Le 2 septembre 2026, le ministère de la Transition écologique a confirmé à l’Agence France-Presse avoir été la cible d’une attaque informatique qualifiée de sophistiquée. Selon la déclaration ministérielle relayée par la presse, l’attaque a visé les outils de messagerie du pôle ministériel au cours de la semaine précédente, des mesures particulières ont été prises pour y faire face et renforcer la sécurité des systèmes d’information, et les faits ont été signalés au parquet. Le même jour, plusieurs sites liés au ministère affichaient la mention « Maintenance en cours », dont le site des consultations publiques en matière d’environnement et plusieurs sites d’administrations régionales. L’Agence nationale de la sécurité des systèmes d’information a indiqué à l’AFP qu’elle intervenait au profit d’administrations du ministère sur des suspicions de compromission de comptes d’utilisateurs, et que ses investigations et mesures de remédiation pouvaient entraîner l’interruption temporaire de certains services numériques. Parallèlement, le site spécialisé FrenchBreaches a rapporté qu’un utilisateur anonyme revendiquait sur un forum criminel la récupération de deux ensembles de données liés au ministère, comprenant 8 166 utilisateurs et 14 656 enregistrements relatifs à des contrôleurs.
La carte des décisions n’est pas celle d’un usager isolé. Elle concerne d’un côté l’entreprise qui porte un projet soumis à autorisation environnementale, qui dépose un dossier, qui participe à une consultation ou qui fait établir une déclaration par son conseil, et de l’autre le prestataire qui dépose pour le compte de ses clients : bureau d’études en environnement, conseil en propriété industrielle, avocat, éditeur de téléservices. Chacun doit savoir quelle preuve figer, quelle voie de substitution utiliser et comment préserver un délai. La réponse tient en une phrase : la panne d’une plateforme publique ne fait perdre automatiquement aucun droit, mais elle n’accorde automatiquement aucun délai supplémentaire. Tout se joue dans la preuve de l’impossibilité et dans la rapidité de la voie alternative. Les réserves sont nettes : les volumes revendiqués par l’attaquant présumé ne sont pas confirmés par le ministère, l’auteur et la durée exacte de l’interruption ne sont pas établis, et chaque procédure administrative ou juridictionnelle conserve ses propres règles de délai. Cet article expose le raisonnement applicable aux entreprises et à leurs prestataires, à partir des textes et des décisions cités.
I. Une plateforme publique en panne : ce que la crise change pour les entreprises
A. Le fait public, ses bornes et les deux chaînes professionnelles bloquées
La chronologie publique est resserrée. L’attaque aurait visé les outils de messagerie du pôle ministériel au cours de la dernière semaine du mois d’août 2026. Le mercredi 2 septembre 2026, le ministère confirme l’attaque à l’AFP, plusieurs sites deviennent inaccessibles avec un message de maintenance, l’ANSSI annonce son intervention et le ministère signale les faits au parquet. La presse nationale a relayé ces éléments le même jour, notamment Le Monde, Le Figaro, La Croix, Ouest-France et le Huffington Post. La revendication publiée sur un forum criminel, rapportée par FrenchBreaches, ajoute un second volet au dossier : l’éventuelle exfiltration de données d’utilisateurs et de contrôleurs. Ces chiffres restent une revendication. Le ministère ne les a pas confirmés. Ils ne doivent donc être utilisés ni comme une certitude dans un courrier, ni comme un chiffrage de préjudice, mais comme un signal imposant des mesures conservatoires.
La première chaîne professionnelle bloquée est celle des entreprises déclarantes et porteuses de projets. Lorsqu’une entreprise prépare une demande d’autorisation environnementale, suit une procédure de participation du public sur un projet soumis à évaluation environnementale, répond à une consultation publique sur un projet d’arrêté ou de décret, ou dépose une déclaration réglementaire auprès d’une direction régionale, elle dépend des téléservices du ministère et des administrations placées sous sa tutelle. L’indisponibilité de ces sites ne suspend pas le calendrier du projet : les échéances commerciales, les promesses de vente sous condition d’obtention d’une autorisation, les plannings de travaux et les engagements envers les financeurs continuent de courir. L’entreprise qui découvre un message de maintenance à quelques jours d’une clôture de participation ou d’un dépôt doit donc traiter la panne comme un événement juridique à part entière, pas comme un simple incident technique.
