Dans la nuit du 11 au 12 octobre 2026, des pirates ont pris la main à distance sur les systèmes connectés de régulation frigorifique de nombreux supermarchés en France. Selon la presse du 12 octobre 2026, les consignes de température de meubles froids et de chambres froides auraient été modifiées à distance, avec des hausses allant jusqu’à plusieurs dizaines de degrés. Au matin, des équipes d’ouverture ont découvert des rayons frais et surgelés entiers devenus invendables. Une source du secteur citée par la presse évoque environ cent cinquante magasins d’un réseau coopératif, tandis que le dirigeant d’une autre coopérative a confirmé publiquement que plusieurs enseignes étaient visées. Les premières estimations évoquées par la presse spécialisée chiffrent les pertes jusqu’à plusieurs centaines de milliers d’euros par point de vente : marchandises détruites, rayons fermés, frais incomplet pendant plusieurs jours. Aucun vol de données clients ni aucun blocage des caisses n’est signalé par ces sources à la date de rédaction, et aucun dommage corporel n’est rapporté.

Pour le dirigeant d’une société exploitant un ou plusieurs magasins, la question est immédiate et financière : qui paie les denrées périmées et la marge perdue ? L’assureur perte d’exploitation, le prestataire chargé de la maintenance du froid, le fabricant du système de régulation, ou la société elle-même ? La réponse tient en deux examens menés en parallèle dès le premier jour : la police d’assurance, qui n’indemnise qu’à ses conditions strictes, et la chaîne des contrats de maintenance et de fourniture, qui désigne le débiteur de l’obligation de conservation du froid. Cet article expose la méthode complète : ce que l’assureur doit payer et ce qu’il refuse, comment déclarer le sinistre sans perdre la garantie, comment mettre en cause le prestataire ou le fabricant malgré leurs clauses limitatives, et comment prouver la rupture de la chaîne du froid pour obtenir le chiffrage exact du préjudice.

I. L’assureur perte d’exploitation paie-t-il les denrées périmées sans dommage matériel ?

A. La garantie perte d’exploitation exige un dommage matériel aux biens assurés

Le réflexe naturel du dirigeant consiste à appeler son assureur. Pourtant, la garantie perte d’exploitation ne fonctionne pas comme une garantie de chiffre d’affaires : dans la plupart des polices souscrites par les sociétés de distribution, elle ne se déclenche qu’en complément d’un dommage matériel subi par les biens assurés. La cour d’appel de Paris l’a jugé en des termes nets dans un arrêt du 13 septembre 2023 (RG n° 21/11682) rendu à propos d’une police dite « tous risques sauf » : « il incombe à l’assuré de caractériser un évènement non exclu, mais également un dommage matériel ». Dans cette affaire, l’assuré réclamait près de vingt-huit millions d’euros au titre de pertes d’exploitation sans dommage matériel aux biens ; la cour a confirmé le rejet de la demande, jugeant que « La FININDUSCO ne caractérisant aucun dommage matériel à un bien assuré, la garantie d’assurance n’est donc pas mobilisable. » L’enseignement vaut bien au-delà du contexte sanitaire de l’époque : même une police « tous risques sauf », qui couvre en principe tout ce qui n’est pas expressément exclu, ne dispense pas l’assuré de démontrer un dommage matériel lorsque la garantie perte d’exploitation est construite comme l’accessoire d’un dommage aux biens.

La cour d’appel de Lyon a confirmé cette lecture le 30 avril 2026 (RG n° 22/02251) en infirmant un jugement qui avait accueilli la demande d’assurés : « Il se déduit de l’ensemble de ces clauses, que la police d’assurance garantit, de manière claire et sans ambiguïté, et sans qu’il soit nécessaire de procéder à leur interprétation, les pertes d’exploitation en cas de sinistre non exclu par les stipulations contractuelles, occasionnant un dommage matériel aux biens assurés. » Faute d’un tel dommage matériel causé aux biens assurés, la cour a jugé que les garanties de la police dite « Tout risques Sauf » « ne sont pas mobilisables au profit des sociétés » assurées, déboutées de l’intégralité de leurs demandes. Pour le dirigeant d’un magasin touché par la cyberattaque du froid d’octobre 2026, la première vérification porte donc sur la lettre de la police : la garantie perte d’exploitation est-elle subordonnée à un dommage matériel aux biens, et la destruction des denrées périssables constitue-t-elle elle-même ce dommage matériel ? La réponse dépend de la définition contractuelle des « biens assurés » et du « dommage » : si les marchandises en stock figurent parmi les biens garantis, leur destruction physique consécutive à la rupture du froid peut caractériser le dommage matériel déclencheur, à condition qu’aucune exclusion formelle ne l’écarte.

