Le 12 octobre 2026, la presse économique rapporte une cyberattaque visant les systèmes de régulation frigorifique fournis par un fabricant européen à des centaines de magasins de plusieurs enseignes nationales de la grande distribution : des températures modifiées à distance, un dégivrage forcé et continu qui aurait exposé les marchandises à des températures avoisinant les 50 degrés, et des stocks entiers de produits frais et surgelés détruits, selon BFM et L’Indépendant qui citent les distributeurs concernés. Interrogé par la presse, le fabricant dit avoir connaissance d’incidents affectant un nombre limité de systèmes et précise que la majorité des équipements touchés seraient des produits anciens, arrivés en fin de vie et ne bénéficiant plus de mises à jour logicielles ou de sécurité, avec des micrologiciels obsolètes ; il affirme recommander depuis longtemps à ses clients de maintenir à jour les systèmes pris en charge et travailler avec les clients concernés.

À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle, aucune enquête judiciaire n’a établi les faits, et aucune responsabilité n’est établie à l’encontre de quiconque. Les contrats signés entre chaque société d’exploitation, sa centrale et ses prestataires priment sur toute analyse générale, et seul le juge, saisi des pièces de chaque dossier, dira qui doit payer quoi. Les développements qui suivent décrivent la méthode utile à toute société confrontée à un sinistre comparable : ils ne visent aucune entreprise déterminée et ne préjugent d’aucune responsabilité dans l’affaire rapportée par la presse.

Pour le dirigeant d’une société d’exploitation, la question se pose en trois temps : le maintien prolongé de systèmes annoncés en fin de vie, sans correctif, serait-il susceptible de constituer une faute de gestion engageant sa responsabilité envers la société et ses associés ? Comment prouver et chiffrer les pertes — marchandises détruites, fermeture de rayons, perte d’exploitation — pour être indemnisé ? Contre qui agir : le prestataire informatique, l’assureur, la centrale, et avec quelles actions ouvertes aux associés, notamment à Paris et en Île-de-France ? Réponses méthodiques, textes et décisions à l’appui.

I. Le dirigeant qui a maintenu des systèmes obsolètes sans mise à jour engage-t-il sa responsabilité ?

A. Faute de gestion du gérant et du président : quand des logiciels en fin de vie non corrigés deviennent une faute

Le gérant de SARL « est responsable », selon l’article L. 223-22 du code de commerce, qui dispose : « Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion. » Le même triptyque pèse sur les administrateurs et le directeur général de société anonyme : l’article L. 225-251 du code de commerce énonce que « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. » Et l’article L. 227-8 du code de commerce étend ces règles au président et aux dirigeants de SAS : « Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée. » Autrement dit, dans la SARL de famille qui exploite un supermarché comme dans la SAS holding d’un réseau, le dirigeant répond de ses fautes de gestion devant la société.

Maintenir en production, des années durant, des systèmes de supervision dont le fabricant a annoncé la fin de vie et l’arrêt des correctifs de sécurité, sans plan de migration ni mesure compensatoire, serait susceptible de constituer une telle faute de gestion si le dirigeant a été alerté — recommandations du fabricant, audits, incidents antérieurs — et n’a rien décidé. La faute ne se déduit pas du seul sinistre : une cyberattaque, même massive, ne rend pas le dirigeant automatiquement responsable. Elle s’apprécie au regard de ce qu’un dirigeant diligent placé dans la même situation aurait décidé : avenant de maintenance, remplacement des équipements, segmentation du réseau, sauvegardes, assurance. Le dossier du dirigeant se joue donc sur les traces écrites antérieures au sinistre : devis refusés, alertes du prestataire restées sans suite, procès-verbaux d’assemblée évoquant le sujet, courriels de la centrale. Chaque pièce compte, dans un sens comme dans l’autre.