La seconde chaîne est celle des prestataires qui déposent pour le compte de leurs clients. Les bureaux d’études en environnement qui versent des pièces aux dossiers d’autorisation, les conseils en propriété industrielle qui forment des oppositions aux marques pour des entreprises clientes, les avocats qui saisissent des autorités administratives et les éditeurs qui opèrent des téléservices pour le compte de donneurs d’ordre se retrouvent dans la même situation : l’outil de dépôt ne répond plus, le délai du client approche, et la question de savoir qui supportera les conséquences d’un dépôt tardif se pose immédiatement. Le Conseil d’État a eu à trancher, le 17 mars 2026, le cas d’un opposant à une marque dont l’opposition postale avait été refusée par l’Institut national de la propriété industrielle au motif qu’elle n’avait pas été formée par le téléservice dédié. La décision rappelle que l’article 1er de la décision du directeur général de l’INPI du 11 décembre 2019 impose que « La formation d’une opposition à enregistrement d’une marque, ainsi que les échanges subséquents, réalisés par l’opposant ou par le titulaire de la marque contestée ou leurs mandataires, s’effectuent sous forme électronique sur le site Internet de l’INPI via le Portail électronique dédié », et qu’« aucune confirmation sous forme papier n’est possible, seuls les fichiers électroniques de l’opposition faisant foi ». Mais elle ajoute aussitôt l’exception qui intéresse directement les prestataires bloqués par une panne : « Toutefois, en cas de défaillance du service électronique, l’opposition peut être réalisée par télécopie, sous réserve de sa régularisation par voie électronique dans les deux jours ouvrés suivant la réception de la télécopie. » La leçon vaut au-delà de la propriété industrielle : face à un téléservice réservé en panne, le professionnel doit activer la voie de secours prévue par les textes propres à chaque procédure, puis régulariser dans le délai imparti, au lieu d’attendre le rétablissement.
Il faut borner ce que le dossier public ne dit pas. Ni le ministère ni l’ANSSI n’ont publié la liste exhaustive des téléservices interrompus, ni la durée prévisionnelle de l’interruption, ni l’ampleur exacte des données éventuellement exfiltrées. Une entreprise ne peut donc pas affirmer dans un courrier que l’ensemble des démarches environnementales est paralysé, ni qu’un dépôt effectué avant l’attaque aurait été compromis. Elle peut en revanche établir, pièce par pièce, ce qu’elle a constaté : la page inaccessible, l’heure de la tentative, le message affiché, l’absence de récépissé. C’est cette discipline de la preuve, et non l’ampleur supposée de l’attaque, qui fera la différence si un délai est discuté.
B. Ni perte automatique de droits, ni délai supplémentaire automatique : le cadre applicable
Le premier réflexe doit être écarté : croire que la panne efface l’obligation ou que l’administration accordera spontanément un délai. Le droit français de la saisine par voie électronique repose sur un équilibre précis. Aux termes de l’article L. 112-8 du code des relations entre le public et l’administration : « Toute personne, dès lors qu’elle s’est identifiée préalablement auprès d’une administration, peut, dans des conditions déterminées par décret en Conseil d’Etat, adresser à celle-ci, par voie électronique, une demande, une déclaration, un document ou une information, ou lui répondre par la même voie. Cette administration est régulièrement saisie et traite la demande, la déclaration, le document ou l’information sans lui demander la confirmation ou la répétition de son envoi sous une autre forme ». Et aux termes de l’article L. 112-9 du même code : « Lorsqu’elle met en place un ou plusieurs téléservices, l’administration rend accessibles leurs modalités d’utilisation, notamment les modes de communication possibles. Ces modalités s’imposent au public. » Le même article ajoute la règle couperet : « Lorsqu’elle a mis en place un téléservice réservé à l’accomplissement de certaines démarches administratives, une administration n’est régulièrement saisie par voie électronique que par l’usage de ce téléservice. » Autrement dit, l’entreprise ne choisit pas librement son canal lorsque l’administration a réservé un téléservice à une démarche : un envoi par simple courrier électronique à une adresse générique ne vaut pas saisine régulière. Mais cette rigueur a une contrepartie, dégagée par le Conseil d’État dans sa décision du 27 novembre 2019 rendue sur les recours de la Cimade, du Gisti, de la Ligue des droits de l’homme et du Syndicat des avocats de France : le décret du 27 mai 2016 autorisant les téléservices « n’a pas pour objet et ne saurait avoir légalement pour effet de rendre obligatoire la saisine de l’administration par voie électronique ». La saisine électronique est un droit ouvert aux usagers, pas une nasse qui se refermerait sur eux quand l’outil tombe en panne.
La décision du Conseil d’État du 17 mars 2026 complète ce cadre pour les téléservices obligatoires. Elle juge que « l’administration peut, sous réserve de respecter les conditions mentionnées au point 4, soumettre la formation d’une opposition à l’enregistrement d’une marque à une procédure dématérialisée au moyen d’un téléservice », mais elle pose la condition qui protège les entreprises en cas de panne : « le pouvoir réglementaire ne saurait édicter une telle obligation qu’à la condition de permettre l’accès normal des usagers au service public et de garantir aux personnes concernées l’exercice effectif de leurs droits. » Le juge administratif ajoute que l’administration « doit tenir compte de l’objet du service, du degré de complexité des démarches administratives en cause et de leurs conséquences pour les intéressés, des caractéristiques de l’outil numérique mis en œuvre ainsi que de celles du public concerné, notamment, le cas échéant, de ses difficultés dans l’accès aux services en ligne ou dans leur maniement. » Une panne durable d’un téléservice obligatoire, sans voie de substitution effective, heurte directement cette exigence d’accès normal au service public. L’entreprise bloquée peut donc s’en prévaloir pour demander une mesure de sauvegarde, mais elle doit le faire par écrit, en visant ces exigences, et en proposant elle-même la voie alternative.
Le cas des procédures environnementales mérite un examen particulier, parce que le site des consultations publiques en matière d’environnement fait partie des pages affichant le message de maintenance. Pour la participation du public par voie électronique, l’article L. 123-19 du code de l’environnement prévoit que « La participation du public par voie électronique est ouverte et organisée par l’autorité compétente pour autoriser ces projets ou approuver ces plans et programmes », et que le dossier « est mis à disposition du public par voie électronique et, sur demande présentée dans des conditions prévues par décret, mis en consultation sur support papier dans les préfectures et les sous-préfectures ». Le texte organise donc lui-même le repli : quand la mise à disposition électronique défaille, la consultation sur support papier en préfecture ou en sous-préfecture prend le relais, sur demande. Le même article impose l’information du public : « Le public est informé par un avis mis en ligne ainsi que par un affichage en mairie ou sur les lieux concernés et, selon l’importance et la nature du projet, par voie de publication locale quinze jours avant l’ouverture de la participation électronique du public pour les plans, programmes et projets. » L’entreprise porteuse d’un projet a donc intérêt à vérifier immédiatement l’avis de participation : il mentionne les coordonnées des autorités compétentes, les destinataires des observations et les conditions de leur émission. Si le canal électronique indiqué dans l’avis est hors service, l’observation adressée par un autre canal identifié dans ce même avis, doublée d’un courrier recommandé à l’autorité compétente, constitue la voie de substitution la plus solide. A l’inverse, publier ses observations sur les réseaux sociaux ou les adresser à une adresse électronique non prévue par l’avis n’offre aucune garantie de prise en compte.
