Le 13 octobre 2026, Solutions 30 SE a publié un communiqué annonçant un incident de cybersécurité affectant une partie de ses systèmes d’information, intrusion survenue le 12 octobre 2026 selon le groupe (communiqué relayé le jour même). Selon l’article de la presse spécialisée qui a relayé l’information le 16 octobre 2026, un pirate revendique plus de 10 millions d’enregistrements issus d’interventions réalisées pour des opérateurs. Ces volumes restent, à la date de rédaction du présent article, ceux que revendique l’auteur présumé de l’intrusion : aucune source officielle n’a confirmé le nombre d’enregistrements concernés ni la nature exacte des données en cause. Le groupe a indiqué que ses opérations se poursuivent normalement, qu’il a déposé plainte et qu’il s’est tourné vers les autorités compétentes.

Pour les entreprises, la question n’est pas de savoir si l’attaque a eu lieu — le prestataire l’a confirmée lui-même — mais de comprendre ce qu’elle change à leurs propres obligations. Quand le prestataire qui déploie la fibre, installe les compteurs ou maintient les équipements est lui-même compromis, l’incident se propage : l’entreprise cliente qui lui a confié des interventions chez ses propres abonnés doit vérifier ce qui a pu être exposé, le sous-traitant qui travaille sous ses ordres doit savoir ce qu’il peut encore faire et avec quels outils, et le client final, particulier ou professionnel, attend des réponses que personne ne peut improviser.

Cet article décrit la carte des décisions à prendre dans toute situation comparable : quelles preuves figer et qui doit les détenir, qui notifie quelle violation de données et dans quel délai, si la cyberattaque exonère le prestataire de ses manquements, et comment organiser la continuité des interventions et les recours. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne préjugent d’aucune responsabilité établie. Les contrats signés entre les parties priment sur toute analyse générale, et seul le juge, saisi des faits et des pièces, peut trancher les responsabilités.

I. L’entreprise cliente du prestataire compromis : preuves et notifications

A. Figer les preuves avant qu’elles ne se dispersent

La première décision appartient à l’entreprise cliente : elle doit établir, dès les premiers jours, ce que le prestataire faisait pour elle, avec quelles données et selon quelles consignes. En droit français, « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’entreprise qui entend reprocher à son prestataire un manquement lié à l’incident devra donc prouver l’obligation inexécutée, tandis que le prestataire qui invoquera la cyberattaque pour se libérer devra justifier lui-même de cette attaque et des mesures prises. Devant le juge civil, « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention. »

Concrètement, l’entreprise cliente réunit le contrat-cadre et ses annexes, les bons de commande et les ordres d’intervention, les registres des accès accordés aux techniciens du prestataire, les journaux de connexion aux outils partagés, la liste des traitements de données confiés et les échanges écrits antérieurs à l’incident sur la sécurité. Elle demande par écrit au prestataire la chronologie de l’intrusion telle qu’il la connaît, le périmètre des systèmes touchés, la liste des données de ses propres clients qui auraient été exposées et les mesures de confinement adoptées. Cette demande écrite, datée, constitue elle-même une preuve de diligence.

Le sous-traitant qui intervient sur le terrain pour le compte du prestataire compromis doit adopter le même réflexe : conserver ses ordres de mission, ses comptes rendus d’intervention, ses échanges avec le donneur d’ordres et la trace des outils numériques mis à sa disposition. Si ses propres terminaux ou accès ont été révoqués ou modifiés après l’incident, il en garde la preuve. Chacun détient ainsi sa part du dossier, et aucune pièce ne dépend de la seule bonne volonté d’un partenaire dont les systèmes sont perturbés.

Un avertissement s’impose sur la loyauté de la preuve. Dans un jugement du 28 mai 2026, le tribunal judiciaire de Poitiers a écarté des retranscriptions d’échanges verbaux enregistrés à l’insu de l’intéressée, en relevant que les enregistrements réalisés à l’insu de la personne caractérisaient une déloyauté et que la retranscription non authentifiée voyait sa valeur probante atteinte (tribunal judiciaire de Poitiers, 28 mai 2026, RG 25/02161). L’entreprise cliente ou le sous-traitant qui serait tenté d’enregistrer clandestinement un interlocuteur pour « prouver » un aveu commettrait donc une faute de méthode : les constats d’huissier, devenus constats de commissaire de justice, les attestations régulières, les captures datées et les journaux techniques versés loyalement aux débats valent mieux qu’un enregistrement clandestin qui sera écarté.

Enfin, l’entreprise cliente vérifie si son contrat lui impose une procédure particulière : obligation d’informer le prestataire par lettre recommandée, délai de mise en demeure avant toute suspension, recours préalable à une conciliation ou à une expertise contradictoire. Ces clauses priment sur les réflexes : une suspension décidée sans respecter la procédure contractuelle peut se retourner contre son auteur.

B. Notifier la violation de données : qui, à qui, et dans quel délai

La seconde décision concerne les données à caractère personnel. Dès lors que des interventions chez des clients comportent des noms, adresses, coordonnées, relevés de consommation ou données de localisation, l’intrusion dans les systèmes du prestataire peut constituer une violation de données à caractère personnel au sens du règlement général sur la protection des données. Chaque acteur de la chaîne doit alors déterminer son rôle : responsable du traitement ou sous-traitant, car les obligations diffèrent.

Le règlement impose à chacun un niveau de sécurité adapté au risque : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », y compris la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, ainsi que des moyens de rétablir la disponibilité des données dans des délais appropriés en cas d’incident. Cette exigence s’apprécie en tenant compte de l’état des connaissances et des coûts de mise en œuvre, mais elle pèse sur les deux parties, pas sur le seul prestataire.

En cas de violation avérée, « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » En France, cette autorité de contrôle est la Commission nationale de l’informatique et des libertés. Le délai de soixante-douze heures court à compter de la prise de connaissance de la violation, et toute notification tardive doit être accompagnée des motifs du retard. L’entreprise cliente qui est responsable du traitement des données de ses propres abonnés ne peut donc pas attendre que le prestataire ait terminé son enquête interne : dès qu’elle a connaissance d’une violation susceptible d’engendrer un risque, le délai commence à courir pour elle.

Symétriquement, « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » Le prestataire compromis doit donc alerter sans tarder chaque entreprise cliente pour laquelle il traite des données, en décrivant la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, ainsi que les mesures prises ou envisagées. L’entreprise cliente, à réception, complète sa propre analyse de risque et décide de sa notification à l’autorité de contrôle.

Lorsque le risque est élevé pour les droits et libertés des personnes, une seconde obligation s’ajoute : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » Cette communication s’effectue en des termes clairs et simples et décrit la nature de la violation. Elle n’est pas nécessaire si les données affectées avaient été rendues incompréhensibles pour toute personne non autorisée, par exemple par chiffrement, ou si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, ou encore si elle exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente est privilégiée.

Pour l’entreprise cliente d’un prestataire de déploiement ou de maintenance, cela signifie concrètement : identifier avec le prestataire quelles catégories de données de quels clients sont concernées, qualifier le niveau de risque avec l’aide du délégué à la protection des données, notifier l’autorité de contrôle dans le délai de soixante-douze heures si un risque existe, et préparer la communication aux personnes concernées si le risque est élevé. Le sous-traitant intervenant, qui traite généralement les données sur instruction du responsable du traitement, alerte son donneur d’ordres et documente ses propres mesures, sans notifier directement l’autorité à la place du responsable.

Chaque notification s’accompagne d’une documentation interne : registre des violations, analyse de risque, décisions prises et motifs. Cette documentation servira autant devant l’autorité de contrôle que devant le juge civil si un client final réclame réparation.

II. Contrats en chaîne : continuité, responsabilité et recours

A. La cyberattaque exonère-t-elle le prestataire ? Rarement, et jamais automatiquement

Le prestataire compromis sera tenté d’invoquer la cyberattaque comme un cas de force majeure pour échapper à sa responsabilité envers ses entreprises clientes, lesquelles seront tentées d’invoquer la même attaque pour justifier leurs propres retards envers leurs clients finals. Or la force majeure obéit en matière contractuelle à une définition stricte : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives : événement échappant au contrôle, imprévisibilité raisonnable lors de la conclusion du contrat, effets inévitables par des mesures appropriées.

L’enseignement récent des tribunaux est sévère pour les débiteurs dont l’activité s’exécute en ligne. Dans son jugement du 28 mai 2026 déjà cité, le tribunal judiciaire de Poitiers a admis que la cyberattaque échappait au contrôle du débiteur, mais a refusé l’exonération : un tel événement ne pouvait être tenu pour imprévisible à la date du contrat, conclu le 28 septembre 2023, par le débiteur d’une obligation qui s’exécute en ligne, de sorte que ce débiteur devait prendre toutes mesures appropriées pour la sécurité de son outil de travail. Faute pour le débiteur de justifier des mesures prises, de leur caractère approprié et même de la réalité de la cyberattaque alléguée, la force majeure a été écartée et l’inexécution sanctionnée (tribunal judiciaire de Poitiers, 28 mai 2026, RG 25/02161). La leçon vaut pour tout prestataire de services numériques ou connectés : en 2026, la cyberattaque est un risque prévisible, et celui qui l’invoque doit prouver ses mesures de protection comme la réalité de l’attaque.

