Octobre 2026 restera comme un mois noir pour la continuité numérique des entreprises françaises : panne nationale d’un opérateur de réseau le 21 octobre avec plus d’un million de recherches en une journée, services bancaires en ligne inaccessibles, vague de signalements de compromissions de données et pression constante des rançongiciels sur les PME. Quand votre société confie son système, ses sauvegardes ou ses données clients à un hébergeur, un infogérant ou un éditeur de logiciels en ligne, une faille chez ce prestataire devient votre propre crise : serveurs inaccessibles, fichiers clients exposés, facturation bloquée, équipes à l’arrêt. Les questions se bousculent : le prestataire devait-il vous alerter, devez-vous prévenir la CNIL sous 72 heures, pouvez-vous résilier le contrat sans attendre son terme, et qui paie la perte d’exploitation ? Cet article répond point par point, avec les textes applicables, trois décisions récentes des cours d’appel et une méthode de preuve et de chiffrage utilisable immédiatement à Paris et en Île-de-France.
I. Contraindre le prestataire à alerter et figer la preuve de la faille
Face à une faille, la première bataille est celle de l’information : obtenir du prestataire la description exacte de l’incident, puis constituer un dossier de preuve avant que les journaux ne soient écrasés et que les versions ne divergent. Les entreprises accompagnées par un cabinet d’avocats en droit des sociétés à Paris le constatent chaque semaine : le client qui écrit tôt, qui exige l’alerte par écrit et qui fige la preuve dans les premières heures conserve toutes ses options, résiliation comme indemnisation.
A. Exiger l’alerte du prestataire et notifier la CNIL sous 72 heures quand des données sont touchées
Votre hébergeur, votre infogérant ou votre éditeur de logiciel en ligne traite vos données pour votre compte, dans le cadre de votre contrat de prestation : il occupe la place du sous-traitant, tandis que votre société reste responsable du traitement vis-à-vis de la CNIL et des personnes concernées. Dès qu’une faille est suspectée, mettez le prestataire en demeure par écrit de vous communiquer sans délai la nature de l’incident, sa date de survenance, les systèmes affectés, les catégories de données concernées et les mesures de confinement prises. Exigez que cette obligation d’alerte figure dans le contrat avec un délai contractuel bref, par exemple vingt-quatre ou quarante-huit heures, car le temps perdu par le prestataire à minimiser l’incident est du temps en moins pour votre propre notification. Si vos données ou celles de vos clients ont été exposées, copiées ou rendues inaccessibles, la CNIL pose une règle de délai stricte : la CNIL impose une notification dans les meilleurs délais et au plus tard sous 72 heures (CNIL, quand faut-il notifier une violation de données). Ce délai court à compter du moment où votre société a connaissance de la violation, ce qui rend l’alerte rapide du prestataire décisive : chaque jour de silence du sous-traitant réduit votre marge pour analyser le risque, documenter l’incident et télétransmettre la notification sur le téléservice de la CNIL (CNIL, notifier une violation de données personnelles). Lorsque l’incident présente un risque élevé pour les personnes, l’obligation s’étend aux personnes elles-mêmes : la CNIL précise que si l’incident présente un risque élevé pour la vie privée des personnes, celles-ci doivent également être notifiées (CNIL, quand faut-il notifier une violation de données). En cas d’hésitation sur la qualification, la doctrine officielle tranche : en cas de doute, la CNIL recommande de lui notifier l’incident, ses services indiquant ensuite s’il faut informer les personnes. Préparez cette notification en documentant en interne la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises, car la CNIL attend ce contenu précis et le défaut de notification expose votre société alors même que la faille vient du prestataire. En parallèle, faites constater l’incident par un commissaire de justice, conservez tous les échanges avec le prestataire et, si des faits d’intrusion sont caractérisés, envisagez un dépôt de plainte : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). La plainte pénale ne remplace ni la notification CNIL ni l’action contractuelle, mais elle fige la qualification des faits et pèse dans la négociation avec un prestataire tenté de nier l’incident. Pour une panne de réseau sans exposition de données, la logique reste voisine sur le plan contractuel, avec des fondements distincts relatifs à l’obligation de continuité et à la résiliation du contrat de communications électroniques (voir notre analyse de la panne nationale de réseau d’octobre 2026 et les recours des entreprises).
