Dans la nuit du 11 au 12 octobre 2026, les systèmes de régulation frigorifique de plusieurs centaines de magasins d’alimentation ont été visés par une cyberattaque d’une ampleur inédite en France. Selon les informations publiées le 12 octobre 2026 par BFMTV, La Dépêche et Sud Ouest, les installations piratées se sont mises à dégivrer en continu, la température des meubles froids montant par endroits jusqu’à 50 degrés. Les denrées périssables stockées dans ces conditions sont devenues impropres à la vente et des tonnes de marchandises ont dû être jetées, pour un préjudice national estimé à plusieurs millions d’euros. La tête d’un des réseaux concernés a confirmé publiquement l’attaque le 12 octobre 2026 sur le réseau social X. Pour l’exploitant d’un supermarché, d’une supérette ou d’une boutique alimentaire installé dans un local loué, le choc est double : le stock est perdu et l’outil de travail est à l’arrêt. La question qui se pose dès les premières heures est simple et redoutable : qui paie la remise en état des installations, qui supporte le loyer des semaines sans exploitation, comment se faire indemniser la marchandise détruite et contre qui diriger les recours. Le présent article répond point par point, textes et décisions à l’appui, en distinguant trois relations trop souvent confondues : le bail entre le propriétaire des murs et l’exploitant, le contrat d’assurance de l’exploitant, et la responsabilité du prestataire qui fournit ou maintient le système frigorifique. Chaque situation dépend de son bail, de sa police et de ses preuves, et les réflexes des premiers jours conditionnent l’indemnisation des mois suivants.

I. La panne du froid dans un local loué : travaux de remise en état et loyer pendant l’arrêt

A. Bailleur ou exploitant : qui paie la remise en route des installations frigorifiques

Le point de départ est le contrat de bail, lu à la lumière des obligations légales du bailleur, qui s’imposent même quand le bail tente de les écarter. L’article 1719 du code civil dispose que « Le bailleur est obligé, par la nature du contrat, et sans qu’il soit besoin d’aucune stipulation particulière : 1° De délivrer au preneur la chose louée » et notamment « 2° D’entretenir cette chose en état de servir à l’usage pour lequel elle a été louée » ainsi que « 3° D’en faire jouir paisiblement le preneur pendant la durée du bail ». L’article 1720 du code civil précise que « Le bailleur est tenu de délivrer la chose en bon état de réparations de toute espèce. Il doit y faire, pendant la durée du bail, toutes les réparations qui peuvent devenir nécessaires, autres que les locatives. » En matière commerciale, ce socle s’applique au propriétaire des murs, sauf répartition contractuelle licite des charges et travaux. L’article L145-40-2 du code de commerce impose à cet égard que « Tout contrat de location comporte un inventaire précis et limitatif des catégories de charges, impôts, taxes et redevances liés à ce bail, comportant l’indication de leur répartition entre le bailleur et le locataire. » La première tâche de l’exploitant consiste donc à ouvrir son bail et son état des lieux d’entrée : qui est propriétaire des groupes froids, des meubles réfrigérés et du système de régulation, qui assume leur entretien, et que dit l’inventaire des charges. Lorsque les équipements appartiennent au bailleur ou sont intégrés aux locaux, la remise en état pèse en principe sur lui au titre de l’obligation de délivrance et d’entretien. Lorsque le preneur a installé son propre matériel ou a pris à sa charge l’entretien du système dans une clause claire et licite, le coût lui revient, sous réserve du recours contre le prestataire responsable de la faille.

