut informer les personnes. Et sur le calendrier, elle énonce que La notification part sans attendre après la constatation d’une violation présentant un risque (même source). Pour une entreprise parisienne comme pour toute autre, la notification s’effectue via la téléprocédure en ligne de la CNIL, en joignant le récapitulatif documenté : Le récapitulatif de la notification tient lieu de documentation interne. Enfin, Si la violation fait suite à une cyberattaque, la CNIL conseille de déposer plainte au commissariat ou à la gendarmerie la plus proche en tenant les preuves techniques à la disposition des enquêteurs (même source) : la plainte pénale et la notification CNIL avancent donc ensemble, avec les mêmes preuves.
B. Assurance cyber risques : garanties, exclusions, subrogation et prescription
Le contrat d’assurance cyber couvre, selon sa rédaction, les postes que la cyberattaque par prestataire interposé fait naître : frais d’expertise et de confinement, perte d’exploitation pendant l’interruption, frais de notification à la CNIL et d’information des personnes, frais de restauration et de reconstruction des données, et parfois les conséquences pécuniaires des réclamations de tiers. Mais chaque garantie a ses conditions et ses exclusions, que l’entreprise doit relire avant de déclarer : champ des systèmes couverts, mesures de sécurité exigées comme condition de garantie, plafonds par sinistre et par année, franchises, et sort des actes du sous-traitant. Une garantie qui exclurait les dommages causés par un prestataire extérieur changerait radicalement l’économie du recours : l’entreprise paierait seule les conséquences de la faute de son sous-traitant, puis devrait se retourner contre lui sans l’avance de l’assureur. D’où la règle de lecture : comparer les exclusions au contrat de sous-traitance, vérifier que le prestataire piraté entre bien dans la chaîne des risques couverts, et faire confirmer par écrit à l’assureur la prise en charge avant d’engager les grosses dépenses, tout en respectant l’obligation de limiter le dommage.
Lorsque l’assureur indemnise, il prend la place de l’assuré contre le responsable : « l’assureur qui a payé l’indemnité d’assurance est subrogé, jusqu’à concurrence de cette indemnité, dans les droits et actions de l’assuré contre les tiers qui, par leur fait, ont causé le dommage ayant donné lieu à la responsabilité de l’assureur. » (article L. 121-12 du code des assurances). Le prestataire dont la défaillance a causé le dommage entre dans ces tiers, et l’assureur subrogé peut donc agir contre lui. Mais la subrogation se prépare : « L’assureur peut être déchargé, en tout ou en partie, de sa responsabilité envers l’assuré, quand la subrogation ne peut plus, par le fait de l’assuré, s’opérer en faveur de l’assureur. » (même article L. 121-12 du code des assurances). Concrètement, l’entreprise cliente ne transige pas seule avec le prestataire, ne lui donne pas quittance définitive et ne renonce à aucun droit sans l’accord de l’assureur, sous peine de perdre sa propre indemnisation. Toute transaction avec le prestataire se négocie donc avec l’assureur à la table, après chiffrage complet du préjudice.
Le partage final des responsabilités entre le client et son prestataire obéit au règlement européen. « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82, paragraphe 1, du règlement (UE) 2016/679, cité par le tribunal judiciaire de Paris, 5e chambre, 2e section, 13 février 2025, RG n° 21/07085, lien Judilibre). La Cour de cassation a précisé le 24 juin 2026 que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » et que le texte « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » (Cass. soc., 24 juin 2026, n° 24-22.792, lien Judilibre). La chambre sociale ajoute que la réparation pécuniaire « doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive », et que la victime « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral » (même arrêt). Enfin, « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » (même arrêt) : l’entreprise cliente qui réclame au prestataire doit donc prouver son dommage poste par poste. Le sous-traitant répond lorsqu’il a manqué à ses obligations propres ou désobéi aux instructions : « Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu’il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. » (même article 82, paragraphe 2). Chacun peut s’exonérer en prouvant l’absence totale d’imputabilité : « Un responsable du traitement ou un sous-traitant est exonéré de responsabilité, au titre du paragraphe 2, s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. » (même article 82, paragraphe 3). Et vis-à-vis des personnes concernées, la protection est maximale : « chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective » (même article 82, paragraphe 4), celui qui a tout payé pouvant ensuite « réclamer auprès des autres responsables du traitement ou sous-traitants ayant participé au même traitement la part de la réparation correspondant à leur part de responsabilité dans le dommage » (même article 82, paragraphe 5). Pour l’entreprise cliente, la leçon est double : elle peut être recherchée pour la totalité par les victimes même si la faute vient du prestataire, puis se retourner contre lui à hauteur de sa part, à condition d’avoir documenté les instructions données et les manquements constatés.
Le temps, enfin, joue contre l’entreprise inactive. « Toutes actions dérivant d’un contrat d’assurance sont prescrites par deux ans à compter de l’événement qui y donne naissance. » (article L. 114-1 du code des assurances). Ce délai de deux ans ne court toutefois, « En cas de sinistre, que du jour où les intéressés en ont eu connaissance, s’ils prouvent qu’ils l’ont ignoré jusque-là » (même article L. 114-1 du code des assurances), ce qui compte lorsque la violation reste longtemps indétectée. Et lorsque des tiers, par exemple des clients de l’entreprise, agissent contre elle, « Quand l’action de l’assuré contre l’assureur a pour cause le recours d’un tiers, le délai de la prescription ne court que du jour où ce tiers a exercé une action en justice contre l’assuré ou a été indemnisé par ce dernier. » (même article). L’entreprise assigne donc les dates par écrit : date de connaissance de l’atteinte, date de la plainte, date de la déclaration à l’assureur, date de la notification CNIL, date des réclamations de tiers. Ces dates font foi pour la plainte de soixante-douze heures, pour la déchéance de cinq jours ouvrés, pour la notification CNIL et pour la prescription de deux ans, et leur oubli fragilise chaque recours.
Conclusion
Face au prestataire piraté, l’entreprise cliente qui s’en sort le mieux est celle qui agit sur les quatre tableaux en même temps : plainte pénale et déclaration à l’assurance cyber dans les soixante-douze heures, preuves figées avant toute réinstallation, mise en demeure documentée du prestataire avec demande des journaux et des mesures, puis notification à la CNIL et information des personnes lorsque le risque l’exige. Elle relit ses deux contrats, la police cyber et l’accord de sous-traitance, ne transige pas seule avec le prestataire afin de préserver la subrogation de son assureur, et chiffre chaque poste de préjudice avec facture à l’appui. Rappelons-le en refermant : à la date de rédaction, aucune source officielle ne constate l’étendue exacte de l’intrusion évoquée par la presse ni un dommage précis, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide.