Le 5 octobre 2026, le magazine des professionnels d’Orange rappelait que les répercussions d’une cyberattaque dépassent le simple incident technique et peuvent fragiliser l’ensemble de l’entreprise de manière immédiate et durable. Le cas le plus redouté n’est plus l’attaque qui vise directement l’entreprise : c’est celle qui passe par son prestataire informatique, son hébergeur, son éditeur de logiciel de gestion ou son infogéreur, puis se propage en cascade aux entreprises clientes, à leurs propres clients et à leurs sous-traitants. Le Club des experts de la sécurité de l’information et du numérique (CESIN) décrit précisément cet angle mort : quand le fournisseur d’un fournisseur est attaqué, l’entreprise cliente n’a souvent aucun levier contractuel pour agir, avec à la clé une remontée d’informations tardive, une crise difficile à piloter et des impacts démultipliés. Quand la panne ou la compromission du prestataire bloque la facturation, la caisse, la messagerie ou l’accès aux dossiers, chaque maillon de la chaîne doit décider vite : quelles preuves figer, qui prévenir, faut-il continuer à payer, suspendre ou rompre, et contre qui se retourner. La réponse tient en quatre gestes : conserver immédiatement toute trace écrite de l’incident et des échanges avec le prestataire, le mettre en demeure par écrit avant toute sanction, vérifier les obligations de notification en matière de données personnelles dans un délai maximal de 72 heures, et ne suspendre ni ne rompre le contrat qu’en respectant les conditions légales, car une rupture ou un impayé mal fondé se retourne contre son auteur. À la date de rédaction, cet article ne vise aucune entreprise déterminée : aucun incident, aucune intrusion ni aucun dommage constaté par une source officielle n’est affirmé ici, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide en cas de litige.
I. De l’attaque du prestataire à la crise de ses clients : comprendre la cascade
A. Le signal d’octobre 2026 et le mécanisme de propagation
Le dossier publié le 5 octobre 2026 par Orange Pro sur les conséquences d’une cyberattaque pour l’entreprise décrit une interruption ou une dégradation de l’activité, des pertes financières et la perte ou le vol de données comme les trois conséquences directes d’une attaque. L’ANSSI, dans son guide pour anticiper et gérer une crise cyber, donne le cadre officiel de cette propagation : l’impact potentiellement systémique d’une cyberattaque impose de prendre en compte tout l’écosystème de l’organisation, tiers, partenaires, fournisseurs et même acteurs du même secteur, dans la démarche de résilience et de gestion de crise. L’agence recommande de s’assurer de l’existence d’un plan de continuité d’activité robuste aux cyberattaques et d’un plan de reprise d’activité, et de contractualiser au besoin des prestations de réponse à incident ainsi qu’une assurance cyber. Pour l’entreprise cliente d’un prestataire compromis, ces trois phrases fixent le programme : penser en écosystème et pas en silo, disposer d’un plan de continuité qui prévoit la défaillance du prestataire lui-même, et contractualiser à l’avance la réponse à incident au lieu de l’improviser sous pression. Celles qui ont anticipé ce scénario dans leurs contrats traversent la crise en appliquant une procédure ; les autres la découvrent en même temps qu’elles la subissent.
Le même dossier pointe le secteur des technologies et des télécommunications : ces entreprises détiennent des brevets d’innovation et des secrets industriels et gèrent les infrastructures réseau de milliers de clients, de sorte que les pirater permet d’accéder aux données d’un grand nombre d’autres structures. Autrement dit, le prestataire informatique concentre le risque : une seule compromission chez lui ouvre l’accès aux systèmes et aux données de dizaines ou de centaines d’entreprises clientes, qui découvrent la crise par ricochet, sans en être à l’origine.
Le Le CESIN, club des experts de la sécurité de l’information et du numérique, ajoute que les chaînes de sous-traitance « s’étendent désormais sur plusieurs niveaux » et appelle à « une véritable gouvernance des risques fournisseurs », car, selon son président Fabrice Bru, la cybersécurité ne s’arrête pas au premier cercle contractuel. Concrètement, la cascade suit presque toujours le même chemin. Premier maillon : le prestataire commun, hébergeur, éditeur de logiciel de caisse ou de comptabilité, prestataire de messagerie ou de sauvegarde, dont les serveurs sont chiffrés, coupés ou exfiltrés. Deuxième maillon : ses entreprises clientes, commerces, cabinets, PME industrielles ou de services, qui perdent d’un coup leur outil de facturation, leur planning, leur messagerie ou l’accès à leurs dossiers. Troisième maillon : les propres clients, fournisseurs et sous-traitants de ces entreprises, qui subissent retards de livraison, factures impayées ou données exposées sans avoir aucun contrat avec le prestataire à l’origine de la crise. Chaque niveau se pose alors la même question avec un contrat différent : que puis-je exiger, et de qui.
La propagation ne s’arrête pas aux systèmes informatiques : elle atteint les engagements que l’entreprise cliente a elle-même souscrits envers ses propres clients. Un commerçant dont la caisse est bloquée ne peut plus encaisser ni facturer, un cabinet dont la messagerie est coupée manque des délais, une PME dont le logiciel de production est chiffré retarde ses livraisons. Chacun de ces manquements en aval peut à son tour être invoqué par le client final contre l’entreprise intermédiaire, qui se retrouve prise entre un prestataire défaillant en amont et des clients mécontents en aval, sans faute propre de sa part. C’est précisément pour ce cas de figure que la préparation contractuelle compte : le CESIN appelle à une gouvernance des risques fournisseurs incluant des standards de sécurité et une remontée d’information rapide, et l’entreprise avisée traduit ces exigences dans ses contrats, avec des clauses de continuité, de sauvegarde externalisée, de délai de rétablissement et de pénalités, ainsi qu’une police d’assurance couvrant les pertes d’exploitation liées à un incident chez un tiers. Relire ces clauses au calme, avant toute crise, fait gagner les heures qui manquent toujours quand la panne survient.
B. Qui détient quelle preuve : la carte des traces à figer
Dans une crise en cascade, la preuve se joue dans les premières heures, et chaque acteur ne détient qu’une partie des traces. Le prestataire détient les journaux techniques, les horodatages, les rapports d’intervention et la chronologie de la compromission : c’est à lui de les fournir, et c’est à l’entreprise cliente de les lui réclamer par écrit, avec une date et un contenu précis, plutôt que de se contenter d’un appel téléphonique dont il ne restera rien. L’entreprise cliente détient ses propres traces : le moment exact où la panne est apparue, les messages d’erreur, les échanges avec l’assistance du prestataire, les tickets d’incident, les bons de commande et les factures du contrat de maintenance ou d’hébergement. Les propres clients et sous-traitants de l’entreprise détiennent la preuve des conséquences : livraisons retardées, prestations annulées, règlements bloqués, correspondances qui établissent le lien entre la panne du prestataire et leur propre préjudice.
Cette répartition commande trois réflexes immédiats. D’abord, tout consigner par écrit et dater chaque constat : captures d’écran des messages d’erreur, enregistrement des appels à l’assistance avec l’heure et le nom de l’interlocuteur, conservation des courriels et des tickets. Ensuite, faire établir si nécessaire un constat par un commissaire de justice, en sachant qu’un constat tardif ou qui ne permet pas de vérifier les causes du dysfonctionnement perd une grande partie de sa valeur : la cour d’appel de Rennes l’a rappelé le 9 septembre 2025 dans une affaire opposant une société de restauration à son prestataire informatique, en écartant un procès-verbal de constat établi près de deux ans après les faits et qui ne permettait pas de vérifier les causes des dysfonctionnements, alors que le prestataire avait suspendu ses prestations faute de paiement. Enfin, adresser au prestataire une mise en demeure écrite, précise et datée, qui décrit les manquements constatés et fixe un délai raisonnable pour y remédier : sans cette mise en demeure préalable, une demande de dommages et intérêts pour inexécution peut être rejetée, comme cette même cour l’a jugé en l’espèce. La leçon est simple : celui qui ne signale pas par écrit, qui ne met pas en demeure et qui ne conserve pas les traces se prive lui-même des sanctions du contrat.
Au-delà des traces de l’incident lui-même, l’entreprise doit constituer dès les premiers jours le dossier de son préjudice : comptabilité des ventes perdues ou retardées, relevés des heures supplémentaires et des interventions d’urgence, factures du prestataire de secours, avoirs consentis aux clients pour préserver la relation, échanges avec l’assureur. Ce chiffrage progressif servira deux fois : d’abord pour calibrer la mise en demeure et les demandes adressées au prestataire, ensuite pour établir devant le juge le lien entre l’inexécution du prestataire et chaque poste de préjudice, car un préjudice allégué sans pièce est un préjudice perdu. Les entreprises clientes du même prestataire ont intérêt à conserver chacune leur propre dossier, sans attendre une action collective hypothétique : en matière contractuelle, chacun répond de son contrat et prouve son dommage.
