Le communiqué réglementé diffusé le 6 août 2026 par BIOSYNEX a signalé une cyberattaque survenue entre le 31 juillet et le 2 août. La société a indiqué avoir engagé des mesures préventives et correctives, lancé des investigations et identifié, à ce stade de son analyse, une exposition limitée à des informations professionnelles. Ces éléments ne permettent pas de conclure à une faute de la société ou de ses dirigeants. Ils posent en revanche une question immédiate pour tout émetteur dont les titres sont négociés sur un marché : que faut-il faire lorsque l’attaque touche à la fois les systèmes, les données, la continuité de l’activité et la confiance des actionnaires ?
Une cyberattaque n’est pas seulement un incident informatique. Elle peut devenir un sujet de gouvernance, de protection des données, de communication financière, de responsabilité contractuelle et de preuve. Le dirigeant doit organiser la réponse sans détruire les traces utiles. Le conseil d’administration doit exercer un contrôle réel, documenter ses décisions et apprécier si l’événement constitue une information privilégiée. Les actionnaires, eux, doivent distinguer une baisse de cours qui affecte indirectement la société d’un préjudice personnel, direct et prouvé.
Le droit applicable impose donc une méthode. Dans les premières heures, il faut contenir l’attaque, préserver les journaux, alerter les interlocuteurs compétents et déterminer si une notification est nécessaire. Dans les jours suivants, il faut séparer les données personnelles, les informations commerciales confidentielles et les informations susceptibles d’influencer le cours. Enfin, lorsque la réponse révèle une défaillance de prévention ou de contrôle, les documents réunis peuvent servir à discuter la responsabilité de la société, d’un prestataire, d’un administrateur ou d’un dirigeant. Cette analyse indique les démarches utiles sans préjuger des investigations en cours chez BIOSYNEX.
I. Cyberattaque d’une société cotée : quelles obligations pour le dirigeant et le conseil ?
A. Que faire dans les premières heures : preuve, CNIL, plainte et continuité d’activité ?
La première décision est opérationnelle, mais elle a une portée juridique durable. L’entreprise doit isoler les postes ou serveurs compromis, suspendre les accès manifestement détournés et maintenir les fonctions essentielles. Elle ne doit pas effacer les journaux, réinitialiser indistinctement les comptes ou réinstaller les machines avant qu’une copie forensique ait été réalisée. Les heures de connexion, adresses utilisées, fichiers chiffrés, messages de rançon, sauvegardes disponibles, décisions prises et interventions des prestataires doivent être datés. Une chronologie simple, tenue par une personne identifiée, évite que le récit de crise change ensuite au gré des déclarations.
Le dirigeant doit mettre en place une cellule de crise limitée mais compétente : direction générale, responsable informatique, délégué à la protection des données lorsqu’il existe, conseil juridique, assureur cyber et expert indépendant. Le prestataire qui administre le système ne doit pas être le seul à décrire ce qui s’est passé, surtout si la disponibilité, la sauvegarde ou la sécurité de ses propres outils sont discutées. Les ordres de mission, devis, rapports, comptes rendus et échanges avec l’assureur doivent être conservés. Une entreprise qui paie une intervention d’urgence sans obtenir la conservation des preuves risque de ne plus pouvoir établir l’origine de la panne, l’étendue de l’accès ou la date exacte de la découverte.
Lorsque des données à caractère personnel sont concernées, l’article 33 du règlement général sur la protection des données impose une analyse rapide. Le texte prévoit : En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation à l’autorité de contrôle compétente
, sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf absence de risque pour les personnes. La règle ne signifie pas que l’entreprise doit attendre de connaître chaque fichier touché. Elle doit qualifier ce qu’elle sait, expliquer ce qu’elle ignore encore et compléter la notification si l’enquête progresse. Le registre interne de l’incident doit conserver la décision de notifier ou de ne pas notifier, les risques évalués et les mesures prises.
Une communication directe aux personnes concernées peut aussi être requise lorsque la violation est susceptible d’engendrer un risque élevé. Les courriels envoyés dans la précipitation doivent être contrôlés : ils ne doivent ni confirmer à tort une fuite inexistante, ni minimiser un risque encore inconnu, ni fournir aux attaquants des informations sur les failles restantes. La méthode de gestion de crise présentée par la CNIL rappelle l’importance de la coordination entre responsable du traitement et sous-traitant. Le guide de Cybermalveillance.gouv.fr pour les dirigeants complète cette approche par une séquence de réaction, de pilotage et de sortie de crise.
