La saisie « cyberattaque EFS » monte avec la tendance « cyberattaques », parce que l’Établissement français du sang a publié un communiqué sur un incident du 2 novembre 2026. Selon ce communiqué, un prestataire d’équipement frigorifique de l’établissement a été victime d’un incident de cybersécurité, et les installations de supervision et de pilotage de chambres froides déployées sur trois sites ont été touchées. Le même texte précise que l’établissement n’a pas été directement visé, que les systèmes de surveillance et d’alarme ont identifié les anomalies, qu’aucun impact sanitaire n’a été identifié et qu’aucune perte de produits sanguins n’est à déclarer. La continuité des prélèvements et de la distribution est indiquée comme garantie, et les équipes sont décrites comme mobilisées avec l’Agence nationale de la sécurité des systèmes d’information et le ministère de la Santé. Selon Le Monde du 4 novembre 2026, l’établissement a confirmé ces faits le mercredi 4 novembre, et Le Canard enchaîné a cité Coolworld. Coolworld a publié son propre communiqué : elle a connaissance d’un incident impliquant un logiciel de surveillance à distance, la vulnérabilité évoquée dans les médias concerne un composant fourni par un prestataire tiers et non contrôlé directement par elle, un nombre limité d’unités a été affecté, et elle indique avoir réagi rapidement. Ce communiqué ne nomme pas l’Établissement français du sang et précise qu’elle ne commente pas les situations individuelles. Aucune responsabilité n’est établie. Les contrats signés priment sur toute analyse générale, et seul le juge décide.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de l’Établissement français du sang ni celle de Coolworld, sur lesquelles l’article ne formule aucun constat. Ils s’adressent au client d’un loueur d’équipements, au dirigeant qui a signé le contrat de prestation, au créancier qui attend une livraison sous température dirigée, et au prestataire qui doit répondre à son cocontractant. La question pratique n’est pas de qualifier l’incident à la place du juge. Elle est de savoir quel contrat relie qui à qui, quelle obligation ce contrat crée, quelle preuve il faut réunir, et dans quel cas une notification à l’autorité de cybersécurité est prévue par un texte. Les pages générales déjà en ligne décrivent la responsabilité d’un prestataire informatique. Elles ne partent pas de ces deux communiqués, ni de la chaîne à trois étages que ces textes laissent apparaître : un client, un fournisseur d’équipements, un éditeur ou un mainteneur de logiciel qui n’est pas forcément le cocontractant du client.
I. Cyberattaque EFS : incident du 2 novembre 2026, que vérifier dans le contrat ?
A. Cyberattaque frigo EFS : quels faits le communiqué établit-il ?
Le communiqué publié sur le site de presse de l’Établissement français du sang est la source qui permet de nommer l’établissement et de dater les faits. Il énonce, à l’indicatif, que le 2 novembre 2026 un prestataire d’équipement frigorifique a été victime d’un incident de cybersécurité, et que les installations de supervision et de pilotage de chambres froides déployées sur trois sites ont été touchées. Il ajoute que des anomalies ont été signalées, avec une altération des paramètres de fonctionnement, et que des seuils de température et de dégivrage ont été portés à de très hautes températures. Il indique aussi ce qui a été préservé : les systèmes de surveillance et d’alarme ont permis d’identifier rapidement les anomalies ; selon les cas, les équipements ont été maîtrisés sans impact sur les produits et échantillons, ou neutralisés ; les produits stockés ont été transférés de façon préventive. Les produits concernés sont décrits comme des poches de plasma destinées à la transfusion et des poches de plasma destinées au fractionnement pour la fabrication de médicaments. Aucun nom de prestataire n’y figure. Aucun montant de préjudice n’y figure. Aucune donnée personnelle n’y est mentionnée. Aucune qualification de faute n’y est portée.
