Le 29 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié son rapport d’incident sur les cyberattaques ayant touché la Direction générale des finances publiques (DGFiP) pendant l’été 2026. D’après la synthèse qu’en donne vie-publique.fr le 1er octobre 2026, les données de 353 000 particuliers et de 252 000 professionnels auraient été volées. Pour les entreprises, la question n’est pas seulement de savoir si leurs propres systèmes ont été attaqués : leurs données fiscales, celles de leurs salariés et parfois celles de leurs clients transitent par la plateforme impots.gouv.fr, par les logiciels de leurs cabinets comptables et par les applicatifs de leurs éditeurs. Quand la plateforme publique vacille, c’est toute la chaîne privée qui doit décider, sans attendre d’y voir parfaitement clair.

Concrètement, trois acteurs doivent agir dès maintenant, chacun avec ses preuves et ses décisions : l’entreprise contribuable professionnelle, qui doit vérifier son exposition et sécuriser ses accès ; le cabinet ou le prestataire qui traite ses données fiscales, qui doit l’informer sans affirmer ce qu’il ignore et vérifier ses propres systèmes ; l’éditeur de logiciels connecté aux applicatifs fiscaux, qui doit tracer, corriger et documenter. Les contrats signés entre ces acteurs priment sur toute analyse générale, aucune responsabilité d’aucune entreprise privée n’est établie par le rapport, et seul le juge dirait, au cas par cas, qui doit quoi à qui. Tout ce qui suit s’appuie exclusivement sur des sources officielles citées et lues intégralement, les faits étant rapportés d’après ces sources et les qualifications juridiques restant, par prudence, au conditionnel.

I. Ce que le rapport de l’ANSSI établit, et ce qu’il n’établit pas

Avant de décider, il faut distinguer ce qui est établi par une source officielle de ce qui relève encore de l’hypothèse. Le dossier ANSSI-DGFiP est, de ce point de vue, exemplaire : un rapport public dense, des chiffres précis, mais aussi des zones d’ombre que les entreprises doivent respecter au lieu de les combler par des suppositions.

A. Une chronologie et un périmètre vérifiés, du printemps à la publication

L’ANSSI indique avoir un travail d’investigation destiné à reconstituer la chronologie des activités illégitimes observées sur les systèmes d’information de la DGFiP entre mai et août 2026 et à identifier les mesures qui auraient pu permettre de les détecter ou de les prévenir (voir le communiqué de l’ANSSI). La période d’observation est donc de quatre mois, de mai à août 2026, et l’objet du rapport est double : reconstituer ce qui s’est passé et identifier ce qui aurait pu permettre de le détecter ou de l’empêcher. Ce double objet intéresse directement les entreprises, car les mesures de détection et de prévention décrites pour une administration sont, pour l’essentiel, celles que tout responsable de traitement devrait avoir déployées sur ses propres systèmes.

Le rapport a été remis au Premier ministre le jeudi 24 septembre 2026 (voir le communiqué de l’ANSSI) et, précise le communiqué, publié le jour même, soit le 29 septembre 2026 (voir le communiqué de l’ANSSI), soit le 29 septembre 2026, date de publication du communiqué lui-même. La synthèse publiée par vie-publique.fr le 1er octobre 2026 mentionne pour sa part un rapport d’incident daté du 23 septembre 2026 (voir la synthèse de vie-publique.fr). Cette différence d’un jour entre la date portée par le document et celle de sa remise n’a rien d’anormal dans la vie d’un rapport administratif ; elle invite simplement à citer chaque source pour ce qu’elle dit, sans les confondre.

Sur les faits, vie-publique.fr écrit qu’entre mai et août 2026, des actes malveillants observés sur le système d’information de la DGFiP auraient conduit au vol de données de 353 000 particuliers et de 252 000 professionnels (voir la synthèse de vie-publique.fr). Le chiffre qui concerne les entreprises est donc celui de 252 000 professionnels. Il s’agit, d’après la source, de données volées, c’est-à-dire exfiltrées, et non de données simplement consultées ou altérées. Pour une entreprise, cette distinction compte : une donnée fiscale exfiltrée peut resservir des mois plus tard, notamment pour des tentatives d’escroquerie ciblée, alors même que les systèmes de l’entreprise elle-même n’auraient jamais été compromis.