La plainte pénale doit être envisagée rapidement, même lorsque l’auteur reste inconnu. Le dépôt peut être précédé d’un échange avec les services compétents afin de ne pas altérer la preuve numérique. L’article 323-1 du code pénal réprime l’accès ou le maintien frauduleux dans un système de traitement automatisé de données : Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende.
Le dirigeant n’a pas à qualifier seul l’infraction. Il doit exposer les faits, remettre les éléments disponibles et laisser l’enquête déterminer s’il y a eu intrusion, maintien, extraction, altération ou entrave au fonctionnement.
Le conseil d’administration doit être associé lorsque l’événement peut affecter l’activité, les actifs, les engagements financiers ou la réputation de l’émetteur. L’article L. 225-35 du code de commerce dispose que le conseil « détermine les orientations de l’activité de la société » et qu’il « procède aux contrôles et vérifications qu’il juge opportuns ». Une attaque qui arrête une ligne de production, compromet des informations sensibles ou rend incertain le calendrier financier relève de cette mission de surveillance. Le procès-verbal doit mentionner les informations communiquées aux administrateurs, les limites de l’analyse disponible, les décisions prises et la prochaine date de revue. Une formule générale indiquant que la direction « suit la situation » ne suffit pas si aucune vérification concrète n’est décidée.
Cette gouvernance doit aussi couvrir les conflits d’intérêts. Si le prestataire de cybersécurité, le consultant chargé de la réponse ou l’assureur est lié à un administrateur, au directeur général ou à un actionnaire significatif, la convention doit être examinée selon la forme sociale et les règles applicables. Pour une société anonyme, l’article L. 225-38 du code de commerce prévoit que toute convention intervenant directement ou par personne interposée entre la société et notamment son directeur général, un administrateur ou un actionnaire disposant de plus de 10 % des droits de vote « doit être soumise à l’autorisation préalable du conseil d’administration ». En société par actions simplifiée, l’article L. 227-10 organise le rapport sur les conventions intervenues directement ou par personne interposée. En SARL, le régime de l’article L. 223-19 impose également de rendre compte des conventions réglementées. Une intervention technique utile peut donc devoir être documentée sous l’angle de la sécurité comme sous celui de la gouvernance.
Le dirigeant doit enfin apprécier la dimension boursière de l’incident. Une indisponibilité temporaire sans conséquence identifiée n’appelle pas automatiquement une communication de marché. À l’inverse, une compromission susceptible de modifier le chiffre d’affaires, les stocks, la production, une opération stratégique, les prévisions ou la capacité de publier les comptes peut constituer une information privilégiée. L’article 17 du règlement européen sur les abus de marché impose à l’émetteur de rendre publique, dès que possible, l’information privilégiée qui le concerne directement. L’émetteur doit donc poser une question précise : l’information est-elle non publique, suffisamment précise, susceptible d’influencer sensiblement le cours et directement liée à la société ?
Le caractère sensible d’une cyberattaque ne se résume pas au nombre de données personnelles exposées. Une atteinte limitée aux coordonnées professionnelles peut coexister avec une interruption coûteuse, la perte de secrets industriels ou une incertitude sur la fiabilité des comptes. L’information financière doit être tenue à jour au fil de l’enquête. Une première communication prudente peut annoncer l’incident, les mesures engagées et les limites de la connaissance actuelle ; elle ne doit pas être présentée comme une conclusion définitive. Le précédent BIOSYNEX sanctionné par l’Autorité des marchés financiers montre que la communication financière, les obligations déclaratives et l’information du marché peuvent être examinées séparément du fait générateur initial. La décision SAN-2024-08 de la Commission des sanctions de l’AMF doit être lue comme un rappel de cette exigence de précision, et non comme une conclusion sur la cyberattaque de 2026.
