Octobre est le mois européen de la cybersécurité et les chiffres 2026 confirment ce que les dirigeants constatent sur le terrain : une part majeure des rançongiciels qui paralysent les PME françaises entre par un prestataire, un infogérant, un éditeur de logiciel métier ou un prestataire de sauvegarde. Un matin, les écrans affichent la demande de rançon, le logiciel de facturation est chiffré, la messagerie ne répond plus, le site de vente en ligne renvoie une page blanche à dix semaines des fêtes. Le réflexe consiste à appeler le prestataire en espérant un redémarrage rapide. Ce réflexe ne suffit pas. Chaque heure qui passe sans consignation des preuves, sans lecture du contrat d’infogérance et sans notification réglementaire réduit l’indemnisation future et expose la société à une sanction de la Commission nationale de l’informatique et des libertés pour notification tardive de la violation de données. Cet article décrit la méthode complète : sécuriser et consigner dans les premières heures, contraindre le prestataire à restaurer, notifier la Commission dans le délai de soixante-douze heures quand des données personnelles sont concernées, déposer plainte contre l’auteur de l’intrusion, chiffrer la perte d’exploitation et obtenir réparation en mobilisant les décisions les plus récentes, dont l’arrêt de la chambre commerciale du 13 novembre 2025 sur les clauses limitatives et l’arrêt de la cour d’appel de Versailles du 16 septembre 2026 sur un projet de site de vente en ligne défaillant. Le propos vise les sociétés dont le système a été chiffré à travers un accès de leur prestataire, avec des repères pratiques pour Paris et l’Île-de-France.
I. Contenir l’attaque et contraindre le prestataire à restaurer le système
A. Que faire dans les premières heures quand le système est chiffré via le prestataire ?
La première heure détermine la suite du dossier. Isoler les postes chiffrés du réseau sans les éteindre quand c’est possible, déconnecter les accès distants du prestataire, révoquer ses identifiants d’administration, figer les sauvegardes restantes en les déconnectant du réseau, photographier les messages de rançon avec l’heure visible, conserver les journaux de connexion : chaque geste compte deux fois, une fois pour limiter la propagation, une fois pour prouver. La tentation de payer la rançon doit être écartée comme premier réflexe : le paiement n’offre aucune garantie de déchiffrement, il finance une activité criminelle et il complique la position assurantielle quand la police d’assurance cyber exclut les paiements non autorisés. La tentation inverse, effacer et réinstaller dans l’urgence sans constat, détruit la preuve de la cause et du périmètre de l’intrusion.
Faire dresser un constat d’huissier, devenu commissaire de justice, dans la journée ou le lendemain matin constitue une dépense utile. Le procès-verbal décrit les écrans, les messages, les fichiers illisibles, les services arrêtés, les sauvegardes inaccessibles. Ce constat servira face au prestataire qui minimisera, face à l’assureur qui discutera la chronologie et face au juge qui exigera des faits datés. En parallèle, imposer au prestataire une cellule de crise écrite : exiger par courriel avec accusé de réception l’identification du point d’entrée, la liste des systèmes touchés, l’état des sauvegardes, le plan de restauration avec délais, le nom de l’interlocuteur unique. Les appels téléphoniques non confirmés par écrit s’évaporent. Tout engagement oral doit être reformulé par écrit le jour même.
Le contrat doit être relu avant la réunion de crise, pas après. Contrat-cadre, contrat d’infogérance, contrat de maintenance, conditions du logiciel, accords de niveau de service : y figurent l’objet exact de la supervision confiée au prestataire, les plages d’intervention, les temps de rétablissement promis, les obligations de sauvegarde et de test de restauration, les clauses de sécurité, les clauses d’audit, les clauses limitatives ou exclusives de réparation, la procédure d’escalade. Cette lecture commande la mise en demeure : viser les obligations précises, article par article, avec un délai de restauration exprimé en heures, et réserver par écrit l’ensemble des préjudices, y compris la perte d’exploitation. L’article 1217 du code civil énonce que « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » La suspension du paiement des redevances de maintenance pendant la panne entre dans cet arsenal, à condition d’être notifiée proprement et de rester proportionnée, car une suspension sauvage et totale expose à un litige symétrique sur les factures.