C’est ici que le texte de l’article L. 113-1 du code des assurances prend toute son importance : « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. » Toute clause d’exclusion doit donc être formelle et limitée pour être opposable, et les clauses des polices doivent être rédigées en caractères très apparents conformément à l’article L. 112-4 du code des assurances. Concrètement, le dirigeant doit exiger de son courtier ou de son assureur, dès la déclaration, la copie intégrale des conditions particulières et des conditions générales applicables au jour du sinistre, puis faire vérifier trois points : l’existence d’une extension de garantie « cyber », « actes de malveillance » ou « dommages immatériels non consécutifs », la définition du dommage matériel et des biens assurés, et la liste des exclusions avec leur rédaction exacte. Si la police comporte une extension cyber ou une garantie des pertes sans dommage matériel, l’indemnisation peut suivre ; à défaut, l’assureur opposera très probablement le raisonnement des arrêts de Paris et de Lyon, et le dirigeant devra porter l’effort sur le recours contre le prestataire et le fabricant, examiné dans la seconde partie. Les sociétés qui disposent déjà d’une police cyber dédiée, de plus en plus diffusée dans la distribution, doivent la mobiliser en parallèle : les plafonds, les franchises et les obligations de sécurité informatique y sont spécifiques, et le défaut de mise à jour des systèmes peut y être sanctionné par une réduction de garantie.

B. Déclarer le sinistre vite et dans les formes pour ne pas perdre la garantie

Le deuxième piège est procédural : une déclaration tardive ou incomplète expose le dirigeant à une déchéance de garantie, c’est-à-dire à la perte du droit à indemnisation alors même que le sinistre serait couvert. L’article L. 113-2 du code des assurances impose à l’assuré « De donner avis à l’assureur, dès qu’il en a eu connaissance et au plus tard dans le délai fixé par le contrat, de tout sinistre de nature à entraîner la garantie de l’assureur. Ce délai ne peut être inférieur à cinq jours ouvrés. » Cinq jours ouvrés : dans une crise qui survient un week-end, avec des rayons à vider et des commandes de remplacement à passer en urgence, ce délai passe très vite. La déclaration doit donc partir au plus tard dans les quarante-huit heures, par lettre recommandée avec accusé de réception doublée d’un courriel, en décrivant les faits connus sans spéculer sur l’origine exacte de l’attaque, en listant les dommages constatés et en annonçant les pièces à venir : relevés de température, constats, factures de destruction, inventaires.

La Cour de cassation protège toutefois l’assuré contre les déchéances abusives. Par arrêt du 21 janvier 2021 (pourvoi n° 19-13.347)), la deuxième chambre civile juge que « lorsqu’elle est prévue par une clause du contrat, la déchéance pour déclaration tardive ne peut être opposée à l’assuré que si l’assureur établit que le retard dans la déclaration lui a occasionné un préjudice », et que « l’assureur ne peut opposer à l’assuré une déchéance pour déclaration tardive lorsque le contrat applicable ne comporte pas de clause l’édictant ou lorsque la clause la prévoyant n’est pas conforme à ces dispositions, qui n’autorisent pas d’autres modifications conventionnelles que la prorogation du délai de déclaration de sinistre ». Autrement dit, un simple retard de quelques jours ne fait pas perdre la garantie si l’assureur ne démontre pas le préjudice concret que ce retard lui a causé, par exemple l’impossibilité de faire constater l’état des marchandises avant leur destruction. Le dirigeant doit donc conserver la preuve de l’envoi et du contenu de sa déclaration, photographier et filmer les rayons avant toute évacuation, et inviter l’assureur à mandater son expert avant la destruction des denrées, par écrit. Si l’assureur tarde à désigner un expert alors que les contraintes sanitaires imposent une destruction rapide, cette correspondance protégera l’assuré contre tout reproche ultérieur d’avoir détruit la preuve du dommage.