B. Quand la cyberattaque engage-t-elle la responsabilité de la société ou du dirigeant ?
L’attaque elle-même ne prouve pas une faute de la société. Une entreprise peut être victime d’un mode opératoire inédit malgré des mesures sérieuses. La discussion porte sur le niveau de sécurité raisonnablement attendu, la nature de l’activité, la sensibilité des données, les alertes reçues, les mises à jour disponibles, les sauvegardes testées et les décisions prises après un premier signal. La responsabilité peut être recherchée si l’organisation a laissé un accès connu ouvert, si aucune sauvegarde exploitable n’existait, si le prestataire n’était pas contrôlé ou si les dirigeants ont ignoré une alerte documentée. Chaque reproche doit être relié à un dommage précis.
Dans les relations avec un prestataire informatique, le contrat est central. Il faut vérifier les niveaux de service, les délais d’alerte, la réversibilité, l’emplacement des sauvegardes, l’obligation de coopération avec l’expert, la limitation de responsabilité, l’assurance et les sous-traitants autorisés. Les conditions générales ne peuvent pas remplacer une analyse des faits. L’entreprise cliente doit établir ce qui a été promis, ce qui a été livré et le moment où la défaillance a aggravé le dommage. Dans son arrêt du 2 juin 2021, chambre commerciale, pourvoi n° 19-17.862, la Cour de cassation rappelle, à propos d’une attaque informatique, qu’il faut démontrer « un lien de causalité direct et certain ». Cette exigence commande de séparer le coût de l’arrêt, le coût de la remédiation, les pertes commerciales, l’atteinte aux données et les préjudices seulement hypothétiques. La décision est accessible sur Légifrance.
La responsabilité personnelle des administrateurs et du directeur général obéit à un régime distinct. L’article L. 225-251 du code de commerce prévoit que les administrateurs et le directeur général sont responsables envers la société ou les tiers des « fautes commises dans leur gestion ». Une mauvaise décision de sécurité peut donc être discutée si elle révèle une carence de gestion : absence de budget minimal malgré une alerte, défaut de contrôle d’un sous-traitant critique, refus de restaurer des sauvegardes testées ou communication volontairement trompeuse. En revanche, le simple fait d’avoir été attaqué ne transforme pas automatiquement le dirigeant en garant absolu de la sécurité numérique.
Lorsqu’un tiers agit directement contre le dirigeant, la jurisprudence exige une faute personnelle répondant à un critère plus strict. Dans son arrêt du 7 septembre 2022, chambre commerciale, pourvois n° 20-20.404 et 20-20.538, la Cour de cassation énonce que « la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute séparable de ses fonctions ». Elle précise que la faute séparable peut notamment être intentionnelle, d’une particulière gravité et incompatible avec l’exercice normal des fonctions sociales. Un investisseur qui reproche au conseil une stratégie de sauvegarde insuffisante ne se trouve donc pas dans la même situation qu’une victime à laquelle un dirigeant aurait personnellement dissimulé une information déterminante. Le texte intégral de la décision est disponible sur Légifrance.
Il faut aussi distinguer l’intrusion pénale du manquement de gouvernance. L’enquête peut viser l’auteur extérieur qui a accédé au système, l’ancien salarié qui a conservé un accès, le prestataire ayant outrepassé ses droits ou une personne ayant extrait des données. Elle peut également chercher si la société a volontairement maintenu une porte d’accès ou détruit les preuves. Dans un arrêt du 2 septembre 2025, pourvoi n° 24-83.605, publié au Bulletin, la chambre criminelle a jugé que le préjudice résultant d’un accès frauduleux à des données appartenant à une société « ne porte personnellement et directement préjudice qu’au propriétaire desdites données ». Cet arrêt, consultable sur Légifrance, est important pour un actionnaire : il ne suffit pas de dire que les données de la société ont été atteintes pour obtenir réparation de son propre préjudice.
La réponse doit être adaptée à la forme sociale. Dans une société anonyme, le conseil et le directeur général n’exercent pas exactement les mêmes pouvoirs ; dans une société par actions simplifiée, les statuts répartissent largement les compétences ; dans une SARL, le gérant porte une responsabilité propre. Le dossier doit donc identifier l’auteur de chaque décision : qui a choisi le prestataire, qui connaissait la vulnérabilité, qui a reçu le rapport, qui a autorisé la dépense, qui a validé la communication et qui pouvait interrompre un accès ? Cette attribution évite les mises en cause globales et permet de rechercher la personne ou l’entité réellement en mesure d’agir.