Le point de départ public de l’affaire est daté avec précision : le 12 août 2026, un vol de données de la plateforme impots.gouv.fr, placée sous la responsabilité de la DGFiP, aurait été revendiqué sur un forum en ligne (voir la synthèse de vie-publique.fr). Deux précautions de langage s’imposent ici, et l’article les respectera jusqu’au bout. D’abord, une revendication publiée sur un forum en ligne n’est pas, à elle seule, une preuve : c’est le rapport d’investigation postérieur qui permet de parler d’actes malveillants observés et de données volées. Ensuite, le fait que la plateforme soit placée sous la responsabilité de la DGFiP ne dit rien, à ce stade, des responsabilités des acteurs privés de la chaîne : cabinets, prestataires et éditeurs ne sont ni mis en cause ni mis hors de cause par ces constats, et leurs obligations doivent être examinées contrat par contrat.

Le rapport éclaire enfin les mécanismes. L’ANSSI relève, selon vie-publique.fr, le nombre de comptes pour lesquels l’attaquant disposerait de couples identifiant et mot de passe (voir la synthèse de vie-publique.fr), tout en notant que le processus de réinitialisation des mots de passe de la DGFiP en cas de compromission détectée présenterait des faiblesses. Autrement dit, la compromission initiale reposerait au moins en partie sur des identifiants valides, et non sur une effraction spectaculaire des systèmes centraux. Pour les entreprises, l’enseignement est immédiat : la sécurité des accès de leurs propres collaborateurs et de leurs prestataires aux espaces fiscaux en ligne fait partie du périmètre à vérifier en priorité. Toujours selon la synthèse du rapport, une segmentation réseau jugée trop permissive pour restreindre les accès aux seules populations et zones logiques en ayant besoin (voir la synthèse de vie-publique.fr), plusieurs accès illégitimes provenant du réseau interministériel à partir de localisations sans besoin apparent d’accéder aux infrastructures de la DGFiP. Et, constat qui devrait faire réfléchir toute direction des systèmes d’information : aucune de ces exfiltrations n’aurait été détectée, ni par les moyens de supervision de la DGFiP ni par ceux de l’ANSSI (voir la synthèse de vie-publique.fr). Si une administration dotée de moyens de supervision conséquents n’a pas détecté des exfiltrations s’étalant sur plusieurs mois, aucune entreprise ne peut se contenter de supposer que ses propres journaux auraient parlé.

L’ANSSI résume elle-même la cause d’ensemble en indiquant que une compromission présentée comme la conséquence de l’exploitation de faiblesses dans trois domaines (voir le communiqué de l’ANSSI), et annonce qu’un plan d’action tenant compte des défaillances exploitées aurait été défini avec la DGFiP (voir le communiqué de l’ANSSI). Le rapport identifie également, selon le communiqué, des améliorations à apporter aux capacités de détection et à la coordination interministérielle. Pour les lecteurs entreprises, le message utile tient en une phrase : la défaillance décrite est une combinaison de faiblesses ordinaires — identifiants, segmentation, détection — et non un scénario exotique ; c’est exactement le type de combinaison que leurs propres contrats de prestations informatiques sont censés prévenir.

B. Ce que ces constats changent, et ne changent pas, pour une entreprise

Le premier réflexe d’une entreprise qui apprend que 252 000 professionnels seraient concernés devrait être de se demander si elle figure parmi eux, et avec quelles données. À la date de rédaction du présent article, aucune liste publique de contribuables concernés n’est établie par les sources citées, et le rapport ne désigne nommément aucune entreprise privée. Il serait donc imprudent d’affirmer qu’une entreprise déterminée aurait été visée, comme il serait imprudent d’affirmer qu’elle ne l’aurait pas été. La bonne position est celle de l’exposition possible : toute entreprise qui déclare, consulte ou fait déclarer en ligne des données fiscales professionnelles entre mai et août 2026 devrait se considérer comme potentiellement concernée et agir en conséquence, sans attendre une notification individuelle qui pourrait ne jamais venir sous cette forme.

Cette prudence est aussi une exigence juridique. Les informations fiscales sont couvertes par le secret professionnel : l’article L. 103 du livre des procédures fiscales dispose que « L’obligation du secret professionnel, telle qu’elle est définie aux articles 226-13 et 226-14 du code pénal, s’applique à toutes les personnes appelées à l’occasion de leurs fonctions ou attributions à intervenir dans l’assiette, le contrôle, le recouvrement ou le contentieux des impôts », et que « Le secret s’étend à toutes les informations recueillies à l’occasion de ces opérations ». Symétriquement, l’article 226-13 du code pénal punit d’« un an d’emprisonnement et de 15 000 euros d’amende » « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire ». Ces textes visent d’abord les personnes publiques et leurs agents, mais ils irriguent toute la chaîne : un cabinet, un prestataire ou un éditeur qui détiendrait des données fiscales pour le compte d’un client serait, selon les cas, tenu par son contrat et par le droit des données personnelles à une confidentialité au moins aussi stricte, et toute communication publique sur des données identifiantes devrait être pesée avec un avocat avant d’être faite.