La phase d’expertise conditionne ensuite le montant de l’indemnité. L’expert de l’assureur vérifiera la réalité du sinistre, le lien entre l’événement et les pertes, et le chiffrage. Le dirigeant doit préparer un dossier chiffré dès la première semaine : valeur d’achat des marchandises détruites à partir des bons de livraison et des inventaires, marge brute perdue sur la période de rupture d’approvisionnement à partir de la comptabilité des semaines comparables, frais annexes tels que la destruction, le nettoyage, les constats et les commandes exceptionnelles. Il doit aussi anticiper la franchise contractuelle, qui restera dans tous les cas à la charge de la société, et la règle proportionnelle si les capitaux assurés sont sous-évalués. En cas de désaccord avec l’expert de la compagnie, la police prévoit généralement une procédure de tierce expertise ; le dirigeant ne doit jamais signer un protocole d’accord définitif sous la pression de la trésorerie sans avoir fait chiffrer l’intégralité des postes, y compris la perte de marge des jours suivants, car la signature éteint toute réclamation complémentaire. Lorsque l’assureur oppose un refus de garantie motivé, par exemple l’absence de dommage matériel ou l’application d’une exclusion, ce refus écrit et motivé doit être exigé : il servira de point de départ à la contestation, amiable puis judiciaire, et fixera les moyens de l’assureur.

II. Le prestataire du froid et le fabricant du système répondent-ils des denrées détruites ?

A. Inexécution du contrat, faute lourde et clauses limitatives de réparation

Quand l’assureur ne paie pas, ou paie partiellement, le dirigeant doit se tourner vers la chaîne contractuelle du froid : le prestataire chargé de la maintenance et de la télésurveillance des installations, et le fabricant ou l’éditeur du système de régulation connecté dont la faille a permis l’intrusion. Le fondement est l’inexécution contractuelle. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le prestataire de maintenance qui s’est engagé à maintenir les températures contractuelles et à surveiller les installations, ou le fournisseur qui a vendu un système connecté présenté comme sécurisé, répond donc des denrées détruites sauf à démontrer une force majeure. Or la force majeure suppose, selon l’article 1218 du code civil, « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées ». Une cyberattaque visant des régulateurs connectés connus pour être exposés, alors que des correctifs de sécurité et des mesures de segmentation réseau existent, sera difficilement qualifiée d’imprévisible et d’irrésistible pour un professionnel du froid connecté : le dirigeant exigera la production des journaux de maintenance, des mises à jour appliquées et des audits de sécurité, car l’absence de ces mesures caractérise au contraire un manquement.

La Cour de cassation a précisé le jeu de la force majeure dans les contrats par arrêt du 8 mars 2023 (pourvoi n° 21-24.783), en jugeant que « si le créancier ne peut obtenir la résolution du contrat en soutenant que la force majeure l’a empêché de profiter de la contrepartie à laquelle il avait droit, il peut se prévaloir de l’inexécution par le débiteur de son obligation contractuelle en raison de la force majeure ». Pour le magasin victime, la leçon est double : le prestataire ne peut pas se retrancher derrière la cyberattaque pour échapper à toute responsabilité sans démontrer l’imprévisibilité et l’irrésistibilité au regard de ses propres obligations de sécurité, et la société cliente peut agir en réparation de l’inexécution même si elle a elle-même subi l’événement. La mise en demeure préalable reste indispensable avant toute action : elle doit être adressée par lettre recommandée au prestataire et, le cas échéant, au fabricant, décrire précisément les manquements reprochés, impartir un délai pour y remédier et pour conserver les journaux de connexion, et réserver l’ensemble des droits à réparation. L’expérience contentieuse montre qu’une mise en demeure vague ne suffit pas : dans un litige informatique jugé par la cour d’appel de Paris le 25 novembre 2022 (RG n° 21/05032), la cour a relevé que « la seule mise en demeure produite […] n’établit ni la rétention de ceux-ci, ni la durée de cette rétention, ni les dommages subis », et a rejeté la demande correspondante. Chaque grief doit donc être documenté et chaque préjudice chiffré dès la mise en demeure.