La Cour de cassation va plus loin lorsque le comportement du gérant dépasse la simple négligence. Par arrêt du 12 mai 2015 (n° 14-13.104, consultable sur le site de la Cour de cassation), la chambre commerciale, au visa de l’article L. 223-22, alinéa 1er, du code de commerce, a censuré une cour d’appel pour ne pas avoir recherché « si la mise en sommeil de la société Océane Motorsport, décidée par M. Bernard Y… après le dépôt du rapport d’expertise ayant conclu à la responsabilité de cette société dans l’exécution défectueuse des travaux mis à sa charge, ne constituait pas, de la part de son auteur, une faute intentionnelle d’une particulière gravité incompatible avec l’exercice normal de ses fonctions sociales ». Transposée au dirigeant qui, averti de la fin de vie de ses systèmes et du risque documenté, laisserait sciemment l’outil critique sans protection, cette grille d’analyse ouvre la mise en cause personnelle, y compris envers les tiers — fournisseurs impayés, franchiseur, clients — dès lors que la faute présenterait ce degré de gravité et d’intentionnalité. Au conditionnel toujours : c’est le tribunal qui qualifiera, pièces en main.

Deux garde-fous temporels encadrent l’action. D’abord, l’article L. 225-254 du code de commerce dispose que « L’action en responsabilité contre les administrateurs ou le directeur général, tant sociale qu’individuelle, se prescrit par trois ans, à compter du fait dommageable ou s’il a été dissimulé, de sa révélation. » Le point de départ glisse donc à la révélation si la décision de ne pas mettre à jour a été dissimulée aux associés. Ensuite, si les difficultés conduisent à une liquidation judiciaire faisant apparaître une insuffisance d’actif, l’article L. 651-2 du code de commerce permet au tribunal, « en cas de faute de gestion ayant contribué à cette insuffisance d’actif », de décider « que le montant de cette insuffisance d’actif sera supporté, en tout ou en partie, par tous les dirigeants de droit ou de fait, ou par certains d’entre eux, ayant contribué à la faute de gestion ». Le dirigeant qui a négligé la sécurité informatique de l’outil d’exploitation s’expose donc sur deux fronts : l’action en responsabilité de droit commun et, en cas de dépôt de bilan, l’action en insuffisance d’actif.

Sur le plan pénal, l’attaque elle-même relève de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Déposer plainte contre X dès les premiers constats — avec les journaux de connexion et les relevés d’anomalies — préserve les droits de la société, fige la chronologie et appuie les déclarations aux assureurs. La plainte ne désigne personne : elle constate, à l’indicatif, ce que les techniciens ont relevé, et laisse l’enquête qualifier.

B. Comment prouver les pertes de la société après une cyberattaque du froid : constats, stocks et assurance

En droit français, « Celui qui réclame l’exécution d’une obligation doit la prouver », et « celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation » (article 1353 du code civil). La société qui réclame une indemnité à son prestataire ou à son assureur supporte donc la charge de la preuve du dommage, de son montant et du lien avec le sinistre. Or les denrées périssables se détruisent vite, les températures se rétablissent, les équipes nettoient : sans constats immédiats, il ne reste que des affirmations. Le premier rLa première réflexe utileeacute;flexe utile consiste à faire dresser, dans les heures qui suivent la découverte, un constat par un commissaire de justice (ex-huissier) : relevés de température, captures des écrans de supervision, journaux d’événements, photographies des rayons et des chambres froides, identification des lots. Ce constat fige l’indicatif des faits : ce que l’officier ministériel a vu, entendu et mesuré.

Le chiffrage distingue trois postes. Premièrement, les marchandises détruites : inventaires valorisés au coût d’achat, bons d’enlèvement et bordereaux de destruction établis avec le prestataire de traitement des déchets, attestations du vétérinaire sanitaire ou des services compétents le cas échéant. Les denrées exposées à une rupture avérée de la chaîne du froid ne peuvent être remises en vente : les faire détruire avec traçabilité écrite protège à la fois la santé publique et le dossier d’indemnisation. Deuxièmement, la perte d’exploitation : marge perdue pendant la fermeture des rayons, coût du personnel maintenu, frais de remise en service. L’attestation de l’expert-comptable comparant le chiffre d’affaires de la période à une période de référence comparable constitue la pièce maîtresse. La cour d’appel de Reims, dans un litige opposant une PME à son prestataire informatique après une attaque par rançongiciel (arrêt du 28 avril 2026, RG 24/01502, consultable sur le site de la Cour de cassation), a ainsi retenu une attestation d’expert-comptable établissant une perte d’exploitation de 15 724,95 euros pour dix jours d’arrêt, ramenée à 7 862,47 euros après partage de responsabilité. Troisièmement, les frais engagés pour limiter le dommage : intervention d’urgence, audit, remise en état, rançon éventuellement versée — la même cour a indemnisé le coût de remise en état (5 347,56 euros), le paramétrage des connexions (262,50 euros), la réinstallation logicielle (105 euros) et la rançon (2 755,18 euros), avant application du partage par moitié, soit 12 097,59 euros au total. En revanche, elle a écarté le temps passé par le gérant et sa secrétaire, faute de preuve autre qu’un tableau établi par la société elle-même, ainsi que le coût d’un audit décidé unilatéralement et le préjudice moral non démontré. La leçon opératoire tient en une phrase : chaque euro réclamé doit s’appuyer sur une facture de tiers ou une attestation externe, jamais sur une auto-évaluation.