II. La carte des décisions : qui détient quelle preuve et que décider
A. Côté entreprise déclarante : figer l’impossibilité, saisir autrement, demander par écrit
La règle de preuve commande tout le reste. Aux termes de l’article 1353 du code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’entreprise qui invoquera plus tard l’impossibilité de télédéclarer devra donc justifier le fait qui l’a empêchée : la panne, sa durée, son périmètre. Concrètement, dès la première tentative infructueuse, elle doit constituer un dossier horodaté : captures d’écran complètes montrant l’adresse du site, la page demandée, le message d’erreur ou de maintenance, la date et l’heure visibles ; journal des tentatives répétées à des heures différentes, pour écarter l’objection d’un incident passager de quelques minutes ; conservation des messages d’erreur renvoyés par le téléservice ; et, pour les enjeux importants, constat d’un commissaire de justice qui se déplace ou se connecte et décrit ce qu’il constate. Ce constat n’est pas une formalité de luxe : c’est la pièce qui transforme une affirmation de panne en fait établi devant l’administration puis, le cas échéant, devant le juge.
La deuxième décision consiste à saisir autrement, sans attendre le rétablissement. Lorsque la procédure prévoit elle-même la voie de secours, il faut l’emprunter à la lettre : télécopie suivie d’une régularisation électronique dans les deux jours ouvrés pour les oppositions aux marques, dépôt sur support papier en préfecture pour les dossiers de participation du public, courrier recommandé avec accusé de réception à l’autorité compétente pour les déclarations. Lorsque aucune voie de secours n’est prévue, l’entreprise doit adresser sans délai à l’autorité compétente un courrier recommandé, doublé d’un courrier électronique aux adresses officielles de contact, qui décrit la tentative empêchée, joint les preuves de la panne, indique la démarche concernée et son échéance, et sollicite par écrit soit la prise en compte du dépôt à la date de la première tentative, soit une prolongation du délai, soit l’indication d’un canal de substitution. Ce courrier ne garantit pas une réponse favorable, mais il fige trois éléments décisifs : la diligence de l’entreprise, la date de sa démarche et l’information effective de l’administration. L’entreprise qui attendrait en silence le retour à la normale, puis invoquerait la panne après l’expiration du délai, se placerait dans la situation la plus fragile : celle du déclarant qui n’a ni déposé ni averti.
La troisième décision concerne les engagements commerciaux adossés à la démarche administrative. Une promesse de vente sous condition d’autorisation, un marché de travaux dont le démarrage dépend d’une décision administrative, un financement conditionné à une autorisation : tous ces contrats continuent de produire leurs effets pendant la panne. L’entreprise doit donc relire sans délai les clauses de condition, de délai et de force majeure de ses propres contrats, informer par écrit ses cocontractants de la difficulté rencontrée et des démarches entreprises, et proposer un aménagement de calendrier. Cette information précoce n’est pas de la courtoisie : c’est l’exécution de bonne foi du contrat et, le cas échéant, la première pierre d’une discussion sur la suspension des obligations. Si l’empêchement administratif se prolonge et rend impossible l’exécution d’une obligation contractuelle, l’article 1218 du code civil définit la force majeure en matière contractuelle : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Le même article précise le régime de l’empêchement temporaire : « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat. » La panne d’un téléservice d’État de quelques jours s’analyse bien plus naturellement comme un empêchement temporaire, donc comme une cause de suspension et de report, que comme une cause d’anéantissement du contrat. Mais cette analyse ne joue en faveur de l’entreprise que si elle démontre qu’elle a pris les mesures appropriées pour éviter les effets de l’événement : tentative en temps utile, voie alternative, information des partenaires. La force majeure ne protège pas l’attentisme. Pour calibrer ces démarches dans un dossier où une autorisation conditionne un investissement, l’entreprise avisée se fait accompagner par un cabinet d’avocats en droit des affaires à Paris, afin d’articuler la preuve de la panne, la demande à l’administration et l’information des cocontractants dans un calendrier cohérent.