La conservation de la preuve est décisive. Il faut garder les sauvegardes dans leur état, exporter les journaux avec leur horodatage, documenter les changements de configuration et sauvegarder les échanges avec l’attaquant sans répondre depuis un compte compromis. Les attestations d’experts doivent préciser leur méthode, leurs limites et la chaîne de conservation des fichiers. Les factures d’urgence, les jours d’arrêt, les pénalités, les commandes perdues et les dépenses de reconstruction doivent être rattachés à des dates. L’objectif n’est pas de produire un dossier spectaculaire, mais de rendre chaque poste de dommage vérifiable par un juge, un assureur ou l’AMF.
II. Actionnaires après une cyberattaque : quelle information et quels recours ?
A. Que peuvent demander les actionnaires et comment contrôler la communication financière ?
Un actionnaire confronté à une annonce de cyberattaque doit commencer par replacer l’événement dans la vie de la société. Il doit lire le communiqué initial, les mises à jour, les rapports financiers, les facteurs de risque, les documents d’enregistrement et les éventuelles informations publiées sur Euronext Growth. Il doit relever les dates plutôt que de s’arrêter à la seule variation de cours : moment de l’intrusion, découverte, notification, annonce, reprise de l’activité, estimation du coût et correction éventuelle de l’information. Une variation de cours peut résulter de la cyberattaque, du marché, d’une publication concurrente ou d’une tendance sectorielle. Le lien de causalité ne se déduit pas d’un graphique isolé.
Les titres de BIOSYNEX sont négociés sur Euronext Growth. Dans le langage courant, il s’agit d’une société cotée ; juridiquement, il faut vérifier le régime exact de la plateforme et de l’instrument. Le règlement européen sur les abus de marché peut viser les instruments admis à la négociation sur un marché réglementé, un système multilatéral de négociation ou un système organisé, selon ses conditions d’application. Cette qualification détermine les obligations d’information, les règles de retard de publication et les échanges avec l’autorité compétente. Le dirigeant ne doit ni publier chaque rumeur technique, ni attendre la fin d’une enquête qui durerait des mois si une information précise, non publique et sensible pour le cours existe déjà.
Les actionnaires peuvent demander des explications dans les cadres prévus par la loi et les statuts. Dans une société anonyme, l’article L. 225-105 du code de commerce permet à un ou plusieurs actionnaires représentant au moins 5 % du capital de requérir « l’inscription à l’ordre du jour de points ou de projets de résolution ». Ce seuil et les modalités pratiques doivent être vérifiés avec la structure du capital. Des questions écrites, une demande de documents ou une résolution peuvent porter sur la politique de sauvegarde, le budget de sécurité, les contrats de sous-traitance, l’assurance cyber, la notification RGPD et l’évaluation du coût. Une demande utile reste factuelle : elle ne doit pas révéler une information confidentielle qui faciliterait une nouvelle attaque.
Les conventions liées à la réponse informatique peuvent également intéresser les actionnaires. Un consultant recommandé par un administrateur, une société de sécurité détenue par un actionnaire ou un contrat signé avec une entité du groupe doit être identifié, valorisé et soumis au régime approprié. Pour une société par actions simplifiée, l’article L. 227-10 impose notamment un rapport sur les conventions intervenues directement ou par personne interposée. Pour une société anonyme, l’autorisation préalable prévue par l’article L. 225-38 vise les conventions présentant un risque de conflit. La question n’est pas de suspecter toute relation commerciale, mais de vérifier si le conseil a pu comparer les offres, prévenir les intéressés et expliquer le prix, le périmètre et les conditions de la prestation.
L’actionnaire doit séparer trois situations. Premièrement, la société a subi une perte : arrêt d’activité, frais d’expertise, extorsion, restauration, perte de contrats ou sanction. Ce préjudice appartient d’abord à la personne morale. Deuxièmement, l’actionnaire a pu subir une perte personnelle distincte, par exemple si une information mensongère lui a fait acheter ou conserver des titres dans des conditions qu’il peut démontrer. Troisièmement, le marché a réagi à une information connue de tous et la valeur du titre a baissé : cette baisse ne suffit pas, à elle seule, à caractériser un préjudice individuel indemnisable. Il faut établir une faute, un dommage propre et un lien direct.