Le second communiqué, déjà cité, est une source distincte. Il énonce la connaissance d’un incident impliquant un logiciel de surveillance à distance, un composant fourni par un prestataire tiers que le loueur indique ne pas contrôler directement, un nombre limité d’unités affectées, des mesures présentées comme appropriées, et le refus de commenter les situations individuelles. Ce texte ne désigne aucun établissement public. Le Monde du 4 novembre 2026 rapporte le rapprochement fait par Le Canard enchaîné, et la réponse apportée par ce communiqué. Trois plans restent séparés : le fait écrit par l’établissement, le fait écrit par le loueur, le rapprochement rapporté par la presse. Les confondre serait écrire plus que les sources.
Pour un lecteur qui a un contrat de location, de maintenance ou de supervision de chambres froides, l’intérêt de ces textes n’est pas le récit. Il est la liste de ce qu’il faut demander à son propre cocontractant, sans attendre que le nom du logiciel ou du sous-traitant soit publié. Le premier document est le contrat signé, avec ses avenants, ses bons de commande et le cahier des charges. Le deuxième est l’identité exacte de la société qui facture, distincte de la marque commerciale et de l’éditeur du logiciel de pilotage. Le troisième est la preuve de ce qui a bougé sur l’installation : journal de température, alarme, capture des seuils, heure de la reprise en main, transfert des produits. Le quatrième est la lettre ou le ticket par lequel le prestataire a informé le client, s’il y en a un. Le cinquième est la police d’assurance du client et, si le contrat l’exige, la demande de communication de l’assurance du prestataire. Rien de tout cela ne se déduit du communiqué d’un autre établissement. Le communiqué dit ce qui a été constaté chez l’auteur du communiqué. Il ne dit pas ce que prévoit le contrat d’un tiers.
La nature des produits conservés éclaire seulement l’enjeu, pas la responsabilité. L’article L. 1221-8 du code de la santé publique, en vigueur au 6 novembre 2026, dispose que « seuls peuvent être distribués ou délivrés à des fins thérapeutiques, les produits sanguins labiles dont la liste et les caractéristiques sont fixées par décision de l’Agence nationale de sécurité du médicament et des produits de santé ». Le communiqué identifie des poches de plasma destinées à la transfusion et au fractionnement. Il dit aussi qu’aucune perte n’est à déclarer et qu’aucun impact sanitaire n’a été identifié. Un lecteur qui conserve des produits thermosensibles, du plasma, un médicament ou une denrée, ne peut donc pas transposer une température maximale qui ne figure pas dans les textes lus pour cet article. Il peut, en revanche, ouvrir la décision de l’agence ou le contrat qui fixe, pour son propre produit, la plage de conservation, et comparer cette plage au journal de l’installation. Si le journal n’existe pas, le premier sujet n’est pas la faute du prestataire. C’est l’absence de preuve.
B. Que vérifier dans le contrat du prestataire frigorifique ?
Le contrat signé est le premier texte applicable entre les parties. L’article 1103 du code civil, dans sa version en vigueur au 6 novembre 2026, dispose que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Cette phrase ne dit pas que toute clause est valable. Elle dit que, tant qu’une clause n’est pas écartée par la loi ou par le juge, elle organise la relation. L’article 1104 du code civil ajoute que « Les contrats doivent être négociés, formés et exécutés de bonne foi. » et que « Cette disposition est d’ordre public. » La bonne foi ne crée pas, à elle seule, une obligation de résultat de cybersécurité que le contrat n’a pas prévue. Elle interdit de lire le contrat comme un blanc-seing, et elle peut éclairer la manière dont une partie a exécuté, alerté, ou gardé le silence. Le juge apprécie. L’article ne dispense pas de relire les stipulations.
L’article 1194 du code civil dispose que « Les contrats obligent non seulement à ce qui y est exprimé, mais encore à toutes les suites que leur donnent l’équité, l’usage ou la loi. » Les suites données par la loi sont celles qu’un texte pose, pas celles qu’un commentaire trouve raisonnables. Dans un contrat de location d’équipement frigorifique avec supervision à distance, les stipulations à isoler sont concrètes. Qui est propriétaire du matériel, qui est locataire, qui a le droit d’accéder au logiciel de pilotage. Qui choisit les seuils de température et de dégivrage, qui peut les modifier, et qui reçoit l’alarme. Le logiciel est-il fourni par le loueur, par un éditeur tiers, ou par le client. Le contrat interdit-il la sous-traitance, l’autorise-t-il, ou impose-t-il d’en informer le client. Une clause décrit-elle un niveau de sécurité, une mise à jour, une authentification, une journalisation, un délai de rétablissement. Une autre plafonne-t-elle la réparation, exclut-elle les dommages indirects, ou renvoie-t-elle à une assurance. Une clause de force majeure vise-t-elle les cyberattaques, ou se contente-t-elle d’une formule générale. Chacune de ces lignes change la discussion. Aucune ne se reconstitue de mémoire.
L’obligation essentielle se lit dans l’objet du contrat, pas dans l’émotion du moment. Si le loueur s’est engagé à maintenir une chambre froide dans une plage déterminée et à en superviser les alarmes, le maintien de cette plage et le fonctionnement de la supervision peuvent être au cœur de ce qu’il a promis. Si le contrat ne promet qu’une mise à disposition de matériel, avec une maintenance curative sur appel, la même alarme n’a pas le même statut. L’article 1170 du code civil dispose que « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » Le texte vise la clause qui vide l’obligation, pas toute clause qui limite un montant. Il ne dit pas qu’un incident de cybersécurité chez un sous-traitant rend automatiquement non écrite la clause de plafond. Il donne au juge un critère, après que l’obligation essentielle a été identifiée dans le contrat discuté.
La force majeure ne se présume pas davantage. L’article 1218 du code civil dispose qu’« Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Le même article ajoute : « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat. » Puis : « Si l’empêchement est définitif, le contrat est résolu de plein droit et les parties sont libérées de leurs obligations ». Quatre conditions sont donc dans le texte : un événement hors du contrôle du débiteur, imprévisible lors de la conclusion, irrésistible par des mesures appropriées, et qui empêche l’exécution. Une cyberattaque visant un logiciel de pilotage peut, selon le contrat et les mesures déjà prévues, remplir ou ne pas remplir ces conditions. Les décisions lues pour cet article ne tranchent pas cette question pour un loueur d’équipements frigorifiques. Écrire qu’une attaque exonère, ou qu’elle n’exonère jamais, serait ajouter au texte.
Le client a aussi intérêt à vérifier ce que le contrat dit de l’information. Certains contrats imposent au prestataire d’avertir sans délai interne, de coopérer à l’analyse, de conserver les journaux, ou de ne pas modifier l’installation avant un constat contradictoire. D’autres ne disent rien. L’absence de clause n’empêche pas de demander, par écrit, la communication des journaux et l’identité du logiciel concerné. Elle empêche de présenter cette demande comme l’exécution d’une stipulation qui n’existe pas. La mise par écrit date la demande. Elle ne crée pas, à elle seule, une faute du prestataire. Elle prépare la preuve, dont la charge est rappelée plus loin.
II. Cyberattaques récentes : qui peut demander réparation, et qui notifie ?
A. Comment mettre en demeure le cocontractant et obtenir réparation ?
Seul le cocontractant est débiteur des obligations du contrat. Avant de parler de dommages et intérêts, il faut donc nommer, dans la mise en demeure, la société qui a signé, et l’obligation précise qui n’aurait pas été exécutée : maintien d’une plage, alarme, information, remise des journaux, correction des seuils. Une lettre qui se contente d’écrire qu’il y a eu une cyberattaque décrit un fait. Elle ne décrit pas une inexécution. L’article 1353 du code civil dispose que « Celui qui réclame l’exécution d’une obligation doit la prouver. » et que « celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Celui qui demande réparation doit donc prouver l’obligation, son inexécution, et le préjudice qu’il rattache à cette inexécution. Celui qui invoque la force majeure, un plafond, ou un paiement déjà fait, doit justifier le fait qui le libérerait.
Le tribunal judiciaire de Dijon, première chambre, jugement du 16 octobre 2026, numéro 24/02759, a appliqué cette charge à une demande dirigée contre un opérateur après l’émission d’une carte e-SIM et des virements contestés. Le jugement énonce : « Conformément à l’article 1353 du code civil, il appartient à celui qui réclame l’exécution d’une obligation de la prouver. » Il retient ensuite que le demandeur n’expliquait pas les manquements concrets dans la vérification d’identité et ne les justifiait pas, puis que « Il n’est ainsi pas établi que la société [Localité 2] aurait commis une faute dans l’émission de la carte e-SIM. » La demande en paiement de 29 870 euros a été rejetée. Cette affaire ne concerne pas une chambre froide. Elle juge, pour le dossier qui lui était soumis, que l’allégation d’un accès frauduleux ne remplace pas la preuve d’un manquement concret du cocontractant. Le même réflexe s’impose ici, en termes généraux : le journal de température, le contrat, et la lettre du prestataire comptent plus que le titre d’un article de presse.
Si l’inexécution est établie, les sanctions sont celles de l’article 1217 du code civil : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : » refuser d’exécuter ou suspendre sa propre obligation, poursuivre l’exécution forcée en nature, obtenir une réduction du prix, provoquer la résolution, et « demander réparation des conséquences de l’inexécution ». Le texte ajoute : « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » Suspendre le paiement du loyer de l’équipement n’est donc pas une sanction automatique. L’article 1219 du code civil n’autorise le refus d’exécuter que « si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » Une alarme corrigée en quelques minutes, sans perte de produit, peut ne pas atteindre cette gravité. Une chambre inutilisable pendant une durée qui détruit un stock peut la atteindre. Le texte ne fixe pas de durée. Il renvoie à la gravité, que le créancier devra prouver.
La résolution obéit à l’article 1224 du code civil : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Si le créancier choisit la notification, l’article 1226 du code civil dispose que « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. » Il ajoute : « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. » La mise en demeure « mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. » Si le débiteur conteste, « Le débiteur peut à tout moment saisir le juge pour contester la résolution. Le créancier doit alors prouver la gravité de l’inexécution. » Le texte ne convertit pas « délai raisonnable » en un nombre de jours. Les décisions lues pour cet article ne fixent pas, pour un contrat de supervision frigorifique, le nombre de jours qui serait raisonnable. Écrire un chiffre serait inventer une règle.
Lorsque la demande porte sur une somme, la mise en demeure de payer a son texte propre. L’article 1344 du code civil dispose que « Le débiteur est mis en demeure de payer soit par une sommation ou un acte portant interpellation suffisante, soit, si le contrat le prévoit, par la seule exigibilité de l’obligation. » Ce texte vise le paiement. Il ne dit pas qu’un simple courriel, sans interpellation suffisante, met en demeure de payer si le contrat n’a pas prévu la seule exigibilité. Pour la réparation, l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le « s’il y a lieu » laisse au juge l’appréciation. La force majeure est l’exception que le débiteur doit justifier, dans les conditions de l’article 1218 déjà cité. Le préjudice réparable est celui qui est prouvé : stock détruit, remplacement, pénalités payées à un client final, coût du transfert, surcoût de location. Un chiffre avancé sans facture ne devient pas un préjudice parce qu’un communiqué a parlé de températures élevées.
La clause qui plafonne la réparation ne disparaît pas du seul fait qu’un incident a eu lieu. La Cour de cassation, chambre commerciale, arrêt du 29 juin 2010, pourvoi numéro 09-11.841, a jugé que « seule est réputée non écrite la clause limitative de réparation qui contredit la portée de l’obligation essentielle souscrite par le débiteur ». Elle a approuvé la cour d’appel d’avoir déduit que « la clause limitative de réparation ne vidait pas de toute substance l’obligation essentielle » lorsque le plafond négocié n’était pas dérisoire. Cet arrêt a été rendu sous les articles anciens du code civil, avant l’article 1170 issu de l’ordonnance du 10 février 2016. Il ne faut pas lui faire dire qu’il applique l’article 1170. Il faut en retenir le critère qu’il énonce : une clause de plafond librement négociée, qui laisse une contrepartie non dérisoire, n’est pas écartée par le seul constat d’un manquement à une obligation essentielle. Dans un contrat de location d’équipements, le plafond égal au montant des loyers, ou égal au prix du logiciel, devra être lu dans sa rédaction, pas condamné par principe. Le régime général de la responsabilité contractuelle du prestataire informatique après une cyberattaque reste utile pour cette lecture. Il ne remplace pas le contrat du jour, ni les communiqués du 2 et du 4 novembre 2026.