Les contrats de maintenance et de fourniture comportent presque toujours des clauses limitatives de réparation, plafonnant l’indemnisation à quelques mois de redevances. Ces clauses ne sont pas intouchables. D’abord, l’article 1170 du code civil dispose que « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite » : une clause qui réduirait à presque rien la réparation due par le professionnel chargé précisément de garantir le maintien du froid peut être écartée lorsqu’elle vide l’obligation essentielle de sa substance. Ensuite, l’article 1231-3 du code civil, rappelé par la cour d’appel de Paris dans l’arrêt du 25 novembre 2022 précité, prévoit que « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » Dans cette affaire de maintenance informatique, la cour a jugé que « la faute de Lead Info ayant consisté à ne pas informer SCE du périmètre des sauvegardes, en toute connaissance du risque que ce manquement impliquait, au regard de ses compétences professionnelles, et relativement à une obligation essentielle du contrat, constitue, pour ce contrat de maintenance informatique, une faute dénotant l’inaptitude du débiteur de l’obligation à l’accomplissement de la mission contractuelle qu’il avait acceptée, et partant une faute lourde de nature à rendre inopposable la clause limitative de responsabilité ». Transposée au froid connecté, cette solution vise le prestataire qui n’aurait pas informé le magasin des risques de piratage du système, qui n’aurait pas appliqué les correctifs disponibles ou qui aurait négligé la surveillance des alertes de température : de tels manquements, commis en connaissance du risque par un professionnel à propos de son obligation essentielle, caractérisent une faute lourde qui rend la clause limitative inopposable et ouvre droit à la réparation intégrale des préjudices prévisibles, dont la valeur des denrées et la marge perdue. Le dirigeant agira dans le délai de prescription de cinq ans applicable aux obligations nées à l’occasion du commerce entre commerçants, prévu par l’article L. 110-4 du code de commerce, sans attendre l’issue du dossier d’assurance, les deux actions pouvant progresser en parallèle.

B. Prouver la rupture de la chaîne du froid et chiffrer exactement la perte

Qu’il s’agisse de convaincre l’assureur ou de faire condamner le prestataire, tout repose sur la preuve, et en matière de froid la preuve est technique. L’article 1353 du code civil pose la règle : « Celui qui réclame l’exécution d’une obligation doit la prouver. » Le dirigeant doit donc établir trois éléments : la rupture de la chaîne du froid avec ses relevés de température, le lien entre cette rupture et la destruction des denrées, et le montant exact du préjudice. La cour d’appel de Paris, dans un arrêt du 6 février 2025 (RG n° 21/17497) rendu à propos d’un transport de produits laitiers frais sous température dirigée, illustre cette exigence probatoire jusque dans le chiffrage : la cour a écarté une grille tarifaire produite par le donneur d’ordre au motif que « Cette grille n’est pas opposable à la société [M], et la société Danone ne démontre pas avoir porté à la connaissance de sa cocontractante selon quelle base elle entendait valoriser les produits transportés », retenant à la place l’estimation d’un expert fondée sur les prix unitaires du marché. Le dirigeant d’un magasin doit en tirer une règle pratique : toute valorisation des denrées détruites doit reposer sur des documents opposables et vérifiables, bons de livraison, factures d’achat et inventaires, et non sur des barèmes internes jamais communiqués au cocontractant.

Le même arrêt apporte une solution décisive sur le sort des marchandises dont le froid a été rompu : « Le sauvetage des marchandises n’étant pas envisageable, leur destruction s’imposait. » S’agissant de produits laitiers dont la chaîne du froid avait été rompue, la cour a refusé d’appliquer la réduction d’indemnité prévue lorsque le donneur d’ordre interdit le sauvetage, et a mis à la charge du responsable non seulement la valeur des marchandises détruites, mais aussi les frais annexes justifiés par factures, frais de destruction, frais d’expertise et frais de constat. Pour le magasin victime de la cyberattaque d’octobre 2026, la rupture de la chaîne du froid impose la même discipline sanitaire : aucun tri, aucune remise en vente des produits ayant subi une excursion de température hors tolérance, car la remise en rayon de denrées impropres exposerait la société à des sanctions pénales et à une responsabilité civile bien plus lourdes que la perte des marchandises. La destruction doit être tracée : inventaire précis des références et des quantités détruites, bons d’enlèvement par l’organisme de destruction, factures correspondantes, et constat établi par un commissaire de justice qui décrit les températures relevées, l’état des meubles froids et les messages d’alerte du système. Ces frais annexes, dès lors qu’ils sont justifiés par factures et qu’ils sont la conséquence directe de l’événement, entrent dans l’assiette du préjudice réparable contre le prestataire comme dans la réclamation adressée à l’assureur (CA Paris, 6 février 2025, RG n° 21/17497).