Le même raisonnement s’applique à l’information privilégiée. Un actionnaire, un administrateur ou un conseil qui reçoit avant le marché des éléments précis sur l’ampleur de l’attaque doit respecter les règles d’abstention et de confidentialité. Il ne faut pas vendre, acheter ou transmettre l’information sur la base d’une intuition liée à une indisponibilité informatique. Les procédures internes de la société, les listes d’initiés et les ordres passés autour de l’annonce doivent être conservés. Le conseil doit éviter les échanges sélectifs avec quelques investisseurs et utiliser un canal de communication accessible au marché. La qualité de la première annonce ne dispense pas de corriger rapidement une donnée devenue inexacte.
Un actionnaire peut saisir l’AMF s’il soupçonne une information tardive, incomplète ou trompeuse, mais une alerte à l’autorité ne remplace pas la preuve. Il doit joindre les communiqués, leurs horaires de diffusion, les documents accessibles au public, les réponses reçues, les mouvements de cours et les éléments montrant ce qu’il savait au moment de sa décision. Il ne doit pas présenter une hypothèse comme un fait ni publier des accusations visant un dirigeant ou un prestataire sans base vérifiable. Une démarche sérieuse protège aussi l’actionnaire contre une contestation fondée sur la diffamation ou la divulgation d’informations confidentielles.
B. Quels recours exercer : expertise, action sociale, référé et indemnisation ?
Le premier recours est souvent documentaire. Avant de choisir entre action sociale, action individuelle, demande contre un prestataire ou signalement à une autorité, l’actionnaire doit constituer une chronologie et réunir les pièces auxquelles il a légalement accès. Le dossier peut comprendre les communiqués, rapports annuels, documents de référence, procès-verbaux d’assemblée, résolutions, contrats publiés, informations AMF, relevés de portefeuille, ordres de bourse, attestations de perte, échanges avec la société et toute réponse à une question écrite. Les fichiers reçus d’un tiers doivent être conservés avec leur origine et leur date. Une capture d’écran sans URL ni horodatage a une valeur limitée si la page est ensuite modifiée.
Lorsque le dommage est subi par la société, l’action sociale est la voie à examiner. L’article L. 225-252 du code de commerce dispose que, « outre l’action en réparation du préjudice subi personnellement », les actionnaires peuvent intenter l’action sociale en responsabilité contre les administrateurs ou le directeur général, dans les conditions prévues par le texte. Le demandeur agit alors pour obtenir la réparation du préjudice de la société ; les dommages-intérêts reviennent à celle-ci. Cette action ne sert pas à récupérer mécaniquement la baisse de valeur des titres. Elle suppose de caractériser une faute de gestion, un dommage social et un lien de causalité.
Une action individuelle exige un dommage différent de celui de la société. La perte de valeur des titres est souvent le reflet du dommage social et ne devient pas automatiquement un dommage personnel. L’actionnaire devra expliquer en quoi la société, le dirigeant, le prestataire ou un autre intervenant lui a causé directement un préjudice qui ne se confond pas avec celui de la personne morale. L’arrêt criminel du 2 septembre 2025 sur l’accès frauduleux aux données rappelle cette exigence de personnalisation. Le conseil juridique doit donc tester le fondement avant de multiplier les défendeurs : responsabilité du dirigeant, manquement de l’émetteur à son information, faute du prestataire, garantie de l’assureur et éventuelle atteinte aux données ne se prouvent pas par les mêmes éléments.
Le délai doit être surveillé. L’article L. 225-254 du code de commerce prévoit que l’action en responsabilité contre les administrateurs ou le directeur général, sociale ou individuelle, se prescrit par trois ans à compter du fait dommageable ou, s’il a été dissimulé, de sa révélation ; le texte prévoit un délai de dix ans lorsque le fait est qualifié crime. Le point de départ dépend de la qualification et des faits réellement établis. Une discussion amiable ou une plainte ne doit pas être laissée sans suivi de la prescription civile et commerciale. Il faut demander un avis sur les actes interruptifs ou suspensifs avant de laisser passer une échéance.
Une expertise peut devenir utile lorsque le débat porte sur l’origine de l’attaque, l’état des sauvegardes, la compétence du prestataire ou le coût réel de la restauration. Le demandeur doit formuler une mission neutre : identifier les accès, comparer les pratiques aux engagements contractuels, dater la découverte, déterminer les données touchées et chiffrer les conséquences selon des pièces vérifiables. Une demande qui invite l’expert à désigner d’avance un responsable sera plus fragile. Les documents couverts par le secret des affaires ou le secret professionnel doivent être transmis dans un cadre permettant leur protection. L’objectif est de faire établir les faits, pas de rendre publique une vulnérabilité encore exploitable.