B. Le sous-traitant du logiciel est-il tenu envers le client, et qui notifie l’ANSSI ?
Le second communiqué, lu pour ce qu’il dit, place un troisième acteur dans la chaîne : un prestataire tiers, fournisseur d’un composant logiciel, que le loueur indique ne pas contrôler directement. Beaucoup de contrats de froid connecté ont la même architecture, sans que les noms se confondent. Le client a signé avec le loueur. Le loueur a signé, ou non, avec l’éditeur du logiciel de supervision. Le client n’est alors pas partie au contrat de logiciel. L’article 1199 du code civil dispose que « Le contrat ne crée d’obligations qu’entre les parties. » et que « Les tiers ne peuvent ni demander l’exécution du contrat ni se voir contraints de l’exécuter », sous les réserves que l’article lui-même énonce. Le client ne peut donc pas, sur le seul fondement du contrat qu’il n’a pas signé, exiger de l’éditeur qu’il exécute envers lui les obligations promises au loueur. Son débiteur contractuel reste le loueur, si c’est avec le loueur qu’il a contracté. Le loueur, de son côté, peut avoir un recours contre son propre cocontractant, dans les limites de ce second contrat.
Une action hors contrat suppose une faute, un dommage et un lien, pas la simple déception de ne pas être dans le bon contrat. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’article 1241 du code civil ajoute que « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. » Ces textes exigent une faute. Ils ne disent pas que le manquement d’un éditeur envers son client professionnel est, par lui-même, une faute envers tous les utilisateurs finaux du matériel. Les décisions consultées pour cet article, et notamment le jugement de Dijon déjà cité, rappellent que la faute alléguée doit être concrète et prouvée. Elles ne tranchent pas, pour un logiciel de pilotage de chambres froides, si l’absence de cloisonnement, l’absence de mise à jour, ou l’ouverture d’un accès distant constitue une négligence au sens de l’article 1241. Le présenter comme acquis serait sortir des motifs lus.
La notification à l’autorité de cybersécurité dépend, elle, d’un statut que le communiqué ne qualifie pas. L’article L. 1332-6-2 du code de la défense, en vigueur au 6 novembre 2026, dispose que les opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 « informent sans délai le Premier ministre des incidents affectant le fonctionnement ou la sécurité des systèmes d’information » visés au premier alinéa de l’article L. 1332-6-1. Le « sans délai » est dans ce texte, et il vise ces opérateurs, pas toute entreprise qui utilise une chambre froide connectée. Le site de l’ANSSI décrit, à côté de ce régime, d’autres notifications pour les opérateurs de services essentiels et les fournisseurs de services numériques, chacune renvoyant à son propre texte. Ces autres textes n’ont pas été versés ici comme articles cités, et il ne faut pas leur prêter le délai de l’article L. 1332-6-2. Le communiqué de l’établissement public dit que les équipes sont mobilisées avec l’ANSSI et le ministère de la Santé. Il ne dit pas que l’établissement, le loueur ou l’éditeur du logiciel est un opérateur mentionné aux articles L. 1332-1 et L. 1332-2. Vérifier le statut, s’il a été notifié par l’autorité, est une démarche. Affirmer qu’une notification était due, ou qu’elle a été omise, ne l’est pas.