Deuxième point de méthode : distinguer les rôles au regard du droit des données personnelles. Sur la plateforme impots.gouv.fr, c’est la DGFiP qui est responsable du traitement litigieux, et c’est donc à elle qu’il appartiendrait, le cas échéant, de notifier l’autorité de contrôle et d’informer les personnes concernées selon les articles 33 et 34 du règlement général sur la protection des données. L’entreprise cliente n’a pas, en principe, à notifier à la CNIL une violation survenue sur les systèmes de l’administration à la place de celle-ci. En revanche, si des données personnelles de ses propres salariés, clients ou prospects, qu’elle traite sur ses propres systèmes, avaient été exposées — par exemple parce qu’un poste interne, une messagerie ou un applicatif connecté aurait été compromis dans le même temps —, alors ses propres obligations de responsable du traitement pourraient se déclencher. Le règlement est explicite sur le principe : en cas de violation de données à caractère personnel, le responsable du traitement doit notifier cette violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Et lorsque la violation serait susceptible d’engendrer un risque élevé, le responsable du traitement doit communiquer la violation à la personne concernée dans les meilleurs délais. La question que chaque entreprise doit trancher dans les prochains jours n’est donc pas faut-il notifier pour la DGFiP, mais la question de savoir si ses propres traitements ont été touchés, directement ou via ses prestataires.

Troisième point : ne pas confondre la crise de la plateforme publique avec une défaillance de ses propres prestataires. Il serait tentant, pour une entreprise, de suspendre les paiements de son cabinet ou de son éditeur au motif que les données fiscales auraient fuité. Ce serait juridiquement fragile : le manquement éventuel de l’administration n’établit, à lui seul, ni une inexécution du cabinet ni une inexécution de l’éditeur. Les contrats en cours continuent de s’appliquer, car « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». Toute suspension ou résiliation devrait donc reposer sur un manquement propre du cocontractant, constaté et prouvé, et non sur la seule existence du rapport de l’ANSSI. Inversement, un cabinet ou un éditeur ne pourrait pas se retrancher derrière le rapport pour s’exonérer de ses propres obligations de sécurité et d’information : chaque maillon répond de son propre segment de la chaîne.

II. La carte des décisions, maillon par maillon

Le rapport décrit une défaillance en amont, sur une plateforme publique. Mais ses effets se propagent en aval, vers des relations contractuelles privées : entreprise et cabinet, entreprise et éditeur, cabinet et sous-traitants. Chaque maillon détient une partie des preuves et doit prendre des décisions différentes. La carte qui suit distingue ces trois positions sans les confondre.

A. L’entreprise contribuable : vérifier l’exposition, figer les preuves, trier les obligations

La première décision appartient à l’entreprise elle-même, et elle est interne : vérifier si et comment elle aurait pu être exposée. Concrètement, cela signifie recenser, avec l’aide de sa fonction informatique ou de son prestataire, tous les accès à ses espaces fiscaux en ligne — comptes des dirigeants, habilitations des collaborateurs, accès délégués au cabinet, jetons et certificats des logiciels de télédéclaration — et vérifier les journaux de connexion disponibles sur la période de mai à août 2026. Toute anomalie — connexion depuis une localisation inhabituelle, modification d’un relevé d’identité bancaire de remboursement, changement d’adresse électronique de contact, création d’un accès inconnu — devrait être consignée par écrit, datée et conservée. En droit français de la preuve, « Celui qui réclame l’exécution d’une obligation doit la prouver » et, réciproquement, « celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation ». L’entreprise qui devrait, demain, discuter avec son assureur, son banquier ou son prestataire, ne pourra le faire utilement que pièces en main : relevés de connexions, copies des paramétrages, courriers échangés avec l’administration, attestations de ses prestataires.

La deuxième décision est technique et urgente : renouveler les secrets d’accès. Le rapport soulignant le rôle des couples identifiant et mot de passe, toute entreprise avisée réinitialiserait sans délai les mots de passe de ses espaces fiscaux, révoquerait les habilitations devenues inutiles — notamment celles d’anciens collaborateurs ou d’anciens prestataires — et vérifierait l’activation de l’authentification renforcée partout où elle est proposée. Cette mesure, peu coûteuse, aurait aussi une vertu probatoire : elle établirait, en cas de litige ultérieur, que l’entreprise s’est comportée en gestionnaire diligent dès la publication du rapport, ce que les assureurs comme les juges regardent de près.