B. Prouver la faille, l’arrêt d’activité et la perte d’exploitation avant toute négociation
En matière contractuelle, la preuve commande l’issue du litige : « Celui qui réclame l’exécution d’une obligation doit la prouver. » (article 1353 du code civil). Concrètement, votre société doit démontrer trois éléments distincts : le manquement du prestataire à ses engagements de sécurité et de continuité, la réalité de l’interruption ou de la compromission, et le lien entre cette défaillance et chaque euro de préjudice réclamé. Commencez par l’horodatage : exportez les journaux de connexion, les tickets d’incident, les courriels d’alerte, les captures d’écran des messages d’erreur et les relevés de supervision, en conservant les métadonnées d’origine. Ces éléments électroniques ont une valeur probante reconnue : « L’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. » (article 1366 du code civil). Faites donc exporter les journaux par le prestataire lui-même ou par un tiers de confiance, exigez l’identification de l’émetteur de chaque document et archivez les fichiers dans un espace que le prestataire ne contrôle pas, car un journal conservé sur le seul serveur défaillant perd toute crédibilité et peut disparaître lors de la remise en service. Faites dresser un constat par un commissaire de justice dans les locaux parisiens de votre société : inaccessibilité des applications, messages d’erreur, impossibilité de facturer ou d’expédier, témoignages datés des salariés sur l’arrêt des postes de travail. Ce constat fige des faits que le prestataire contestera six mois plus tard, quand il soutiendra que la coupure était brève ou que votre équipe a aggravé la situation par de mauvaises manipulations. Reconstituez ensuite la chaîne comptable de la perte : chiffre d’affaires journalier moyen de la période comparable, commandes annulées avec les bons et les avoirs correspondants, pénalités payées à vos propres clients pour retard de livraison, heures supplémentaires et coûts de re-saisie, frais d’un prestataire de secours, coût de remise en état du système et, le cas échéant, montant d’une rançon versée pour débloquer vos données. La cour d’appel de Reims a validé cette méthode poste par poste dans un litige opposant une société industrielle à son prestataire informatique après une compromission ayant entraîné une demande de rançon : la cour a retenu la responsabilité du prestataire à hauteur de cinquante pour cent et a indemnisé distinctement la perte d’exploitation pour 7 862,47 euros, le coût de la remise en état du système informatique, le paramétrage des connexions à distance, la réinstallation du logiciel et le coût de la rançon pour 1 377,59 euros (cour d’appel de Reims, chambre civile et commerciale, 28 avril 2026, RG 24/01502, MISA contre 3 Services informatiques). Ce partage de responsabilité à parts égales rappelle une règle pratique majeure : le client qui néglige sa collaboration, ses sauvegardes ou ses vérifications voit son indemnisation réduite, même face à un prestataire fautif. La même décision énonce le standard applicable au prestataire : la cour rappelle qu’en matière de contrats informatiques, les deux parties ont des obligations complémentaires, le client devant collaborer et le prestataire devant délivrer avec diligence. Et elle précise l’intensité de l’exigence pesant sur le professionnel : la cour juge que le prestataire informatique est tenu d’une obligation de moyens renforcée pour la délivrance de l’ouvrage commandé et doit prouver qu’il a accompli toute diligence en vue du résultat escompté sans commettre de faute. Conservez donc aussi la preuve de votre propre diligence, cahier des charges, sauvegardes externalisées, tests de restauration, demandes écrites adressées au prestataire avant l’incident, car le juge mettra les deux comportements sur la balance. Enfin, quantifiez séparément le préjudice direct et immédiat, seul indemnisable, et les postes spéculatifs que le juge rejettera : la cour de Reims a ainsi écarté le préjudice allégué du temps de remise en service, le coût d’un audit et le préjudice moral, tout en accueillant la perte d’exploitation démontrée. Un tableau chiffré pièce par pièce, adossé aux factures et aux constats, vaut mieux qu’une réclamation globale que le prestataire balaiera d’un revers de main.
II. Résilier le contrat et obtenir réparation du préjudice à Paris
Une fois l’alerte exigée et la preuve figée, votre société dispose d’un arsenal complet : suspendre ses propres paiements, provoquer la résolution du contrat et réclamer des dommages-intérêts, ces sanctions pouvant être cumulées. La loi ouvre cinq voies à la partie victime d’une inexécution : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (article 1217 du code civil). Reste à choisir la combinaison adaptée à votre situation parisienne et à l’exécuter sans faute de procédure.
