Selon RTL et BFM, plusieurs centaines de magasins alimentaires auraient vu, dans la nuit du dimanche 11 au lundi 12 octobre 2026, leurs installations frigorifiques déréglées à distance : un mode de dégivrage forcé aurait été déclenché sur des systèmes de régulation fournis par un équipementier, avec une consigne de température qui aurait atteint 50 degrés, provoquant la destruction de stocks de produits frais et surgelés.
À la date de rédaction, aucun accident, aucune intrusion ni aucun dommage n’est constaté par une source officielle, aucune responsabilité n’est établie, et les faits restent décrits au conditionnel d’après la presse, qui évoque des déclarations des distributeurs concernés et l’ouverture d’une enquête. Les contrats signés entre les magasins, leurs prestataires de maintenance et le fabricant des systèmes priment sur toute analyse générale, et seul le juge pourra trancher les responsabilités.
La question intéresse pourtant directement toutes les entreprises dont un équipement connecté, un logiciel ou un service reste pilotable à distance par un fournisseur : que faire dans les premières heures quand l’outil du prestataire devient le vecteur du dommage, comment prouver, qui notifier, et comment obtenir réparation. D’abord, il faut couper l’accès distant et figer la preuve sans aggraver le dommage (I). Ensuite, il faut adresser les notifications requises puis chiffrer et réclamer la réparation (II).
I. Couper l’accès distant et figer la preuve, sans aggraver le dommage
A. Isoler l’équipement, reprendre la main et relire le contrat
La première urgence est technique : empêcher que l’ordre distant continue de produire ses effets. Sur une installation frigorifique, cela signifie basculer en pilotage manuel local, couper la connexion de télésupervision ou de télémaintenance, et consigner chaque action avec son horodatage. Sur un logiciel ou un service en ligne, cela signifie révoquer les accès distants du prestataire, changer les identifiants partagés, suspendre les synchronisations automatiques et figer les versions. Chaque geste doit être réversible et documenté, car le juge appréciera autant ce qui a été fait pour limiter le dommage que ce qui a été subi.
Le réflexe suivant consiste à relire le contrat qui lie l’entreprise au fournisseur de l’équipement ou du service : contrat de vente avec clause de maintenance, contrat de supervision, contrat de maintenance informatique, ou contrat de services. Ce sont ces documents qui fixent qui peut accéder à distance, dans quelles conditions, avec quel niveau de sécurité, et avec quelles obligations de mise à jour. L’article 1103 du Code civil dispose que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Autrement dit, avant d’invoquer un manquement du fournisseur, il faut établir ce que le contrat lui imposait : mises à jour de sécurité, surveillance des accès, journalisation, délai d’intervention, ou interdiction de certaines commandes à distance.
Trois clauses méritent une lecture immédiate. La clause d’accès distant, d’abord : autorise-t-elle le fournisseur à modifier seul les paramètres, ou exige-t-elle une validation préalable du client. La clause de sécurité et de mises à jour, ensuite : dans l’incident rapporté le 12 octobre 2026, la presse indique que seules des versions anciennes du logiciel de régulation, antérieures à une version corrective, auraient été affectées, ce qui renvoie directement à la question de savoir qui devait proposer, installer ou imposer la mise à jour. La clause de limitation ou d’exclusion de responsabilité, enfin : elle existe souvent, mais elle ne couvre ni la faute lourde ni le manquement à une obligation essentielle, comme l’a illustré la cour d’appel de Paris le 25 novembre 2025 ? Non, le 25 novembre 2022 (arrêt RG 21/05032), qui a évalué le préjudice subi par un client du fait de la faute lourde de son prestataire informatique à 17 178,90 euros après compensation des sommes réciproquement dues.
En pratique, l’entreprise adresse sans attendre une demande écrite au fournisseur : description datée des dysfonctionnements constatés, injonction de suspendre tout accès distant, communication des journaux de connexion et d’administration, et indication des correctifs disponibles avec leur date de diffusion. Ce courrier, envoyé avec un mode de preuve de réception, servira à la fois à stopper le dommage et à établir la chronologie.
La doctrine et la jurisprudence commentées par la presse spécialisée insistent sur un point que les entreprises sous-estiment : le prestataire informatique est tenu d’une obligation renforcée d’information et de mise en garde envers un client qui n’est pas un professionnel de l’informatique. Concrètement, lorsqu’une mise à jour de sécurité existe, le fournisseur doit la signaler clairement, expliquer le risque encouru à ne pas l’installer, et proposer une date d’intervention ; lorsqu’aucune mise à jour n’existe, il doit alerter sur la vulnérabilité connue et proposer des mesures de contournement, comme la restriction des accès distants ou une surveillance renforcée. Si l’entreprise a refusé par écrit une mise à jour proposée, ce refus documenté pèsera dans l’appréciation des responsabilités ; si le fournisseur n’a rien proposé ni signalé, son silence pourra lui être opposé. C’est pourquoi l’entreprise doit rechercher dès maintenant tous les échanges antérieurs : courriels annonçant des correctifs, comptes rendus de comités de pilotage, tickets d’assistance, et rapports d’audit. Ces pièces diront si le risque était connu, signalé, et traité.
B. Prouver l’incident, le lien avec le fournisseur et l’étendue des pertes
Sans preuve, il n’y a pas de recours. Or une cyberattaque qui transite par l’outil du fournisseur laisse en principe des traces des deux côtés : journaux de l’équipement local, relevés de température, alertes de supervision, journaux de connexion du prestataire, et historique des mises à jour. L’entreprise doit donc conserver tout ce qu’elle détient et demander formellement au fournisseur de conserver tout ce qu’il détient, avant toute réinstallation ou réinitialisation qui effacerait les journaux. Un constat par commissaire de justice, dressé dans les premières heures, fige utilement l’état des équipements, les écrans de supervision, les messages d’alerte et les relevés de température. Les constats d’huissier ont joué un rôle décisif dans plusieurs litiges informatiques, notamment dans l’affaire jugée par la cour d’appel de Paris le 11 avril 2025 (arrêt RG 22/19859), où le client avait fait constater par huissier, à deux reprises, l’état d’avancement inachevé du site web commandé avant d’obtenir la résolution du contrat aux torts du prestataire, avec 70 300 euros de remboursement et 7 000 euros de dommages et intérêts.
Le deuxième temps de la preuve porte sur le lien entre l’attaque et le fournisseur : démontrer que la commande anormale est passée par le canal distant du prestataire ou par une vulnérabilité de son logiciel, et que les équipements correctement mis à jour ou isolés n’ont pas été affectés. Les éléments rapportés par la presse le 12 octobre 2026, selon lesquels seules d’anciennes versions du logiciel auraient été touchées, montrent l’importance de cette démonstration : si le correctif existait et n’avait été ni proposé ni installé, la discussion portera sur l’obligation d’information et de mise à jour ; s’il n’existait pas, elle portera sur la conception et la surveillance du système. Dans les deux cas, l’expertise technique, amiable ou judiciaire, sera souvent nécessaire, et l’entreprise a intérêt à ne pas modifier l’état des lieux avant qu’elle ait pu intervenir.
Le troisième temps porte sur le chiffrage : stocks détruits avec factures d’achat et relevés d’inventaire, coût de remise en service, perte d’exploitation pendant la fermeture des rayons, heures supplémentaires des équipes, et frais de constat et d’expertise. La cour d’appel d’Aix-en-Provence, le 28 mai 2026 (arrêt RG 20/02068), a prononcé la résolution d’un contrat informatique aux torts du prestataire tout en distinguant soigneusement les préjudices réparables des demandes non fondées, et en rappelant que le client restait tenu de ses engagements envers le financeur : chiffrer poste par poste, pièces à l’appui, reste la condition d’une indemnisation. Une mise en demeure chiffrée, adressée au fournisseur avec un délai raisonnable pour remédier ou indemniser, ouvre ensuite la voie aux mesures contractuelles, y compris la résolution.
Un dernier point de vigilance concerne les salariés et les intervenants extérieurs : si l’équipement compromis héberge aussi des données de gestion du personnel, des plannings, des badges ou des relevés d’activité, le comité social et économique et les personnes concernées devront être informés selon les règles applicables, et toute mesure de surveillance renforcée mise en place après l’incident devra respecter le principe de proportionnalité. Documenter ces informations dans le même dossier de crise, avec leurs dates, complète la démonstration de diligence de l’entreprise face à l’autorité de contrôle comme face au juge.
Lorsque des données personnelles sont en cause, la documentation ne sert pas seulement le procès futur : elle sert aussi le contrôle. Le responsable du traitement doit être en mesure de démontrer qu’il a détecté l’incident rapidement, évalué le risque pour les personnes, et notifié dans les délais. La tenue d’un registre interne des violations, avec la date et l’heure de la détection, la nature des données affectées, les mesures prises et la décision de notifier ou non, constitue la pièce centrale de cette démonstration. Les journaux techniques, eux, doivent être conservés dans leur format d’origine, avec leur horodatage et sans altération, car toute extraction partielle ou tardive affaiblit leur force probante. Si l’entreprise efface ou réinstalle avant d’avoir sauvegardé ces éléments, elle risque de perdre à la fois la preuve du manquement du fournisseur et la preuve de sa propre diligence face à la CNIL.
II. Notifier ce qui doit l’être, puis obtenir réparation
A. Adresser les notifications requises : CNIL, sous-traitant, autorités et assureur
Tout incident informatique n’est pas une violation de données personnelles, et toute violation de données n’appelle pas les mêmes notifications. La distinction conditionne le calendrier des 72 heures qui suivent la découverte.
Si l’attaque a compromis des données personnelles, par exemple des fichiers clients, des données de fidélité, des images de vidéoprotection ou des données de salariés accessibles depuis le système attaqué, le règlement (UE) 2016/679 s’applique. L’article 28 du RGPD impose au responsable du traitement de recourir uniquement à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à ce que le traitement réponde aux exigences du règlement. L’article 32 du RGPD exige du responsable du traitement comme du sous-traitant des mesures techniques et organisationnelles appropriées, garantissant un niveau de sécurité adapté au risque. En cas de violation avérée, l’article 33 du RGPD impose la notification à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures après la découverte, sauf violation sans risque pour les droits et libertés, le retard devant alors être motivé ; il impose parallèlement au sous-traitant d’avertir le responsable du traitement dans les meilleurs délais après découverte. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, l’article 34 du RGPD ajoute, en cas de risque élevé pour les droits et libertés des personnes, une information des personnes concernées dans les meilleurs délais. La procédure de notification en ligne de la CNIL précise ces délais et le contenu attendu. À l’inverse, si l’attaque n’a détruit que des marchandises sans compromettre de données personnelles, il n’y a pas lieu de notifier la CNIL : une notification hors champ fragilise la crédibilité de l’entreprise et disperse ses efforts.
Sur le plan pénal, l’attaque rapportée pourrait relever de l’article 323-1 du Code pénal, qui dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le dépôt de plainte, avec constitution de partie civile si le préjudice le justifie, permet de faire établir les faits par l’enquête et de préserver les droits à réparation contre les auteurs, sans préjuger de la responsabilité contractuelle du fournisseur. Le signalement auprès de l’ANSSI, via ses dispositifs d’assistance et de signalement, aide en outre à qualifier l’incident et à recevoir des recommandations techniques ; s’agissant d’entités soumises à des obligations sectorielles de notification d’incidents, notamment dans le cadre de la directive (UE) 2022/2555 dite NIS 2, il convient de vérifier avec le prestataire et, au besoin, avec un conseil, si un régime particulier de déclaration s’applique à la situation, la transposition et les obligations concrètes suivant leur propre calendrier.
Enfin, l’entreprise informe son assureur dans les délais du contrat, déclare le sinistre avec le chiffrage provisoire, et vérifie ses garanties pertes d’exploitation, cyber et responsabilité civile. Elle informe également ses propres clients si leurs données ou leurs commandes sont affectées, en des termes mesurés qui distinguent les faits constatés des hypothèses.
Côté assurance, trois polices peuvent être mobilisées et leurs délais de déclaration, souvent brefs, doivent être vérifiés dès le premier jour. La garantie pertes d’exploitation couvre la marge perdue pendant l’indisponibilité des équipements, à condition de démontrer le lien entre l’incident et l’arrêt d’activité. La garantie cyber, lorsqu’elle a été souscrite, prend en charge les frais de réponse à incident, d’expertise et parfois de reconstitution des données, selon les plafonds et franchises stipulés. La responsabilité civile de l’entreprise, enfin, répondra si ses propres clients lui réclament réparation, par exemple pour des produits avariés qui auraient été vendus avant la découverte du dérèglement. Déclarer à chaque assureur avec le même dossier chiffré, puis laisser chaque expert constater avant de remettre en service, évite les refus de garantie pour déclaration tardive ou pour modification de l’état des lieux.
Pour une analyse d’ensemble du cas où c’est le prestataire lui-même qui est piraté, avec des données volées et une activité bloquée, on se reportera à l’analyse du cabinet sur la responsabilité du prestataire informatique piraté, la résiliation et la réparation.
B. Chiffrer le préjudice et agir contre le fournisseur défaillant
Une fois l’urgence traitée et les notifications adressées, vient le temps du recours contractuel. L’article 1231-1 du Code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » L’entreprise doit donc démontrer une inexécution : défaut de mise à jour, défaut de surveillance des accès distants, défaut d’information sur une vulnérabilité connue, ou manquement à une obligation de résultat de sécurité stipulée au contrat. Le fournisseur ne s’exonérera qu’en prouvant la force majeure ou en démontrant que le manquement appartient à un tiers ou au client lui-même, par exemple un refus documenté d’installer un correctif proposé.
Si l’inexécution est suffisamment grave et persiste après mise en demeure, la résolution du contrat peut être envisagée. L’article 1224 du Code civil dispose que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Et l’article 1226 du Code civil rappelle que « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. » La prudence s’impose toutefois : résoudre à ses risques et périls expose l’entreprise si le juge estime ensuite l’inexécution insuffisamment grave, et la mise en demeure préalable, sauf urgence, reste exigée avec la mention expresse qu’à défaut d’exécution le créancier résoudra le contrat. Dans l’affaire du site web inachevé jugée à Paris en 2025, le client n’avait obtenu la résolution aux torts du prestataire qu’après deux mises en demeure et deux constats d’huissier.
La jurisprudence récente éclaire aussi l’articulation avec les autres contrats : dans l’arrêt d’Aix-en-Provence du 28 mai 2026, la résolution du contrat informatique aux torts du prestataire n’a pas libéré le client de ses échéances envers l’organisme de location financière, le prestataire étant seulement condamné à le garantir. Transposé à un équipement connecté loué ou financé, l’enseignement est clair : même en cas de défaillance du fournisseur, les loyers ou redevances dus à un tiers financeur continuent de courir jusqu’à décision contraire, et l’action doit être dirigée en priorité contre le prestataire défaillant, appelé en garantie des sommes réclamées par le financeur. De même, l’arrêt parisien du 25 novembre 2022 montre qu’une clause limitative de responsabilité ne met pas le prestataire à l’abri lorsque sa faute présente un caractère de gravité particulier.
Avant tout procès, la voie amiable mérite un examen sérieux, surtout quand l’entreprise reste dépendante du fournisseur pour la remise en service. Une médiation prévue au contrat, ou proposée par courrier, permet d’obtenir rapidement un correctif, un geste commercial ou un échéancier, sans attendre les délais d’une expertise judiciaire. Mais l’amiable ne doit jamais conduire à signer une renonciation générale à recours en échange d’une remise en service : toute transaction doit être limitée aux sommes expressément visées, après chiffrage complet du préjudice, et relue avant signature. Si le désaccord porte sur la cause technique elle-même, une expertise judiciaire ordonnée en référé, sur le fondement d’une demande de mesure d’instruction, permet de faire constater l’état des systèmes par un expert indépendant avant toute remise en état, et son rapport servira ensuite au procès au fond, quelle que soit la juridiction saisie.
Sur la charge de la preuve, la répartition est claire : c’est à l’entreprise cliente d’établir l’inexécution du fournisseur et son préjudice, avec les constats, journaux et factures déjà évoqués, tandis que c’est au fournisseur d’établir qu’une cause étrangère l’a empêché d’exécuter ses obligations. L’argument selon lequel l’attaque viendrait d’un tiers inconnu ne suffit pas à exonérer le prestataire : encore faut-il démontrer que toutes les mesures de sécurité promises au contrat avaient été prises, que les correctifs disponibles avaient été proposés, et que l’intrusion est restée irrésistible malgré ces diligences. Faute d’une telle démonstration documentée, le juge retiendra que le prestataire, rémunéré précisément pour sécuriser l’accès distant dont il avait la maîtrise, a manqué à son engagement.
En pratique, la séquence utile s’écrit donc ainsi : mise en demeure détaillée et chiffrée avec délai raisonnable, proposition de règlement amiable ou de médiation si le contrat la prévoit, puis, à défaut, assignation en résolution et en paiement de dommages et intérêts, avec demande d’expertise judiciaire si la cause technique reste discutée. Les postes de préjudice à faire valoir comprennent les stocks détruits, la perte de marge pendant l’indisponibilité, les coûts de remise en service et de sécurisation, ainsi que les frais de constat et d’expertise. Chaque poste doit être justifié par une pièce : sans facture, sans inventaire et sans relevé, le juge réduit ou rejette.
À la date de rédaction, aucune source officielle n’a constaté les causes exactes de l’incident rapporté le 12 octobre 2026 ni établi une responsabilité, et les contrats signés entre les enseignes, leurs prestataires et le fabricant priment sur toute analyse générale. Seul le juge, au vu des pièces et, le cas échéant, d’une expertise indépendante ordonnée avant toute remise en état des systèmes, pourra dire, en l’état des pièces versées aux débats, si un manquement est caractérisé, dans quelle mesure il a contribué au dommage, et quel préjudice chiffré il a causé.