La cyberattaque constitue un cas de force majeure pour les parties au bail : ni le bailleur ni le locataire ne l’ont voulue ni provoquée. L’article 1755 du code civil prévoit que « Aucune des réparations réputées locatives n’est à la charge des locataires quand elles ne sont occasionnées que par vétusté ou force majeure. » L’exploitant ne peut donc pas se voir imposer au titre des réparations locatives des remises en état rendues nécessaires par l’attaque. Restent les clauses du bail qui transfèrent au preneur tout ou partie des grosses réparations ou de l’entretien des équipements : elles s’appliquent dans la mesure de leur validité, mais elles ne permettent pas au bailleur de se décharger de son obligation essentielle de délivrance. La Cour de cassation l’a rappelé avec netteté le 10 avril 2025, dans un litige opposant la locataire de bureaux DoubleTrade à sa bailleresse : « Une clause de non-recours, qui n’a pas pour objet de mettre à la charge du preneur certains travaux d’entretien ou de réparation, n’a pas pour effet d’exonérer le bailleur de son obligation de délivrance. » (Cour de cassation, troisième chambre civile, 10 avril 2025, pourvoi n° 23-14.974). La Cour vise expressément les articles 1719 et 1720 et énonce que « le bailleur est obligé, par la nature du contrat, de délivrer au preneur la chose louée, en bon état de réparations de toute espèce, d’entretenir cette chose en état de servir à l’usage pour lequel elle a été louée, d’y faire, pendant la durée du bail, toutes les réparations qui peuvent devenir nécessaires, autres que les locatives, et d’en faire jouir paisiblement le preneur pendant la durée du bail. » Concrètement, une clause par laquelle le preneur renonce à tout recours contre le bailleur pour privation de jouissance ou perte des moyens d’exploitation ne prive pas l’exploitant du droit de réclamer la remise en état des locaux ni des indemnités liées au manquement à l’obligation de délivrance. Dans le contexte de l’attaque d’octobre 2026, l’exploitant dont le bail met l’entretien courant du froid à sa charge reste tenu de cet entretien, mais il peut exiger du bailleur les réparations structurelles et la remise en conformité des installations incorporées aux lieux, puis se retourner contre le prestataire informatique ou frigoriste dont la défaillance a ouvert la porte aux pirates.

Le troisième angle, souvent décisif en pratique, est le recours contre le prestataire : le fabricant du système de régulation, la société de maintenance ou l’infogérant qui a laissé une faille béante. Si un manquement contractuel est établi, par exemple l’absence des mises à jour de sécurité promises ou une télégestion accessible sans protection, l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » À l’égard des tiers, l’article 1240 du code civil pose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’exploitant comme le bailleur ont donc intérêt à mettre en demeure le prestataire dès les premiers jours, à exiger la communication des journaux de connexion et des correctifs appliqués, et à faire constater par un technicien indépendant l’origine du dérèglement. La cyberattaque n’exonère pas le prestataire dont la négligence a facilité l’intrusion : elle est le contexte, la faute d’entretien ou de sécurisation reste la cause juridiquement réparable. Les mises en demeure doivent être envoyées en recommandé avec accusé de réception, en visant le contrat de maintenance et les obligations de sécurité, et en chiffrant déjà les postes de préjudice : coût de remise en route, stock détruit, marge perdue pendant la fermeture du rayon frais, frais de constat et de gardiennage.

B. Loyer réduit ou bail résilié : les droits de l’exploitant privé de ses chambres froides

Quand le magasin ne peut plus tenir son rayon frais, la question du loyer devient immédiate : faut-il continuer à payer plein tarif pour des locaux partiellement inexploitables. La réponse se trouve à l’article 1722 du code civil, dont le texte doit être lu en entier : « Si, pendant la durée du bail, la chose louée est détruite en totalité par cas fortuit, le bail est résilié de plein droit ; si elle n’est détruite qu’en partie, le preneur peut, suivant les circonstances, demander ou une diminution du prix, ou la résiliation même du bail. Dans l’un et l’autre cas, il n’y a lieu à aucun dédommagement. » La cyberattaque d’octobre 2026 relève du cas fortuit pour les parties au bail, et la destruction s’entend ici au sens juridique large : des locaux dont les chambres froides sont hors service deviennent impropres à la destination alimentaire convenue, même si les murs sont intacts. Si l’inexploitation est partielle, par exemple un magasin dont seul le rayon frais est fermé pendant trois semaines, le preneur peut exiger une diminution du loyer proportionnée à la privation de jouissance, pour la période comprise entre le sinistre et la remise en état complète. Si l’inexploitation est totale et durable, par exemple une supérette de produits frais intégralement dépendante du froid pendant deux mois, il peut demander la résiliation du bail, sans dommages-intérêts de part ni d’autre, le texte excluant tout dédommagement dans ce cas.

La jurisprudence précise les seuils et la méthode. La Cour de cassation a cassé le 9 décembre 2009 un arrêt qui avait refusé la résiliation au bailleur au motif que le local restait partiellement utilisé, en reprochant à la cour d’appel de n’avoir pas recherché, comme elle y était invitée, « si le coût des travaux de remise en état de l’immeuble loué n’excédait pas sa valeur, emportant ainsi destruction totale de la chose louée » (Cour de cassation, troisième chambre civile, 9 décembre 2009, pourvoi n° 08-17.483, visa de « l’article 1722 du code civil »). Autrement dit, la destruction totale ne suppose pas la disparition physique des murs : un coût de remise en état supérieur à la valeur du bien, ou un local devenu durablement impropre à sa destination, caractérise la perte totale. À l’inverse, pour une destruction partielle, la cour d’appel de Paris a confirmé le 20 février 2025, après l’incendie survenu le 12 mars 2020 dans des locaux commerciaux loués, que « L’article 1722 du code civil prévoit qu’en cas de destruction partielle de la chose louée par cas fortuit, le preneur peut, suivant les circonstances, demander ou une diminution du prix, ou la résiliation même du bail. » (cour d’appel de Paris, pôle 5, chambre 3, 20 février 2025, RG n° 23/06758). La cour a entériné un loyer réduit au prorata des pièces utilisables, fixé par le premier juge à 8 654,86 euros par an hors taxes à compter du sinistre et jusqu’à la remise en état, dont la date a été établie par un procès-verbal de constat d’huissier. La leçon pour l’exploitant touché par la panne de froid est directe : faire constater l’étendue exacte de l’inexploitation, réclamer par écrit la diminution du loyer en visant l’article 1722, payer le loyer réduit sous toutes réserves plutôt que suspendre tout paiement, et ne cesser de payer qu’en exécution d’une décision ou d’un accord. La suspension unilatérale et totale du loyer expose à une clause résolutoire ou à une demande de résiliation pour impayés, alors que la diminution proportionnée et documentée s’inscrit dans le cadre légal. Les développements consacrés aux loyers et à l’assurance perte d’exploitation du commerce privé de froid après une cyberattaque complètent utilement ce raisonnement pour la période de fermeture.

II. Marchandise détruite et préjudice d’exploitation : déclarer, prouver et agir contre le bon débiteur

A. Déclaration à l’assureur, preuve du stock perdu et constat du sinistre dans les premiers jours

Les denrées restées des heures à 50 degrés dans des meubles censés tenir entre 0 et 4 degrés ne peuvent pas être remises en vente : la rupture de la chaîne du froid les rend impropres à la consommation et l’exploitant qui les commercialiserait engagerait sa responsabilité. Elles doivent être retirées, isolées, photographiées avec les relevés de température, puis détruites avec un bordereau de destruction qui servira de pièce. Chaque heure compte car l’assureur exigera la preuve du lien entre l’attaque et la perte. Le réflexe utile consiste à relever immédiatement les sondes et les enregistreurs, à sauvegarder les journaux du système de régulation avant toute réinitialisation, à photographier les afficheurs en anomalie, à conserver les tickets de destruction et les factures d’achat du stock, et à faire dresser sans attendre un constat par un commissaire de justice, qui était encore appelé huissier de justice jusqu’en 2022. Ce constat fige la température affichée, l’état des meubles, les volumes jetés et les dates, et il pèsera lourd dans toutes les discussions ultérieures, avec l’assureur comme avec le prestataire. L’article 145 du code de procédure civile permet d’obtenir en justice, avant tout procès, les mesures d’instruction utiles : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Une expertise judiciaire préventive peut ainsi être sollicitée pour examiner le système piraté avant qu’il ne soit réparé et pour chiffrer les pertes. Sur le terrain de la preuve, l’article 1353 du code civil rappelle que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’exploitant qui réclame le paiement de sa marchandise et de sa marge doit donc produire des pièces comptables et techniques cohérentes, et non de simples estimations.

La déclaration à l’assureur obéit à des délais stricts, fixés par le contrat dans la limite d’un minimum légal. L’article L113-2 du code des assurances impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés. » En pratique, la plupart des polices multirisques professionnelles exigent une déclaration sous cinq jours ouvrés, parfois sous deux jours pour certains événements : l’exploitant déclare donc le sinistre par lettre recommandée ou par l’espace en ligne de l’assureur dès le 12 ou le 13 octobre 2026, en décrivant la panne, en joignant le constat, les relevés et l’inventaire du stock détruit, et en visant expressément les garanties marchandises réfrigérées, bris de machine et perte d’exploitation. Le fondement de la garantie se trouve à l’article L113-1 du code des assurances : « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. Toutefois, l’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré. » L’assureur ne peut donc refuser la prise en charge qu’en invoquant une exclusion formelle et limitée, par exemple une exclusion cyber ou une exclusion des denrées périssables, dont il doit rapporter la preuve et dont la rédaction doit être précise. Les exclusions floues ou enfouies dans les conditions générales sont contestables, et le cyber-risque fait l’objet depuis la loi du 1er mars 2023 d’un régime spécifique en assurance dommages qui mérite une lecture attentive de la police.

L’expérience des sinistres de froid montre que la perte d’exploitation est le poste le plus disputé. Le tribunal des activités économiques de Marseille a jugé le 19 mars 2026 un litige opposant l’occupant d’un local équipé de chambres froides au sein d’un marché d’intérêt national à son assureur, après la panne des groupes froids survenue le 26 juin 2023 et la perte des marchandises stockées (tribunal des activités économiques de Marseille, chambre 14, 19 mars 2026, RG n° 2025F01590). L’assureur avait indemnisé la marchandise à hauteur de 30 163,32 euros puis versé 28 631 euros au titre de la perte d’exploitation, tandis que l’exploitant réclamait un complément porté à 45 549 euros en invoquant l’article L113-1 et la garantie perte d’exploitation de sa police. Le tribunal a débouté l’exploitant du surplus réclamé, retenant que l’indemnisation déjà versée correspondait au préjudice établi. La morale opérationnelle est claire : la garantie perte d’exploitation ne paie que le préjudice démontré, période d’indemnisation et marge brute à l’appui, au moyen des bilans, des comptes de résultat, des relevés de chiffre d’affaires des exercices précédents et d’une attestation de l’expert-comptable. L’exploitant touché par l’attaque d’octobre 2026 doit donc mandater sans tarder son expert-comptable pour établir la marge perdue jour par jour pendant la fermeture du rayon frais, conserver les plannings du personnel maintenu, les factures du groupe électrogène ou des armoires de remplacement, et répondre point par point aux demandes de l’expert mandaté par l’assureur. Toute pièce manquante sera retenue contre lui, et toute exagération discréditera l’ensemble de la réclamation.

B. À Paris et en Île-de-France : juridictions compétentes, calendrier et ordre des recours

En région parisienne, le contentieux du bail commercial relève du tribunal judiciaire, et les baux portant sur des locaux situés à Paris concentrent un contentieux nourri où les juges exigent des pièces rigoureuses. L’exploitant d’un supermarché parisien dont les chambres froides sont à l’arrêt commence par adresser au bailleur une mise en demeure de remettre les installations en état, en visant les articles 1719 et 1720 et les clauses du bail relatives aux équipements, puis, à défaut de réaction rapide, saisit le juge des référés pour obtenir la désignation d’un expert ou une injonction de travaux. Le constat du commissaire de justice dressé dans les locaux parisiens dès le 12 ou le 13 octobre 2026, avec relevés de température et inventaire photographié, constitue la pièce maîtresse de ce référé. Parallèlement, la déclaration de sinistre part à l’assureur dans le délai contractuel, jamais au-delà de cinq jours ouvrés, et la plainte pour l’attaque informatique est déposée en ligne ou au commissariat, avec le récépissé versé au dossier d’assurance : la plainte ne crée pas le droit à indemnisation mais elle objective le cas fortuit et facilite la discussion sur l’exclusion cyber. Les délais pratiques parisiens doivent être intégrés : comptez quelques semaines pour une ordonnance de référé expertise, plusieurs mois pour un jugement au fond, et un à trois mois pour l’instruction d’un dossier perte d’exploitation par l’expert de l’assureur. Pendant ce temps, l’exploitant documente chaque jour la fermeture partielle, affiche une information loyale de la clientèle sans reconnaître aucune faute, et tient un tableau de bord des pertes qui servira à l’expert judiciaire comme à l’expert d’assurance.