II. Payer, suspendre ou rompre : les décisions encadrées par le contrat
A. Continuer le contrat sans se piéger : paiement, suspension et mise en demeure
Le premier réflexe d’une entreprise dont le prestataire est en panne est souvent de cesser de payer les factures ou les abonnements. Ce réflexe est dangereux, car l’article 1103 du Code civil dispose : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». Tant que le contrat n’est ni suspendu régulièrement ni résolu, l’obligation de payer subsiste, et le prestataire peut à son tour suspendre ses prestations faute de paiement, ce qui aggrave la crise au lieu de la résoudre. L’arrêt rennais du 9 septembre 2025 (n° RG 24/03931) l’illustre : la société cliente, qui invoquait des dysfonctionnements pour refuser de payer, a été condamnée à verser au prestataire 8 475,67 euros au titre des factures impayées, avec intérêts de retard, parce qu’elle n’avait ni signalé les dysfonctionnements au prestataire dans le cadre du contrat de maintenance, ni rapporté la preuve d’un manquement grave et du lien de causalité avec ses préjudices.
La suspension unilatérale du paiement n’est donc possible qu’à des conditions strictes. L’article 1219 du Code civil prévoit : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave ». Trois conditions cumulatives en découlent : une inexécution avérée du prestataire, une inexécution suffisamment grave, et une proportion entre la suspension décidée et le manquement subi. En pratique, l’entreprise cliente doit d’abord documenter la gravité, par exemple l’indisponibilité totale et prolongée de l’outil sans solution de contournement proposée, puis notifier sa suspension par écrit en visant le manquement. À défaut, elle s’expose à être elle-même considérée comme débitrice défaillante.
La mise en demeure mérite un soin particulier, car tout le contentieux ultérieur reposera sur elle. Elle doit identifier précisément le contrat et les obligations inexécutées, décrire les faits constatés avec leurs dates, rappeler les signalements déjà adressés et restés sans effet, fixer un délai raisonnable de remédiation adapté à la criticité de la panne, et mentionner expressément les sanctions envisagées à défaut d’exécution, suspension, remplacement par un tiers ou résolution. Son envoi doit être prouvable : lettre recommandée avec accusé de réception ou envoi électronique recommandé avec preuve de dépôt et de réception, conservés avec leur contenu exact. Une mise en demeure vague, adressée à un mauvais interlocuteur ou dont l’envoi ne peut pas être démontré équivaut en pratique à une absence de mise en demeure, avec les mêmes conséquences sur les sanctions du contrat. Et lorsque des données personnelles sont concernées par l’incident chez le prestataire, une autre contrainte s’ajoute : la CNIL rappelle que le responsable du traitement doit notifier cette violation à la CNIL au plus tôt, « dans un délai maximal de 72h », la notification devant intervenir dans les meilleurs délais et au plus tard dans les 72 heures après que le responsable du traitement en a pris connaissance. La CNIL consacre un dossier spécifique à la compromission de données chez un sous-traitant : l’entreprise cliente, responsable du traitement, ne peut pas se retrancher derrière son prestataire pour échapper à ses propres obligations de notification, de documentation et, le cas échéant, d’information des personnes concernées. Manquer ce délai expose l’entreprise à une sanction propre, indépendante du litige commercial avec le prestataire.
Quand le prestataire reste sourd à la mise en demeure, le droit offre une voie médiane entre l’attente passive et la rupture : le remplacement. L’article 1222 du Code civil prévoit qu’« Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation », et « Il peut demander au débiteur le remboursement des sommes engagées à cette fin ». Pour l’entreprise cliente, cela signifie qu’elle peut faire appel à un prestataire de secours pour rétablir l’urgence, par exemple une restauration de sauvegardes, une messagerie temporaire ou une caisse dégradée, puis en réclamer le coût au prestataire défaillant, à condition que le délai et le coût restent raisonnables et que la mise en demeure préalable soit établie. Cette faculté suppose toutefois de ne pas confondre remplacement d’urgence et résiliation déguisée : faire exécuter par un tiers ne met pas fin au contrat initial, et les factures du prestataire d’origine continuent de courir tant que le contrat n’est pas suspendu ou résolu régulièrement.
B. Rompre et chiffrer : résolution, force majeure, clauses et rupture brutale
Lorsque la confiance est rompue ou que l’outil reste durablement indisponible, l’entreprise envisage la résolution du contrat. L’article 1226 du Code civil autorise le créancier à « résoudre le contrat par voie de notification », mais « à ses risques et périls », et impose, sauf urgence, de mettre préalablement en demeure le débiteur défaillant dans un délai raisonnable, la mise en demeure devant mentionner expressément la faculté de résolution à défaut d’exécution. Le texte ajoute que le débiteur peut à tout moment saisir le juge pour contester la résolution, et que le créancier doit alors prouver la gravité de l’inexécution. Une résolution notifiée sans mise en demeure régulière, ou pour un manquement qui ne serait pas grave, peut donc être annulée par le juge, avec des dommages et intérêts à la charge de celui qui a rompu à tort.