B. Côté prestataire : prévenir, tenter la voie de secours, documenter la cause étrangère
Le prestataire qui dépose pour le compte de ses clients supporte une pression redoublée : il doit à son client une prestation diligente, et il est souvent le seul à détenir les codes d’accès, les récépissés et la connaissance pratique du téléservice. Sa première obligation est d’informer. Dès qu’il constate l’indisponibilité, il doit avertir par écrit chaque client concerné : nature de la panne constatée, démarches affectées, échéances menacées, voies alternatives envisagées, et demande d’instructions. Cette lettre d’information n’est pas un aveu de faute : c’est l’exécution du devoir de conseil et de mise en garde qui pèse sur le professionnel, et c’est la pièce qui établira qu’il n’a pas laissé courir un délai en silence. Le prestataire qui attendrait le rétablissement sans prévenir, en espérant déposer à temps, prend le risque maximum : si le délai expire, il ne pourra ni invoquer une cause qu’il n’a pas documentée, ni démontrer qu’il a tout tenté.
Sa deuxième obligation est de tenter effectivement la voie de secours, dans les formes propres à chaque procédure. L’exemple de l’opposition aux marques est topique : la télécopie immédiate, suivie de la régularisation électronique dans les deux jours ouvrés, préserve les droits du client même si le portail reste inaccessible. Pour les dossiers environnementaux, le dépôt ou la consultation sur support papier en préfecture, prévu par l’article L. 123-19 du code de l’environnement, joue le même rôle. Pour les saisines d’autorités sans voie de secours prévue, le courrier recommandé exposant l’impossibilité et sollicitant la prise en compte à la date de la première tentative constitue le substitut raisonnable. Dans tous les cas, le prestataire conserve les récépissés de télécopie, les accusés de réception postaux, les accusés de lecture électroniques et les références des dépôts papier. S’il se contente d’affirmer après coup qu’il a essayé sans pouvoir produire aucune trace, sa position devient indéfendable.
Le droit des contrats éclaire la troisième décision, celle du contentieux éventuel entre le prestataire et son client. Aux termes de l’article 1231-1 du code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le prestataire dont le client lui reproche un dépôt tardif devra donc justifier que l’exécution a été empêchée par la force majeure au sens de l’article 1218 : événement échappant à son contrôle, imprévisible lors de la conclusion du contrat, dont les effets ne pouvaient être évités par des mesures appropriées. La Cour de cassation a précisé la portée de ce texte dans un arrêt de sa première chambre civile du 8 mars 2023 rendu sous le pourvoi numéro 21-24.783 : le créancier qui, par l’effet d’un cas de force majeure, n’a pas profité de la contrepartie attendue ne peut pas obtenir sur ce seul fondement la résolution du contrat, mais il peut agir contre le débiteur pour l’inexécution de son obligation. Transposée à la relation entre le prestataire et son client, cette solution signifie que le client dont le dossier a été déposé tardivement à cause de la panne peut agir contre son prestataire, sauf si celui-ci démontre qu’il a tout mis en œuvre : tentative en temps utile et non à la dernière heure, activation de la voie de secours, information immédiate du client. Une cyberattaque contre un ministère n’est pas, à elle seule, une exonération automatique du prestataire : elle ne le devient que si le prestataire prouve ses diligences.