Quand le prestataire reste inerte, le créancier n’est pas condamné à attendre. L’article 1222 du code civil dispose que « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation ou, sur autorisation préalable du juge, détruire ce qui a été fait en violation de celle-ci. » Concrètement, mandater un second prestataire pour reconstruire l’infrastructure, racheter des licences, relouer des serveurs, reconstituer les données à partir des sauvegardes saines : ces dépenses, engagées à un coût raisonnable après mise en demeure restée vaine, seront réclamées au prestataire défaillant avec les factures à l’appui. Pour les mesures urgentes et irréversibles, le référé devant le président du tribunal judiciaire ou du tribunal de commerce permet de demander une expertise, la désignation d’un technicien indépendant, la conservation des journaux, voire une injonction de restaurer sous astreinte. L’assignation en référé se prépare avec le constat, le contrat, la mise en demeure et le chiffrage provisoire.
Le dépôt de plainte ne doit pas attendre la fin de la crise. L’article 323-1 du code pénal punit de la manière suivante : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » L’article 323-3 du code pénal ajoute que « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La plainte, déposée auprès du commissariat, de la gendarmerie ou directement auprès du procureur de la République, décrit le vecteur d’entrée par le prestataire, les systèmes chiffrés, les données exfiltrées quand l’analyse le montre, les demandes de rançon, les préjudices déjà visibles. Elle ouvre la possibilité de se constituer partie civile et elle pèse dans le dossier assurantiel. Les échanges avec l’attaquant, quand ils existent, sont conservés sans négociation improvisée : toute promesse faite à l’attaquant peut être exploitée contre la société.
Déclarer le sinistre aux assureurs dans les délais contractuels, souvent quarante-huit heures à cinq jours, conditionne la garantie. Police cyber quand elle existe, police perte d’exploitation, police responsabilité civile du prestataire qu’il faudra appeler en garantie : notifier par écrit à chacun, joindre le constat, la plainte, la mise en demeure, le plan de restauration. Un retard de déclaration fournit à l’assureur un motif de réduction ou de refus qu’il ne manquera pas d’invoquer. Les journaux, les sauvegardes, les factures du prestataire de secours, les relevés de chiffre d’affaires : le dossier d’indemnisation se constitue dès le premier jour, pas au moment de l’assignation.
B. Comment notifier la violation de données à la CNIL en 72 heures sans aggraver le dossier ?
Quand le rançongiciel a touché des fichiers comportant des noms, des coordonnées, des bulletins de paie, des dossiers clients, des données de santé ou des identifiants, la crise technique devient une violation de données personnelles au sens du règlement européen. La question n’est plus seulement de redémarrer, elle est de notifier. La Cour de cassation a jugé le 25 novembre 2020, pourvoi numéro 17-19.523, que « Les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, au sens de l’article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, de sorte que leur collecte par l’exploitation du fichier de journalisation constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés en application de l’article 23 de la loi précitée » (arrêt du 25 novembre 2020, n° 17-19.523). Dans un rançongiciel avec exfiltration, les journaux, les boîtes de messagerie et les bases clients contiennent massivement de telles données. Sous-estimer le périmètre personnel des fichiers chiffrés conduit à une notification incomplète que la Commission relèvera ensuite.
Le responsable du traitement, c’est-à-dire la société cliente dont les fichiers ont été chiffrés, notifie la violation à la Commission dans les soixante-douze heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les droits des personnes. Le prestataire qui héberge ou supervise le système agit le plus souvent comme sous-traitant : il doit alerter le responsable sans retard indu après avoir constaté la violation et lui fournir les éléments nécessaires à la notification. Imposer contractuellement au prestataire une alerte sous vingt-quatre heures avec description du périmètre, du nombre approximatif de personnes concernées, des catégories de données et des mesures prises transforme une obligation abstraite en échéance opposable. Quand le contrat ne prévoit rien, la mise en demeure doit exiger ces éléments immédiatement, car le délai de soixante-douze heures court contre le responsable même quand le prestataire tarde à transmettre.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées. Une notification peut être complétée par étapes quand l’investigation n’est pas terminée : mieux vaut une première notification dans le délai, qualifiée d’initiale, qu’une notification complète mais hors délai. Quand le risque pour les personnes est élevé, par exemple diffusion d’identifiants, de données bancaires ou de données de santé, les personnes concernées doivent être informées dans un langage clair, avec la nature de l’incident, ses conséquences possibles et les mesures à prendre. Documenter chaque décision, y compris la décision de ne pas notifier quand le risque paraît nul, dans le registre des violations : ce registre sera la première pièce demandée en cas de contrôle.
En parallèle, les clients et partenaires dont les données ont été exposées doivent être informés avec mesure : exposer les faits établis, les mesures de confinement, les précautions recommandées, le contact dédié, sans reconnaître une faute ni promettre une indemnisation automatique. Les notifications individuelles mentionnent les faits, pas les hypothèses. Les constats internes distinguent ce qui est établi, ce qui est probable et ce qui reste inconnu. Cette discipline protège deux fois : elle limite la sanction administrative en démontrant une gestion diligente, et elle évite que des courriers alarmistes ne deviennent des pièces adverses dans les actions indemnitaires ultérieures.
Le manquement du prestataire aux obligations de sécurité du contrat et aux règles de l’art nourrit à la fois l’action contractuelle et la démonstration de diligence du responsable devant la Commission : journalisation conservée et inexploitable, correctifs non appliqués, comptes d’administration partagés, absence de double authentification sur l’accès distant, sauvegardes connectées en permanence et chiffrées avec le reste, tests de restauration jamais effectués. Chaque manquement doit être rattaché à une clause ou à un standard identifiable, avec date et preuve. Les rapports d’audit antérieurs qui recommandaient déjà ces mesures, quand ils existent, établissent la prévisibilité de l’incident et rendent vaine la plaidoirie de la fatalité.
II. Obtenir réparation : perte d’exploitation, clauses limitatives et preuves
A. Comment chiffrer la perte d’exploitation et prouver le lien avec la panne ?
La perte d’exploitation se prouve comme un préjudice commercial ordinaire, avec des pièces comptables et non avec des affirmations. L’article 1231-1 du code civil pose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le prestataire invoquera presque systématiquement la force majeure cyber, l’attaque d’un tiers, l’éditeur, l’hébergeur. Cette défense échoue quand l’intrusion est entrée par un accès distant mal sécurisé, un correctif connu non déployé ou une sauvegarde non isolée : un événement prévisible et évitable par les règles de l’art ne constitue pas une force majeure. L’expertise technique indépendante, ordonnée en référé ou diligentée amiablement, décrit le vecteur d’entrée, les manquements aux bonnes pratiques et le lien entre ces manquements et la paralysie.
Le chiffrage distingue les pertes subies et les gains manqués. Pertes subies : chiffre d’affaires perdu pendant l’arrêt, commandes annulées et remboursées, pénalités versées aux propres clients de la société, coûts de reconstitution, honoraires du prestataire de secours, locations d’équipements, heures supplémentaires, frais de communication de crise, frais de constat et d’expertise. Gains manqués : marge sur les contrats qui auraient été conclus, saisonnalité des fêtes de fin d’année pour les commerces en ligne, campagnes publicitaires payées pour un site indisponible. Chaque poste s’appuie sur une pièce : balances comptables des trois derniers exercices, relevés bancaires, journaux de commandes, contrats résiliés avec leurs pénalités, factures du secours, attestations de clients perdus. Un tableau unique, poste par poste, avec la pièce numérotée en face de chaque montant, vaut mieux qu’un rapport narratif.
La prévisibilité borne l’indemnisation. L’article 1231-3 du code civil limite en ces termes : « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » Déclarer au prestataire, dès la négociation, le chiffre d’affaires journalier dépendant du système, les pics saisonniers, les pénalités encourues envers les propres clients, et faire figurer ces éléments dans le contrat ou ses annexes, transforme une perte d’exploitation contestée en préjudice prévu. À défaut, les échanges précontractuels, les propositions commerciales mentionnant les volumes, les audits qui chiffrent l’activité hébergée établissent que le prestataire connaissait l’enjeu. L’article 1231-4 du code civil ajoute que « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution. » Le lien direct entre la panne et chaque poste doit donc être démontré : une commande perdue trois mois après le redémarrage, sans preuve du lien, sera écartée, tandis qu’une commande annulée pendant l’arrêt avec le courriel du client qui invoque l’indisponibilité sera retenue.
L’actualité juridictionnelle récente illustre l’exigence probatoire sur les projets numériques. Le 16 septembre 2026, la cour d’appel de Versailles a statué dans un litige opposant une agence de communication chargée de la refonte d’un site de vente en ligne pour un groupe de bijouteries à son client, sur devis acceptés en août 2020 pour un site et un interfaçage avec le progiciel de gestion, arrêt numéro de répertoire général 23/07893. Sans reprendre ici l’intégralité de ses motifs, l’intérêt pratique tient à la méthode : devis acceptés, périmètre d’interfaçage avec un tiers, planning, recettes, réserves écrites, mises en demeure. Les sociétés qui documentent l’avancement par écrit obtiennent l’expertise et l’indemnisation ; celles qui se contentent d’appels et de messages informels perdent sur la preuve. Pour une boutique en ligne paralysée par un rançongiciel à l’approche des fêtes, la même discipline s’impose : captures du site indisponible, journaux de commandes interrompues, attestations des clients, relevés du prestataire de paiement, comparatifs de chiffre d’affaires à période comparable.
La prescription ne doit pas endormir le dossier. L’article L110-4 du code de commerce prévoit que « I.-Les obligations nées à l’occasion de leur commerce entre commerçants ou entre commerçants et non-commerçants se prescrivent par cinq ans si elles ne sont pas soumises à des prescriptions spéciales plus courtes. » Cinq ans paraissent longs, mais les preuves techniques se dégradent en quelques mois : journaux écrasés, sauvegardes réécrites, prestataire qui change d’équipe. Agir dans les premières semaines par la mise en demeure, l’expertise en référé et l’assignation au fond quand la négociation échoue préserve les droits et la preuve. Les échanges transactionnels interrompent-ils la prescription ? Seule une reconnaissance écrite de responsabilité ou une assignation la sécurise : les pourparlers polis ne suffisent pas.
B. Comment neutraliser la clause limitative et agir vite, y compris à Paris ?
Presque tous les contrats informatiques plafonnent la réparation, souvent à douze mois de redevances, et excluent les préjudices indirects dont la perte d’exploitation. Deux leviers permettent de dépasser ce plafond. Le premier tient à la faute lourde ou dolosive, qui prive d’effet la clause limitative : absence de correctif critique connu depuis des mois, accès d’administration sans double authentification, sauvegardes jamais testées malgré des alertes écrites, journalisation désactivée. Le second tient à la rédaction même de la clause : une clause qui vide l’obligation essentielle de sa substance ou qui crée un déséquilibre significatif dans un contrat d’adhésion peut être réputée non écrite. L’article 1171 du code civil dispose que « Dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties au contrat est réputée non écrite. » Les conditions générales imposées sans négociation effective par un prestataire en position de force entrent dans ce contrôle, sans que le juge puisse toucher à l’objet principal ni à l’adéquation du prix.
L’arrêt le plus important de l’année sur ce point concerne un éditeur de logiciels. Le 13 novembre 2025, la chambre commerciale, financière et économique de la Cour de cassation a statué sur pourvoi numéro 22-22.225 dans un litige opposant un éditeur informatique à un groupe industriel client, après des contrats de prestations informatiques conclus entre mai 2010 et février 2012 comportant une clause limitative de responsabilité (arrêt du 13 novembre 2025, n° 22-22.225). La cour d’appel de Paris avait jugé que « les clauses limitatives de responsabilité figurant dans les contrats litigieux ne peuvent recevoir application dans la mesure où ces contrats sont anéantis » par la résolution. La Cour de cassation censure cette analyse et rappelle la solution applicable : en cas de résolution pour inexécution, les clauses limitatives de réparation demeurent applicables, et elle casse en précisant qu’elle « CASSE ET ANNULE, mais seulement en ce que, infirmant le jugement, il condamne la société Oracle France à payer aux sociétés Gravotech Marking et Gravotech Inc. les sommes de 2 057 000 euros au titre des pertes subies et 1 498 400 euros au titre des gains manqués ». La leçon pratique est double : la résolution ne fait pas disparaître le plafond, donc le client doit attaquer le plafond lui-même par la faute lourde ou le déséquilibre significatif, et il doit chiffrer chaque poste comme une suite directe de l’inexécution pour survivre à l’application du plafond.
La stratégie procédurale combine alors trois étages. D’abord, la mise en demeure détaillée qui vise les manquements, exige la restauration sous délai, réserve la perte d’exploitation et dénonce la clause limitative en visant les faits de faute lourde allégués. Ensuite, le référé-expertise qui fige la preuve technique et comptable avant toute discussion sur le plafond : sans rapport d’expert décrivant les manquements, la faute lourde reste une affirmation. Enfin, l’assignation au fond qui demande à titre principal l’écart de la clause et la réparation intégrale, et à titre subsidiaire l’application du plafond avec le chiffrage maximal à l’intérieur de ce plafond. Cette présentation subsidiaire évite le tout ou rien : quand le tribunal maintient le plafond, le client obtient au moins le plafond chiffré au lieu d’un rejet global.
À Paris et en Île-de-France, le circuit procédural présente des repères concrets. Les litiges entre commerçants relèvent du tribunal de commerce de Paris, les litiges mixtes ou les demandes d’expertise urgentes du tribunal judiciaire de Paris, la plainte pénale du commissariat local ou du parquet de Paris avec constitution de partie civile, la notification des violations de données de la Commission dont le siège se trouve à Paris. Les sociétés franciliennes centralisent souvent leur hébergement chez un prestataire parisien ou de la petite couronne : prévoir dans le contrat une clause attributive de juridiction au profit du tribunal de commerce de Paris, organiser l’expertise sur site avec un technicien indépendant disponible rapidement, conserver les pièces comptables auprès de l’expert-comptable parisien pour répondre aux demandes du juge des référés. Les délais parisiens de référé permettent d’obtenir une expertise en quelques semaines quand le dossier est documenté ; un dossier approximatif sera renvoyé à une mise en état et perdra six mois.
Le dossier de preuves doit être tenu comme un dossier contentieux dès le premier jour : contrat signé et ses versions successives, propositions commerciales avec les volumes déclarés, échanges écrits avec le prestataire, mises en demeure avec accusés de réception, constat du commissaire de justice, dépôt de plainte et récépissé, notifications aux assureurs, notification à la Commission et accusés, registre des violations, rapports d’expertise, balances comptables, factures du prestataire de secours, tableau de chiffrage poste par poste. Chaque affirmation de l’assignation renvoie à une pièce numérotée. Les pièces adverses manquantes, journaux détenus par le prestataire, rapports de supervision, tickets d’incident, se réclament en référé ou en vertu des injonctions de communiquer du juge de la mise en état. Une société qui présente un dossier complet obtient une provision ; une société qui présente des estimations sans pièces obtient un renvoi.
Conclusion
Une cyberattaque entrée par le prestataire informatique ne se gère ni comme une simple panne ni comme une fatalité technique. Isoler et consigner dans les premières heures, imposer au prestataire un plan de restauration écrit sous mise en demeure, recourir au prestataire de secours à un coût raisonnable, déposer plainte sur le fondement des articles 323-1 et 323-3 du code pénal, déclarer le sinistre aux assureurs, notifier la violation de données dans les soixante-douze heures quand des données personnelles sont en cause : chaque étape conditionne l’indemnisation. La réparation de la perte d’exploitation exige un chiffrage poste par poste adossé aux pièces comptables, rattaché aux manquements précis du prestataire et présenté comme une suite directe de l’inexécution au sens des articles 1231-1, 1231-3 et 1231-4 du code civil. La clause limitative ne disparaît pas avec la résolution du contrat, comme le rappelle l’arrêt du 13 novembre 2025, mais elle cède devant la faute lourde démontrée par l’expertise et devant le déséquilibre significatif de l’article 1171. Pour les sociétés franciliennes dont l’activité dépend d’un système hébergé, anticiper vaut mieux que réparer : clause d’alerte sous vingt-quatre heures, sauvegardes isolées et testées, volumes d’activité déclarés au contrat, juridiction parisienne stipulée. Avec ce dossier, la société subit l’attaque mais ne subit pas le contentieux.
Maillage utile : quand le prestataire cesse toute réponse après la mise en demeure, la situation rejoint celle du fournisseur qui ne livre plus à l’approche des fêtes, dont la méthode de mise en demeure, de remplacement à un coût raisonnable et de chiffrage des pénalités s’applique point par point.