Côté assurance, la diligence prime. L’article L. 113-2 du code des assurances impose à l’assuré de « répondre exactement aux questions posées par l’assureur » lors de la souscription « sur les circonstances qui sont de nature à faire apprécier par l’assureur les risques qu’il prend en charge », et de déclarer en cours de contrat les circonstances nouvelles. Une société qui aurait déclaré des systèmes maintenus alors qu’ils étaient en fin de vie sans correctifs s’exposerait à une réduction d’indemnité, voire à la nullité pour fausse déclaration intentionnelle. Dès le sinistre, déclarer par écrit à l’assureur multirisque et, le cas échéant, à l’assureur perte d’exploitation et à l’assureur cyber, dans les délais stipulés au contrat, par lettre recommandée avec accusé de réception, en joignant le constat du commissaire de justice et l’inventaire provisoire. Ne rien jeter sans l’accord écrit de l’assureur, conserver les pièces altérées le temps de l’expertise, et exiger la désignation d’un expert contradictoire. Si l’assureur oppose une exclusion — cyber, obsolescence, défaut d’entretien —, la contester par écrit en visant les clauses exactes : une exclusion doit être formelle, limitée et portée à la connaissance de l’assuré pour être opposable.

Enfin, documenter la continuité décisionnelle du dirigeant : convocation d’une assemblée, information des associés, décision de destruction des stocks, choix du prestataire de secours. Ces décisions, consignées par écrit, démontrent une gestion diligente post-sinistre et réduisent l’espace d’une action ultérieure contre le dirigeant lui-même. Le dirigeant qui gère la crise de façon tracée et proportionnée se protège autant qu’il protège la société.

II. Comment faire payer le responsable et protéger la société : prestataire, assureur et action des associés

A. Recours contre le prestataire informatique et froid : mise en demeure, résiliation et indemnisation

Le contrat est la première loi des parties : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » (article 1103 du code civil) et « Les contrats doivent être négociés, formés et exécutés de bonne foi. » (article 1104 du code civil), comme le rappelle la cour d’appel de Reims dans son arrêt du 28 avril 2026 (RG 24/01502). La société cliente qui subit l’inexécution peut en demander réparation sur le fondement de l’article 1217 du code civil. La société cliente d’un prestataire de supervision ou de maintenance informatique dispose donc d’un fondement contractuel direct dès lors qu’elle démontre un manquement : défaut de correctifs, absence d’alerte sur la fin de vie, sauvegarde non définie, mots de passe jamais renouvelés.

La portée de l’obligation du prestataire est précisée par la cour d’appel de Reims (arrêt du 28 avril 2026, RG 24/01502), dans des motifs appelés à servir de référence : « Le prestataire de services informatique chargé de la création et de l’élaboration de logiciels, sites web ou applications mobiles, prestations intellectuelles complexes par nature soumises à des aléas résultant de l’obligation de collaboration du client et de l’évolution rapide du secteur informatique, est tenu d’une obligation de moyens renforcée quant à la délivrance de l’ouvrage commandé. Il lui appartient ainsi de rapporter la preuve qu’il a accompli toute diligence en vue de l’obtention du résultat escompté, mais également qu’il n’a pas commis de faute dans l’exécution de ses obligations. » S’y ajoute le devoir de conseil : « L’obligation de conseil de la société informatique (analyse des besoins, orientation vers la solution adaptée, alerte sur les risques) est une obligation de moyens renforcée. Si le client soutient qu’il n’a pas été correctement informé des limites du logiciel ou des risques du projet, il lui suffit d’alléguer qu’une information était due ; c’est alors au prestataire de prouver qu’il a effectivement délivré les explications et mises en garde nécessaires. » Un prestataire qui aurait laissé son client exploiter des équipements en fin de vie sans l’alerter par écrit sur les risques et sans proposer de migration engagerait sa responsabilité sur ce double fondement, à charge pour la société cliente d’alléguer l’information due.