L’ordre des recours détermine le succès financier de l’opération. Le premier débiteur solvable est en général l’assureur multirisque de l’exploitant, au titre des marchandises et de la perte d’exploitation, puis l’assureur du bailleur pour les dommages à l’immeuble, avec subrogation possible de l’un contre le responsable final. Le deuxième niveau est le bailleur, pour la remise en état des installations qui lui incombent et la diminution du loyer de la période d’inexploitation, sur le fondement des articles 1719, 1720 et 1722. Le troisième niveau est le prestataire du système frigorifique ou informatique, dont la faute de sécurisation ou de maintenance doit être démontrée par l’expertise : c’est contre lui que se dirigent l’action en responsabilité contractuelle de son client et, le cas échéant, les recours subrogatoires des assureurs. L’article 1231-1 permet d’obtenir des dommages-intérêts pour inexécution, et l’article 1240 fonde l’action des tiers victimes de la négligence. L’exploitant évite deux erreurs classiques : assigner tout le monde en même temps sans preuves techniques réunies, ce qui disperse l’effort et fige des positions adverses, et transiger trop vite avec l’assureur contre une quittance générale qui éteindrait les recours contre le prestataire. La bonne séquence consiste à constater, déclarer et mettre en demeure dans la première semaine, à faire expertiser le système avant sa remise en route définitive, à négocier l’acompte de l’assureur sur la marchandise, puis à chiffrer la perte d’exploitation avec l’expert-comptable avant de choisir entre la transaction ciblée et l’assignation. À Paris comme en petite couronne, où les loyers commerciaux rendent chaque semaine de fermeture coûteuse, cette discipline probatoire transforme un sinistre subi en dossier indemnisable : bail relu, température prouvée, stock inventorié, marge attestée, prestataire mis en cause avant que les journaux de connexion ne disparaissent.

Conclusion

La cyberattaque du 12 octobre 2026 contre les systèmes frigorifiques de la grande distribution frappe l’exploitant au point le plus sensible : un stock périssable détruit en quelques heures et un local commercial inexploitable pendant des semaines. Le droit applicable ne laisse pourtant pas le commerçant démuni. Contre le bailleur, les articles 1719 et 1720 imposent la remise en état des installations qui relèvent des locaux, et la Cour de cassation refuse qu’une clause de non-recours efface cette obligation de délivrance. Contre la privation de jouissance, l’article 1722 ouvre la diminution proportionnée du loyer, voire la résiliation lorsque la destruction est totale au sens où l’entendent les juges du fond sous le contrôle de la Cour de cassation. Contre la perte financière, l’assurance multirisque paie la marchandise et la perte d’exploitation démontrées, à condition de déclarer dans les délais de l’article L113-2 et de prouver poste par poste, comme l’illustre le jugement marseillais du 19 mars 2026 qui a rejeté le surplus non établi. Contre le responsable final, la responsabilité contractuelle ou délictuelle du prestataire dont la négligence a ouvert la voie aux pirates offre le recours qui soldera les comptes, assureurs compris. Reste la condition commune à ces quatre fronts : des preuves prises dans les premières heures, constat de commissaire de justice, journaux du système sauvegardés, stock inventorié et marge attestée. L’exploitant qui constate, déclare, met en demeure et chiffre dans l’ordre conserve tous ses droits ; celui qui attend la remise en route pour compter ses pertes s’expose à les supporter seul.