La jurisprudence sur les pannes de transmission électronique renforce cette exigence de preuve, tout en offrant deux filets de sécurité aux professionnels diligents. Dans un arrêt du 17 mai 2018, la deuxième chambre civile de la Cour de cassation a jugé, au visa des règles de la communication électronique, que l’acte que le déclarant n’a pas pu transmettre par voie électronique le dernier jour du délai, pour une cause qui lui est étrangère, reste recevable s’il est accompli le premier jour ouvrable suivant. Le dysfonctionnement du réseau de transmission constituait bien une telle cause étrangère. Dans un arrêt du 10 juin 2021, la même chambre a jugé, au visa de l’article 930-1 du code de procédure civile, que l’irrecevabilité qui sanctionne l’obligation de remettre les actes par voie électronique est écartée quand l’acte n’a pas pu être transmis ainsi pour une cause étrangère au professionnel, l’acte pouvant alors être remis au greffe sur support papier. Dans cette affaire, le conseil justifiait d’une intervention de maintenance de trois jours pour une panne de son matériel informatique, et la Cour de cassation a cassé l’arrêt qui avait déclaré l’appel irrecevable, en retenant que le dépôt sur support papier avait pu intervenir dès la panne constatée, sans attendre que le délai soit sur le point d’expirer. Trois enseignements pour le prestataire bloqué par la panne des téléservices ministériels : documenter la cause étrangère par des éléments extérieurs et vérifiables, comme une intervention technique ou un constat ; agir dès la panne sans attendre la veille de l’échéance ; et déposer sur support papier ou par la voie de secours disponible, au lieu de laisser passer le délai. La prorogation au premier jour ouvrable et le dépôt papier ne sont pas des faveurs : ce sont des mécanismes légaux, mais ils ne profitent qu’à celui qui prouve la cause étrangère et sa diligence.
Reste la question des données. La revendication rapportée par FrenchBreaches évoque des milliers d’enregistrements d’utilisateurs et de contrôleurs. Si parmi les comptes compromis figurent des comptes professionnels utilisés par l’entreprise ou son prestataire pour déposer des dossiers, deux vérifications s’imposent : changer sans délai les identifiants et les secrets partagés avec le téléservice, et examiner si des données de clients, de salariés ou de partenaires ont pu être exposées par ce canal. Lorsque des données personnelles sont concernées, l’entreprise doit évaluer avec son conseil si une notification à l’autorité de protection des données et une information des personnes concernées s’imposent, au regard des critères légaux propres à ces obligations. En tout état de cause, elle ne doit ni reprendre dans ses courriers les chiffres revendiqués sur les forums comme s’ils étaient établis, ni attendre une confirmation officielle pour prendre les mesures conservatoires qui dépendent d’elle : sécurisation des accès, traçabilité des dépôts effectués avant et après l’attaque, information des équipes. La gestion de la preuve et la gestion du risque cyber avancent ici du même pas.
La crise née de la cyberattaque du 2 septembre 2026 contre le ministère de la Transition écologique illustre exactement l’effet domino qui donne son nom à cette rubrique : la défaillance d’une plateforme publique, en l’espèce les téléservices et les sites d’information du pôle ministériel, se propage à deux maillons professionnels distincts, l’entreprise déclarante ou porteuse de projet et le prestataire qui dépose pour ses clients. Ni l’une ni l’autre ne perdent automatiquement leurs droits, et ni l’une ni l’autre ne gagnent automatiquement un délai. L’entreprise qui fige la preuve de l’impossibilité, saisit l’autorité par une voie alternative et sollicite par écrit une mesure de sauvegarde met toutes les chances de son côté. Le prestataire qui informe immédiatement ses clients, active la voie de secours prévue par chaque procédure et documente la cause étrangère par des éléments extérieurs transforme une panne subie en diligence démontrable. Les décisions du Conseil d’État sur la saisine électronique et les arrêts de la Cour de cassation sur les pannes de transmission dessinent ensemble la méthode : prouver vite, déposer autrement, écrire à l’autorité. C’est à ce prix que l’effet domino s’arrête à la panne, au lieu de se prolonger en forclusion.
Besoin d’un avis rapide sur votre dossier
Votre entreprise ou votre client est bloqué par l’indisponibilité d’un téléservice après la cyberattaque visant le ministère de la Transition écologique : dépôt impossible, participation publique en cours, délai qui approche. Maître Reda KOHEN, avocat au Barreau de Paris, et son cabinet reçoivent en consultation téléphonique au 06 46 60 58 22 et répondent aux demandes écrites via la page contact. Exposez la démarche concernée, son échéance et les preuves déjà conservées : vous recevrez un premier avis sur les décisions à prendre pour préserver vos délais et vos contrats.