À Paris et en Île-de-France, où sont concentrés de nombreux magasins des réseaux concernés et où siègent les centrales d’achat, la méthode probatoire doit être déployée sans délai : le tribunal de commerce de Paris est compétent pour les litiges entre commerçants lorsque les clauses attributives de juridiction ou le lieu d’exécution le désignent, et les commissaires de justice parisiens peuvent intervenir le jour même pour dresser le constat de la rupture du froid, relever les températures affichées par les régulateurs, inventorier les denrées et annexer les captures d’écran des alertes. Le dirigeant francilien veillera aussi à adresser à la centrale de son réseau, dès le premier jour, une réclamation écrite et chiffrée mentionnant la note interne de crise lorsqu’elle existe, afin de préserver ses droits à la solidarité du réseau et aux commandes exceptionnelles de remplacement sans renoncer à ses recours propres contre le prestataire et le fabricant. La conservation des journaux de connexion du système de régulation doit être demandée par écrit au prestataire et au fabricant dans les vingt-quatre heures, car ces données techniques, qui établissent l’heure exacte de l’intrusion et l’ampleur des modifications de consignes, sont régulièrement écrasées par les nouveaux enregistrements. Enfin, lorsque le magasin appartient à un réseau coopératif ou franchisé, le dirigeant vérifiera si le contrat de réseau ou la police groupe souscrite par la centrale offre une garantie complémentaire ou une procédure d’indemnisation collective, sans que cette solidarité conventionnelle ne prive la société de son action directe contre les responsables techniques de la panne. Les lecteurs confrontés à des difficultés voisines de preuve et d’indemnisation après une panne touchant leur exploitation trouveront des développements complémentaires dans notre article consacré aux moyens de preuve et à l’indemnisation du commerçant indépendant après une cyberattaque visant le froid des supermarchés, et les dirigeants parisiens peuvent consulter la présentation de notre activité dédiée au droit des sociétés à Paris pour le traitement des litiges entre associés, dirigeants, assureurs et prestataires.

Conclusion

La cyberattaque qui a coupé le froid de centaines de supermarchés dans la nuit du 11 au 12 octobre 2026 laisse les sociétés exploitantes face à des pertes massives et à deux débiteurs potentiels : l’assureur et la chaîne technique du froid. La méthode qui protège la société tient en cinq réflexes exécutés dans l’ordre. D’abord, figer la preuve le jour même : relevés de température, photographies, constat de commissaire de justice, inventaire des denrées et conservation écrite des journaux de connexion. Ensuite, déclarer le sinistre à l’assureur dans les cinq jours ouvrés en exigeant la production des conditions particulières et des exclusions, sans accepter un refus verbal. Puis mettre en demeure par écrit le prestataire de maintenance et le fabricant du système, en documentant chaque manquement et chaque préjudice, car une mise en demeure vague ne prouve rien. Parallèlement, faire chiffrer le préjudice par des documents opposables, factures d’achat, bons de livraison et expertise, en incluant la valeur des marchandises détruites, la marge perdue et les frais annexes de destruction et de constat. Enfin, vérifier les extensions cyber de toutes les polices du groupe et agir contre les responsables techniques dans le délai de cinq ans, sans attendre l’issue du dossier d’assurance. Menée avec cette rigueur, la société transforme une destruction subie en créance établie : l’assureur paie ce que la police promet, et le prestataire ou le fabricant répond de ce que le contrat de maintenance et l’obligation de sécurité lui imposaient.