La troisième décision est déclarative, et elle doit être triée avec soin. Si l’entreprise constate une violation sur ses propres systèmes ou sur des traitements dont elle est responsable — par exemple des données de salariés ou de clients exfiltrées via une messagerie ou un applicatif connecté —, elle devrait appliquer la mécanique des articles 33 et 34 du RGPD : notification à l’autorité de contrôle dans les meilleurs délais et si possible sous 72 heures, information des personnes concernées en cas de risque élevé, et en tout état de cause documentation interne. Le règlement impose en effet au responsable du traitement de documenter toute violation, en y consignant les faits, leurs effets et les mesures prises pour y remédier. En revanche, pour la violation survenue sur les systèmes de la DGFiP elle-même, l’entreprise n’est ni responsable du traitement ni sous-traitante de l’administration : elle n’a pas à se substituer à elle, mais elle peut utilement conserver la preuve qu’elle a surveillé la situation et informé, en interne et le cas échéant ses propres personnes concernées, des mesures de vigilance prises.

La quatrième décision concerne les tiers : banque, assureur cyber le cas échéant, et interlocuteurs fiscaux. L’entreprise qui aurait souscrit une assurance contre les risques numériques devrait déclarer l’incident à son assureur dans les délais du contrat, en joignant les premiers éléments de preuve, sans attendre que le préjudice soit chiffré : une déclaration conservatoire, présentée comme telle, vaut presque toujours mieux qu’une déclaration tardive. Auprès de sa banque, la vigilance porterait sur les changements de coordonnées bancaires enregistrés auprès de l’administration et sur les demandes de remboursement inhabituelles. Auprès de l’administration fiscale elle-même, l’entreprise qui constaterait une anomalie sur son dossier — avis inattendu, modification non sollicitée, remboursement détourné — devrait la signaler par écrit et en conserver la preuve, car c’est cet écrit qui établirait, plus tard, la date à laquelle elle a agi.

Enfin, l’entreprise devrait organiser sa vigilance contre l’effet domino le plus prévisible : l’utilisation frauduleuse des données volées pour des escroqueries ciblées. Des interlocuteurs se présentant comme l’administration, le cabinet ou l’éditeur pourraient tenter d’obtenir des virements, des identifiants ou des documents. La parade est organisationnelle : rappeler par écrit aux équipes qu’aucun changement de coordonnées bancaires et aucun versement ne s’exécute sur simple appel ou courriel, même paraissant provenir d’un expéditeur connu ; vérifier tout message inhabituel par un canal indépendant ; consigner les tentatives. Ces mesures relèvent du bon sens, mais leur formalisation écrite ferait, là encore, la différence entre une entreprise qui subit et une entreprise qui prouve sa diligence.

B. Cabinets, prestataires et éditeurs : informer sans affirmer, tracer, et régler le sort des contrats

Le deuxième maillon de la chaîne est le cabinet — expert-comptable, avocat fiscaliste, prestataire de paie ou de télédéclaration — qui traite les données fiscales pour le compte de ses clients. Sa première obligation est contractuelle et déontologique : informer ses clients de la publication du rapport, de ce qu’il établit et de ce qu’il n’établit pas, et leur proposer des mesures concrètes de vérification. Cette information devrait être écrite, datée et mesurée : rappeler les faits établis par les sources officielles, indiquer les vérifications que le cabinet a lui-même menées sur ses propres systèmes, et proposer un plan d’action, sans jamais affirmer qu’un client déterminé aurait été compromis ni qu’aucun ne l’aurait été. Le cabinet qui affirmerait sans preuve s’exposerait ; celui qui tairait ce qu’il sait s’exposerait davantage. La voie étroite est celle de la transparence documentée.

Sur le plan du droit des données personnelles, le cabinet est le plus souvent sous-traitant de son client pour les traitements fiscaux. Le règlement prévoit que le sous-traitant doit notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Concrètement, si le cabinet constatait une violation sur ses propres systèmes — poste compromis, accès anormal à l’applicatif de télédéclaration, exfiltration via sa messagerie —, il devrait en avertir ses clients responsables du traitement sans retard, en décrivant la nature de l’incident, ses conséquences probables et les mesures prises. Et en amont, le choix même de ses outils engagerait sa responsabilité professionnelle : le règlement n’autorise le responsable du traitement à faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le cabinet qui recourrait à son tour à des sous-traitants — hébergeur, éditeur, prestataire de maintenance — devrait vérifier qu’il ne les a pas recrutés sans l’autorisation requise et que les contrats en cascade prévoient les notifications et la coopération nécessaires.