Deux questions chiffrées se posent ensuite : le plafond contractuel et la cause d’exonération. Sur le plafond, la Cour de cassation a tranché le 13 novembre 2025 (chambre commerciale, pourvoi n° 22-22.225, arrêt n° 575 F-D, ECLI:FR:CCASS:2025:CO00575) dans un litige opposant un éditeur de logiciels à son client : les clauses limitatives de réparation des conséquences de l’inexécution demeurent applicables même en cas de résolution du contrat pour inexécution. Autrement dit, résoudre le contrat ne fait pas disparaître le plafond de responsabilité qu’il contient : l’entreprise cliente doit relire la clause avant de chiffrer ses prétentions, et vérifier aussi que le juge n’aura pas à relever d’office un fondement que les parties n’ont pas débattu, car la même décision sanctionne la violation du principe de la contradiction lorsque le juge retient d’office un moyen sans rouvrir les débats. Sur l’exonération, l’article 1231-1 du Code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Et l’article 1218 du même code définit la force majeure comme l’événement « échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées ». Une cyberattaque ne constitue donc pas automatiquement un cas de force majeure pour le prestataire : encore faut-il qu’elle ait été imprévisible et que ses effets aient été inévitables malgré des mesures de sécurité appropriées, ce que l’entreprise cliente peut discuter en examinant les audits, les sauvegardes et les obligations contractuelles de sécurité du prestataire. Symétriquement, l’entreprise cliente ne peut pas invoquer la panne de son prestataire comme une excuse automatique vis-à-vis de ses propres clients : elle doit démontrer les mêmes caractères d’imprévisibilité et d’irrésistibilité.
Reste la tentation de couper les ponts brutalement, avec le prestataire comme avec les partenaires fragilisés par la crise. L’article L. 442-1 du Code de commerce dispose qu’engage la responsabilité de son auteur « le fait, par toute personne exerçant des activités de production, de distribution ou de services de rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment de la durée de la relation commerciale ». La cour d’appel de Paris l’a appliqué le 29 octobre 2025 (pôle 5, chambre 4, n° RG 23/13289) en condamnant une société à payer 33 982 euros pour rupture brutale d’une relation commerciale établie sans préavis suffisant. Rompre sans préavis écrit suffisant, même en pleine crise, expose donc à une condamnation autonome, distincte du débat sur l’inexécution du prestataire. Pour l’entreprise qui traverse la cascade, l’ordre des décisions compte autant que leur fondement : ces questions relèvent des contentieux commerciaux entre entreprises accompagnés par des avocats en droit des affaires à Paris, car chaque courrier, chaque délai et chaque chiffrage engage la suite. Si le contrat est finalement résolu, il faut encore solder le passé : acomptes versés pour des prestations jamais exécutées, matériels ou licences payés d’avance, données à récupérer. L’article 1351 du Code civil dispose : « L’impossibilité d’exécuter la prestation libère le débiteur à due concurrence lorsqu’elle procède d’un cas de force majeure et qu’elle est définitive, à moins qu’il n’ait convenu de s’en charger ou qu’il ait été préalablement mis en demeure ». Autrement dit, même en cas de force majeure avérée, le prestataire déjà mis en demeure reste tenu, et les sommes versées pour une prestation devenue impossible peuvent donner lieu à restitution. L’entreprise cliente doit donc inventorier ce qu’elle a payé, ce qu’elle a reçu et ce qui reste dû de part et d’autre, puis formaliser cet arrêté des comptes par écrit : en cas de litige, le juge tranchera sur pièces, et un décompte clair et daté vaut mieux qu’une réclamation globale.
Vérifier enfin la police d’assurance de l’entreprise et celle du prestataire : les garanties de pertes d’exploitation et de cyber-risques comportent des délais de déclaration et des exclusions qu’il faut lire avant d’agir, pas après.
Conclusion
Quand l’attaque vise le prestataire et frappe ses clients par ricochet, la carte des décisions tient en peu de mots : figer immédiatement les preuves de l’incident et des échanges, mettre le prestataire en demeure par écrit avec un délai raisonnable, respecter le délai maximal de 72 heures pour la notification des violations de données personnelles, ne suspendre le paiement ou ne résoudre le contrat qu’en remplissant les conditions légales, relire les clauses limitatives avant de chiffrer, et ne rompre aucune relation établie sans un préavis écrit suffisant. La jurisprudence récente le confirme dans les deux sens : le client qui ne signale pas et ne met pas en demeure perd ses sanctions, comme l’a jugé la cour d’appel de Rennes en septembre 2025, et celui qui rompt brutalement paie, comme l’a jugé la cour d’appel de Paris en octobre 2025. Entre ces deux écueils, le contrat signé et les traces écrites restent les seules boussoles, et seul le juge tranche en cas de désaccord persistant.