A. Résilier pour inexécution grave et verrouiller la réversibilité de vos données
La résolution suppose une inexécution suffisamment grave : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » (article 1224 du code civil). Une faille de sécurité ayant exposé vos données clients, une interruption totale de plusieurs jours ou le refus du prestataire d’intervenir franchissent ce seuil, tandis qu’une micro-coupure sans conséquence ne le franchit pas. La cour d’appel de Rouen a tracé la ligne dans un litige de maintenance : face au refus du prestataire d’assurer le dépannage qui constituait le coeur de son engagement, la cour a jugé que le refus du prestataire d’assurer le dépannage, qui constituait l’essence même du contrat de maintenance totale, a été jugé constitutif d’une inexécution grave et fautive justifiant la résolution du contrat (cour d’appel de Rouen, chambre civile et commerciale, 20 mars 2025, RG 24/00462, Digital Services Technology contre H3R). La cour a ajouté une mise en garde utile à tout client : la cour ajoute qu’il appartenait au prestataire professionnel de prévoir les frais inhérents à ses interventions d’entretien et de maintenance, sans pouvoir les répercuter sur son client sauf stipulation contraire expresse du contrat. Autrement dit, le prestataire professionnel ne peut ni refuser sa prestation essentielle ni vous facturer les moyens qu’il aurait dû prévoir, sauf clause contraire explicite. En pratique, actionnez d’abord la clause résolutoire si votre contrat en prévoit une pour manquement aux obligations de sécurité et de continuité, en respectant scrupuleusement le formalisme et le délai de mise en demeure qu’elle stipule. À défaut de clause, la résolution par notification reste ouverte, mais elle s’exerce à vos risques et périls : « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. » Et « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. » (article 1226 du code civil). Adressez donc une mise en demeure détaillée, listant chaque manquement avec sa pièce, impartissant un délai de remise en service et de communication des correctifs, puis notifiez la résolution en visant les manquements persistés, le tout par lettre recommandée avec accusé de réception doublée d’un acte de commissaire de justice pour une date certaine. Anticipez la réversibilité dès la mise en demeure : exigez l’export complet de vos données dans un format exploitable, la restitution des codes d’accès, la liste des sous-traitants hébergeant vos informations et la suppression des copies chez le prestataire sortant, avec un calendrier précis et des pénalités par jour de retard. La plupart des contrats informatiques encadrent cette phase ; si le vôtre est muet, imposez-la par écrit en vous appuyant sur votre qualité de responsable de traitement, car rester prisonnier d’un prestataire défaillant après la résiliation annule le bénéfice de l’opération. À Paris et en Île-de-France, organisez la bascule sans rupture : faites constater l’état des systèmes avant migration, contractualisez avec le nouveau prestataire une reprise avec garantie de continuité, et concentrez le contentieux devant la juridiction compétente du ressort. Pour un litige entre sociétés, les tribunaux de commerce, dont celui de Paris, connaissent classiquement du dossier : « Les tribunaux de commerce connaissent : 1° Des contestations relatives aux engagements entre commerçants, entre artisans, entre établissements de crédit, entre sociétés de financement ou entre eux ; 2° De celles relatives aux sociétés commerciales ; 3° De celles relatives aux actes de commerce entre toutes personnes. » (article L. 721-3 du code de commerce). Vérifiez toutefois la clause attributive de juridiction de votre contrat, qui peut désigner un autre tribunal, et faites signifier vos actes par un commissaire de justice exerçant à Paris pour une parfaite traçabilité des délais que vous impartissez.