Si la force majeure est écartée, le régime de droit commun s’applique : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » L’entreprise cliente peut donc rechercher la responsabilité contractuelle du prestataire, à condition de prouver l’obligation, l’inexécution et le préjudice, y compris la perte d’exploitation et les coûts de remise en état.

La nature de l’obligation du prestataire informatique mérite attention. Les contrats tiennent lieu de loi entre les parties : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Dans un arrêt du 28 avril 2026, la cour d’appel de Reims a jugé que le prestataire de services informatiques chargé de prestations intellectuelles complexes est tenu d’une obligation de moyens renforcée quant à la délivrance de l’ouvrage commandé, avec un devoir de conseil qui consiste à se renseigner sur les besoins de l’acheteur, à proposer une solution adaptée et à mettre en garde contre les difficultés et les risques. Il appartient alors au prestataire de prouver qu’il a accompli toute diligence et délivré les mises en garde nécessaires. Mais la cour a aussi rappelé que le client est tenu d’un devoir de collaboration, notamment en exposant correctement ses besoins, et elle a partagé la responsabilité par moitié entre un prestataire défaillant dans son conseil et un client défaillant dans sa collaboration, en allouant notamment des sommes au titre de la perte d’exploitation et du coût de remise en état du système informatique (cour d’appel de Reims, chambre civile et commerciale, 28 avril 2026, RG 24/01502). L’entreprise cliente qui n’a jamais exprimé ses exigences de sécurité, jamais demandé d’audit et jamais souscrit la prestation de sauvegarde proposée verra donc sa propre part de responsabilité discutée.

Le devoir d’information précontractuelle complète ce tableau. Aux termes de l’article 1112-1 du code civil, « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. » Dans un arrêt avant dire droit du 5 mai 2026, la cour d’appel de Bordeaux a précisément invité les parties à conclure sur la responsabilité d’un prestataire, pour manquement à son devoir de conseil, après le piratage d’un environnement en nuage ayant entraîné une surconsommation de services payants par connexion frauduleuse, sur le fondement de l’article 1231-1 du code civil et de l’indemnisation par perte de chance d’éviter le dommage (cour d’appel de Bordeaux, 4e chambre commerciale, 5 mai 2026, RG 24/02155, réouverture des débats). L’issue de cette affaire n’est pas encore jugée, et elle ne préjuge d’aucune autre situation, mais elle montre la question que les juges posent désormais : le prestataire a-t-il alerté son client profane sur les paramétrages de sécurité nécessaires, alors que le risque de cyberattaque était prévisible et connu de lui ?

Pour l’entreprise cliente, la méthode en découle : mettre le prestataire en demeure par écrit en visant les obligations précises inexécutées, chiffrer la perte d’exploitation et les surcoûts avec pièces comptables, vérifier les clauses limitatives ou exclusives de responsabilité du contrat — dont certaines ne portent pas sur le devoir d’information, qui ne peut être ni limité ni exclu — et examiner la couverture d’assurance des deux parties avant d’engager une action.

B. Organiser la continuité et préparer les recours sans aggraver le dommage

Pendant que les responsabilités se discutent, l’activité doit continuer : les interventions chez les clients finals ne peuvent pas s’arrêter des semaines. La loi lui offre d’ailleurs plusieurs sanctions cumulables : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » L’entreprise cliente décide, contrat en main, si elle suspend ou maintient les flux confiés au prestataire compromis. Si les accès du prestataire aux systèmes de l’entreprise présentent un risque de propagation, une suspension conservatoire et documentée peut être justifiée, à condition de respecter la procédure contractuelle de suspension et de notifier les motifs par écrit. Si au contraire l’interruption des interventions causerait un dommage irréversible aux clients finals, le maintien encadré — avec des accès restreints, une surveillance renforcée et des outils de substitution — peut être préférable. Dans les deux cas, la décision est écrite, motivée et proportionnée, car le juge l’examinera plus tard sous l’angle de l’obligation de limiter son propre dommage.