Le troisième maillon est l’éditeur de logiciels ou le prestataire informatique dont les applicatifs sont connectés aux téléprocédures. Pour lui, le rapport de l’ANSSI est autant un signal d’alerte qu’un référentiel de diligence : revoir la gestion des identifiants et des habilitations, resserrer la segmentation des accès, vérifier que les sessions d’exfiltration seraient détectées par corrélation de plusieurs paramètres — autant de mesures dont le rapport montre qu’elles auraient pu permettre la détection ou la prévention des actes observés sur la plateforme publique. L’éditeur avisé documenterait les vérifications menées, les correctifs déployés et les informations transmises à ses clients, car cette documentation serait, en cas de mise en cause, la preuve de sa diligence.

Reste la question que chaque maillon se posera : peut-on suspendre, retenir ou résilier un contrat en cours à raison de cette crise ? Le droit commun des contrats appelle ici à la rigueur. D’abord, l’exception d’inexécution permet à une partie, aux conditions de l’article 1219 du code civil, de « refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave ». Une entreprise cliente ne pourrait donc suspendre ses paiements envers son cabinet ou son éditeur qu’en établissant une inexécution propre de celui-ci, suffisamment grave, et non sur le seul fondement du rapport visant l’administration. La jurisprudence illustre l’exigence de preuve : par arrêt du 3 juillet 2025, la cour d’appel d’Aix-en-Provence, statuant sur un contrat de développement informatique, a jugé qu’une société cliente était fondée à se prévoir de l’exception d’inexécution, jugeant la société cliente fondée à se prévaloir de l’exception d’inexécution et déboutant le prestataire de sa demande en paiement (arrêt lu intégralement). Mais le même arrêt déboute la société de ses demandes de dommages et intérêts faute de preuve du préjudice commercial, rappelant que l’exception fait échec au paiement sans pour autant dispenser de prouver le dommage si l’on réclame davantage.

Ensuite, si un contrat devait être résilié avant son terme, le prix ne serait dû qu’à la mesure de l’exécution réelle. La Cour de cassation l’a rappelé le 13 mai 2026, en matière de contrat de prestations à durée déterminée : « Il résulte de la combinaison de ces textes qu’en cas de résiliation anticipée d’un contrat à durée déterminée, le prix n’est dû qu’en cas d’exécution de la prestation convenue » (Cass. com., 13 mai 2026, n° 24-21.473, publié au Bulletin, arrêt lu intégralement). Le texte dont procède cette solution rappelle d’ailleurs que, « Lorsque les prestations échangées ont trouvé leur utilité au fur et à mesure de l’exécution réciproque du contrat, il n’y a pas lieu à restitution pour la période antérieure à la dernière prestation n’ayant pas reçu sa contrepartie ; dans ce cas, la résolution est qualifiée de résiliation ». Pour un cabinet ou un éditeur dont le client résilierait, l’enjeu serait donc de prouver, mois par mois ou livrable par livrable, ce qui a été exécuté ; pour le client, l’enjeu symétrique serait de ne payer que cette exécution réelle, sans préjudice d’éventuels dommages et intérêts si l’inexécution de l’obligation ou le retard dans l’exécution, au sens de l’article 1231-1 du code civil, étaient établis et non justifiés par la force majeure, le débiteur étant « condamné, s’il y a lieu, au paiement de dommages et intérêts » dans ces cas.

Face à l’enchevêtrement de ces questions — preuves à figer, notifications à trier, contrats à interpréter, recours à préserver —, les entreprises, cabinets et prestataires concernés peuvent utilement faire examiner leur situation contractuelle par des avocats en droit des affaires à Paris habitués aux chaînes de contrats et aux contentieux entre professionnels, afin d’ordonner les décisions avant que les délais ne les ordonnent à leur place.

Conclusion

Le rapport publié par l’ANSSI le 29 septembre 2026 et synthétisé par vie-publique.fr le 1er octobre 2026 établit des faits sérieux — des activités illégitimes observées entre mai et août 2026 sur les systèmes de la DGFiP, une revendication en ligne le 12 août 2026, des données volées concernant 252 000 professionnels — mais il ne désigne aucune entreprise privée et ne constate, à lui seul, ni une intrusion chez un cabinet ou un éditeur, ni un dommage financier acté, ni une responsabilité établie. Les entreprises qui se comporteraient dès maintenant en gestionnaires diligents — vérification des accès, renouvellement des secrets, preuves figées par écrit, obligations déclaratives triées, contrats relus avant toute suspension — traverseraient cette crise en limitant leurs risques et en préservant leurs recours. Les contrats signés priment sur toute analyse générale, et seul le juge, saisi des pièces de chaque dossier, dirait qui doit quoi à qui.