La société peut aussi devoir agir contre un fournisseur, son assureur, un ancien prestataire ou un auteur identifié. Les courriels d’alerte, tickets de support, rapports de tests, comptes rendus de comité et clauses de réversibilité sont alors aussi importants que le code informatique. Une clause de limitation de responsabilité ne règle pas toute la discussion : son champ, sa validité, la faute éventuellement commise et le caractère direct du dommage doivent être examinés. L’arrêt de la chambre commerciale du 2 juin 2021 montre pourquoi le demandeur doit relier chaque coût à une obligation précise. Une facture globale de crise ne permet pas, à elle seule, de distinguer le dommage causé par l’attaque de celui résultant d’une décision de reconstruction choisie ensuite.
Les autorités compétentes ont des rôles différents. La CNIL examine la violation de données personnelles et les mesures prises pour protéger les personnes. L’AMF peut analyser la qualité de l’information diffusée au marché et les éventuels manquements aux règles applicables aux émetteurs. Les services d’enquête recherchent l’auteur de l’intrusion et les infractions informatiques. L’assureur vérifie la conformité de la déclaration, les mesures de prévention, les exclusions et les dépenses prises en charge. Une même pièce peut être utile à plusieurs interlocuteurs, mais les déclarations ne doivent pas se contredire. Une entreprise peut signaler une donnée encore incertaine en indiquant clairement son degré de vérification.
À Paris et en Île-de-France, le lieu du siège, la nature du défendeur et le statut de l’action déterminent la juridiction et la procédure. Une action commerciale contre un prestataire ou une société peut relever du tribunal des activités économiques compétent ; un litige civil, une demande de protection de données ou une mesure probatoire peut appeler une analyse différente. L’adresse du siège de BIOSYNEX, la clause attributive de juridiction, le lieu du dommage et la qualité de l’actionnaire doivent être vérifiés avant toute assignation. L’urgence informatique ne justifie pas de saisir la mauvaise juridiction ou de diffuser dans une procédure publique des informations qui faciliteraient une nouvelle attaque.
Enfin, les actionnaires doivent garder une stratégie proportionnée. Une demande d’explications peut précéder une action ; une mesure d’instruction peut éviter une assignation mal fondée ; une discussion avec l’assureur peut préserver des droits sans empêcher une action contre un tiers. À l’inverse, un accord qui renonce à toute action doit être examiné avec soin, surtout si le dommage social concerne plusieurs catégories d’actionnaires. Le conseil doit aussi vérifier les règles de représentation et de regroupement. La procédure choisie doit rendre la société, les dirigeants ou le prestataire capables de répondre aux faits, plutôt que de transformer la cyberattaque en procès médiatique sans preuve exploitable.
Conclusion
Une cyberattaque visant une société dont les titres sont négociés sur un marché impose une réponse à plusieurs niveaux. Le dirigeant doit contenir l’incident, préserver les preuves, organiser la continuité, apprécier les notifications et rendre compte au conseil. Le conseil d’administration doit contrôler les choix effectués, surveiller les conflits d’intérêts et examiner séparément la protection des données, la continuité de l’activité et l’information financière. Les actionnaires doivent documenter les annonces et leurs décisions, puis distinguer le dommage de la société d’un préjudice personnel directement démontrable.
Dans le dossier BIOSYNEX, l’annonce de l’attaque et les investigations en cours ne permettent pas de désigner un responsable. Elles rendent en revanche indispensables une chronologie, une analyse de l’information privilégiée, un contrôle des contrats techniques et une conservation rigoureuse des éléments numériques. Si une faute apparaît, les recours peuvent viser la société, un prestataire, un assureur ou un dirigeant selon la mission, le dommage et la preuve. La rapidité est utile ; la précipitation dans les accusations ou la publication d’informations non vérifiées fragilise le dossier.
Besoin d’un avis rapide sur votre dossier.
Vous pouvez bénéficier d’une consultation téléphonique en 48 heures avec un avocat du cabinet pour analyser la cyberattaque, les décisions de gouvernance et les recours envisageables.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.