B. Chiffrer la perte d’exploitation et la faire payer malgré la clause limitative
Presque tous les contrats informatiques plafonnent la responsabilité du prestataire à quelques mois d’abonnement : ne considérez jamais ce plafond comme une fin de non-recevoir. Le principe de la réparation contractuelle est large : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Une panne ou une faille imputable à une négligence du prestataire n’est pas un cas de force majeure, notion qui suppose un événement extérieur, imprévisible et irrésistible, de sorte que le prestataire ne s’exonère pas en invoquant une cyberattaque subie par ses propres serveurs s’il avait l’obligation de les sécuriser. Le périmètre indemnisable reste borné par la prévisibilité et le lien direct : « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » (article 1231-4 du code civil). Chiffrez donc en priorité la marge perdue sur les ventes empêchées, les pénalités versées à vos clients, les coûts de remise en état et les frais du prestataire de secours, postes que la cour de Reims a accueillis, et écartez les projections hypothétiques de croissance que le juge refusera. Si votre contrat stipule une pénalité forfaitaire par jour d’indisponibilité, elle s’applique dans la limite du contrôle judiciaire : « Néanmoins, le juge peut, même d’office, modérer ou augmenter la pénalité ainsi convenue si elle est manifestement excessive ou dérisoire. » (article 1231-5 du code civil). Face au plafond contractuel, deux leviers existent. D’abord, la faute lourde du prestataire fait échec à la clause limitative, mais son seuil est élevé : la cour rappelle que la faute lourde se caractérise par un comportement d’une extrême gravité, proche du dol, qui révèle l’inaptitude du débiteur à accomplir la mission contractuelle acceptée. Et et qu’elle ne résulte pas du seul manquement à une obligation contractuelle, même essentielle, mais doit se déduire de la gravité du comportement du débiteur (cour d’appel de Paris, pôle 5, chambre 5, 27 novembre 2025, RG 24/14708, sur renvoi après cassation du 26 juin 2024, ADP Europe contre FMGC).. Dans cette affaire de paramétrage de paie erroné, la cour a refusé la faute lourde et appliqué le plafond, retenant qu’une erreur isolée, portant sur un élément accessoire et que le client pouvait détecter par ses propres contrôles, ne révélait pas une inaptitude du prestataire à accomplir sa mission et ne justifiait donc pas d’écarter le plafond contractuel d’indemnisation. La leçon pour votre dossier est double : pour contourner le plafond, démontrez un comportement d’une gravité exceptionnelle, absence totale de correctifs malgré des alertes répétées, défaut de sauvegardes promises au contrat, dissimulation de l’incident, et non une simple erreur isolée ; et prouvez que votre société ne pouvait pas détecter elle-même l’anomalie, car le juge sanctionne le client resté passif alors qu’un contrôle élémentaire aurait révélé le problème. Ensuite, vérifiez la validité même du plafond : une clause qui vide l’obligation essentielle de sa substance ou qui n’a fait l’objet d’aucune négociation réelle dans un contrat d’adhésion reste contestable, et le défaut de conseil du prestataire sur les risques, rappelé par la cour de Reims, nourrit cette contestation. Adressez une réclamation chiffrée et uniquement chiffrée, poste par poste avec les pièces, en distinguant le remboursement des sommes versées pour une prestation inexistante, la pénalité contractuelle et les dommages-intérêts complémentaires, puis laissez un délai de réponse avant d’assigner. Mobilisez en parallèle votre assurance cyber et votre garantie perte d’exploitation : déclarez le sinistre dans le délai de la police avec le constat, les journaux et le chiffrage, car l’assureur paiera plus vite que le prestataire et exercera ensuite son recours. Si le prestataire est in bonis et solvable, une assignation au fond devant la juridiction parisienne compétente, adossée à ce dossier, aboutit le plus souvent à une transaction couvrant l’essentiel de la perte démontrée ; si le chiffrage est fragile, mieux vaut transiger tôt sur une somme certaine que plaider une perte d’exploitation que les pièces ne soutiennent pas.
Conclusion
Une faille de sécurité chez votre prestataire informatique ne doit jamais rester une affaire technique gérée entre informaticiens : c’est un dossier juridique qui se gagne dans les premières heures. Exigez l’alerte écrite du prestataire, notifiez la CNIL dans les meilleurs délais et au plus tard sous 72 heures quand des données sont en cause, informez les personnes si le risque est élevé, figez la preuve par constat et exports de journaux, puis résiliez pour inexécution grave en respectant le formalisme de la mise en demeure et sécurisez la réversibilité de vos données avant toute bascule. Chiffrez la perte d’exploitation poste par poste, opposez au plafond contractuel la gravité du comportement du prestataire quand elle est caractérisée, et mobilisez votre assurance cyber sans attendre l’issue du litige. Les cours d’appel de Reims, Rouen et Paris dessinent une ligne claire : le prestataire informatique répond de ses manquements à une obligation renforcée, mais le client qui néglige ses contrôles, ses sauvegardes et sa collaboration paie une partie de la facture. À Paris comme en Île-de-France, ce sont les sociétés qui écrivent tôt, qui prouvent méthodiquement et qui résilient proprement qui obtiennent réparation.