Le même silence des sources vaut pour les données personnelles. Le communiqué de l’établissement décrit des seuils de température, des chambres froides, des poches de plasma et des échantillons de biothèque. Il ne décrit pas un fichier de donneurs, de patients ou de salariés. Le second communiqué décrit un logiciel de surveillance à distance et un composant tiers. Il ne décrit pas une extraction de données nominatives. Tant que la source ne dit pas qu’une donnée relative à une personne identifiée ou identifiable a été compromise, il n’y a pas lieu d’écrire qu’une notification à la CNIL était due, ni de fixer un délai que les textes lus pour cet article n’énoncent pas pour cette hypothèse. Si, dans un autre dossier, un export de contacts ou de badges a bien été constaté, la question se repose à partir de ce constat et du texte applicable à une violation de données, pas à partir d’une température. Les deux sujets ne se confondent pas.
Que peut faire, concrètement, le client d’un équipement piloté à distance, sans attendre une décision sur l’incident du 2 novembre 2026 ? Il peut demander par écrit à son cocontractant si son installation utilise le logiciel ou le composant mentionné dans les communiqués publics, sans présenter cette question comme une accusation. Il peut demander les journaux de température et d’accès sur la période, l’identité de l’éditeur, et la copie des clauses de sous-traitance et de sécurité. Il peut faire constater, si des produits ont été déplacés ou détruits, l’heure, la quantité et la cause inscrite sur le bon interne, et conserver les factures. Il peut relire le plafond de réparation et la clause de force majeure avant d’accepter un avoir qui vaudrait renonciation. Il peut avertir son assureur dans les formes de sa police, si la police impose un avis, sans transformer cet avis en reconnaissance de responsabilité. Il peut, si son propre statut d’opérateur lui a été notifié, suivre le canal que ce statut impose, en citant l’article qui le vise. Il ne peut pas, sur la foi d’un communiqué qui constate l’absence de perte de produits, écrire que son stock à lui est perdu, ni assigner un éditeur avec lequel il n’a pas contracté en lui demandant l’exécution d’un contrat auquel il est tiers.
Le prestataire qui reçoit ces questions a, de son côté, un intérêt symétrique à répondre sur des faits, pas sur des qualifications. Indiquer si l’unité du client est dans le périmètre affecté, remettre les journaux, dire quel composant est en cause et qui le fournit, décrire les mesures déjà prises : ce sont des actes d’exécution ou de coopération, selon ce que le contrat prévoit. Écrire que la responsabilité est écartée parce qu’un tiers a fourni le logiciel, sans montrer la clause et sans montrer les mesures, ne suffit pas au regard de l’article 1353. Invoquer la force majeure suppose de justifier les quatre conditions de l’article 1218, pas de coller le mot cyberattaque sur une clause type. Proposer un avoir en échange d’une renonciation est une négociation. Ce n’est pas une obligation légale lue dans les textes de ce run, et ce n’est pas non plus une faute par principe. Le juge, s’il est saisi, lira le contrat, les journaux et les courriers. Il ne lira pas l’intention prêtée à distance.
Conclusion
Une tendance de recherche sur une cyberattaque de chambres froides appelle une lecture de sources, pas une qualification improvisée. Les communiqués publics du début novembre 2026 établissent un incident chez un prestataire d’équipement, une modification de seuils, une absence d’impact sanitaire déclarée, et, dans un second communiqué, un composant logiciel fourni par un tiers, avec un nombre limité d’unités affectées et une réaction présentée comme rapide. Ils n’établissent ni une faute, ni un préjudice pour les contrats des autres clients, ni l’identité contractuelle de chaque maillon. Le contrat signé tient lieu de loi entre les parties. L’obligation essentielle, le plafond de réparation et la force majeure se lisent dans ce contrat et dans les articles 1170, 1218 et 1231-1, pas dans le titre d’une dépêche. La réparation se demande au cocontractant, après preuve de l’inexécution, dans le cadre de l’article 1217. Le tiers au contrat de logiciel ne peut pas en demander l’exécution sur le fondement de l’article 1199. Une faute délictuelle reste à prouver si elle est invoquée. La notification sans délai au Premier ministre vise les opérateurs désignés par le code de la défense, pas toute entreprise équipée d’une sonde. Aucune responsabilité n’est établie par les sources lues. Les contrats signés priment sur cette analyse générale. Seul le juge décide.