Le sous-traitant du prestataire compromis, deuxième acteur de la chaîne, se trouve dans une position délicate : ses ordres viennent d’un donneur d’ordres dont les systèmes sont perturbés, mais ses obligations envers les clients finals chez qui il intervient demeurent. Il doit demander par écrit des instructions actualisées, signaler tout obstacle à l’exécution — outils indisponibles, consignes contradictoires, accès révoqués — et ne jamais improviser une solution de contournement qui engagerait sa propre responsabilité, comme l’utilisation d’outils personnels non sécurisés pour traiter des données de clients. S’il subit lui-même un préjudice — interventions annulées, matériel immobilisé, réputation affectée auprès des clients finals — il le chiffre et le notifie à son donneur d’ordres dans les formes du contrat.

Le troisième acteur, le client final professionnel qui a confié ses installations à l’entreprise cliente, peut à son tour subir un retard ou une interruption. Il dispose des mêmes réflexes : mise en demeure de son propre cocontractant, chiffrage du préjudice, vérification de ses assurances pertes d’exploitation. La chaîne des recours se dessine alors : le client final agit contre l’entreprise cliente, qui appelle en garantie le prestataire compromis, lequel peut à son tour se retourner contre ses propres fournisseurs de solutions de sécurité s’ils ont manqué à leurs engagements. Chaque maillon ne répond que de ses propres obligations et ne peut être tenu pour responsable des fautes d’un autre maillon, sauf clause de garantie expresse.

Sur le plan pénal, l’intrusion elle-même constitue une infraction : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le dépôt de plainte du prestataire, annoncé dans le cas présent, ouvre la voie à une enquête qui pourra établir les faits techniques. Les entreprises clientes victimes indirectes peuvent également déposer plainte si leurs propres systèmes ou données ont été atteints, et se constituer partie civile pour obtenir réparation dans le cadre du procès pénal. La plainte ne remplace ni la mise en demeure civile ni la notification à l’autorité de contrôle : les trois démarches sont complémentaires et obéissent à des délais propres.

Enfin, l’assurance doit être activée sans tarder : assurance cyber quand elle existe, responsabilité civile professionnelle, pertes d’exploitation. Les polices imposent généralement une déclaration dans un délai bref et subordonnent la garantie au respect des mesures de sécurité déclarées lors de la souscription. L’entreprise qui déclare son sinistre transmet le communiqué du prestataire, sa propre analyse de risque, ses notifications et son chiffrage provisoire. Pour un accompagnement sur l’ensemble de ces décisions — mise en demeure, analyse des clauses, chiffrage, notifications et stratégie de recours — les entreprises concernées peuvent se tourner vers l’équipe dédiée au droit des affaires à Paris, habituée à traiter les litiges entre professionnels et les situations d’inexécution en chaîne.

Conclusion

Au jour de la rédaction du présent article, les faits établis par des sources officielles ou par la communication de l’entreprise elle-même sont limités : Solutions 30 SE a confirmé une intrusion survenue le 12 octobre 2026 dans une partie de ses systèmes, a déclaré que ses opérations se poursuivent normalement, a déposé plainte et s’est tournée vers les autorités compétentes. Les volumes de données revendiqués par l’auteur présumé de l’intrusion ne sont pas confirmés, aucune responsabilité n’est établie, et les contrats signés entre chaque entreprise cliente, le prestataire et ses sous-traitants priment sur toute analyse générale. Seul le juge, au vu des pièces et des mesures de sécurité effectivement mises en œuvre de part et d’autre, pourra dire qui a manqué à quoi.

Dans toute situation comparable, la méthode reste la même : figer loyalement les preuves de part et d’autre, qualifier son rôle au regard des données — responsable du traitement ou sous-traitant — et notifier la violation dans le délai de soixante-douze heures quand un risque existe, sans attendre la fin d’une enquête interne. Ne pas croire que la cyberattaque exonère automatiquement le prestataire : depuis 2026, les juges la regardent comme un risque prévisible dont les effets doivent être prévenus par des mesures appropriées, et ils partagent volontiers la responsabilité entre un prestataire qui a mal conseillé et un client qui a mal collaboré. Organiser la continuité par des décisions écrites et proportionnées, activer les assurances dans leurs délais, déposer plainte quand les propres systèmes sont atteints, et chiffrer chaque préjudice avec des pièces comptables : telle est la carte des décisions qui permet à chaque acteur de la chaîne — entreprise cliente, sous-traitant, partenaire — de traverser la crise sans aggraver son propre cas.