Le partage de responsabilité reste toutefois la règle probable, pas l’exception. Dans l’affaire jugée par la cour d’appel de Reims (arrêt du 28 avril 2026, RG 24/01502), la cour a relevé que « la mise en place d’une sauvegarde n’est pas clairement définie au sein des documents contractuels (devis et factures) », que l’absence de cahier des charges et la transmission d’informations insuffisantes au cocontractant avaient, selon la cour, également concouru à la réalisation du dommage, et en a déduit que « la société 3 services informatiques ne sera tenue des conséquences de ses dommages qu’à hauteur de 50 % », avant de dire qu’elle « est responsable à hauteur de 50 % des dommages subis par la société MISA ». Le client profane qui choisit le devis le moins cher, sans exiger de sauvegarde ni de clause de niveau de service, assume une part du risque. Pour la société d’exploitation d’un magasin, la méthode consiste donc à exiger du prestataire, dès la négociation et à chaque renouvellement : un inventaire des versions et des fins de vie, des correctifs planifiés, une sauvegarde externalisée et testée, un engagement de délai de rétablissement, et des alertes écrites. À défaut, le juge partagera.

En pratique, la chronologie du recours s’ordonne ainsi : mise en demeure par lettre recommandée dès les constats, décrivant les manquements et impartissant un délai de remédiation ; audit indépendant et demande d’expertise judiciaire pour établir les causes techniques ; chiffrage contradictoire avec l’expert-comptable ; puis assignation en résolution partielle ou totale, réduction du prix et dommages-intérêts sur le fondement de l’article 1217 du code civil. Les clauses limitatives de réparation, fréquentes dans les contrats de maintenance, ne s’appliquent que si elles ont été effectivement acceptées par le client et dans les limites admises par la loi : les faire vérifier ligne à ligne avant d’accepter une offre transactionnelle. Parallèlement, si un tiers — centrale d’achat, franchiseur, intermédiaire — a imposé le prestataire ou le matériel, sa responsabilité délictuelle peut être recherchée sur le fondement de l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Pour situer ces diligences dans leur cadre réglementaire, on se reportera utilement à la présentation des obligations NIS2 pour les PME et de l’enregistrement auprès de l’ANSSI.

B. Associés et gérant défaillant à Paris : action sociale, révocation et tribunal compétent

Lorsque le dirigeant refuse de mettre à jour les systèmes, refuse d’agir contre le prestataire ou dissimule l’ampleur des pertes, les associés ne sont pas démunis. Outre l’action en réparation de leur préjudice personnel — par exemple la perte de valeur de leurs parts —, ils disposent de l’action sociale exercée au nom de la société, dite action ut singuli. L’article L. 225-252 du code de commerce prévoit qu’« Outre l’action en réparation du préjudice subi personnellement, les actionnaires peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les administrateurs ou le directeur général », les demandeurs étant habilités à poursuivre la réparation de l’entier préjudice subi par la société, à laquelle les dommages-intérêts sont alloués. En SARL, l’article L. 223-22 du code de commerce ouvre la même voie aux associés, individuellement ou groupés. Concrètement, un associé minoritaire d’une société d’exploitation peut ainsi contraindre le gérant à rendre compte du sinistre devant le tribunal, obtenir sa condamnation à indemniser la société et faire entrer les dommages-intérêts dans les caisses sociales, sans passer par une majorité qui le bloquerait en assemblée.

Cette action obéit toutefois à des conditions strictes de recevabilité et de délai, comme l’illustre l’arrêt de la chambre commerciale du 10 juin 2020 (n° 18-14.924, consultable sur le site de la Cour de cassation), qui a rejeté le pourvoi des demandeurs à l’action sociale dans un dossier où se cumulaient difficultés de prescription — faits de 2006-2007, action engagée en 2012, jeu des dispositions transitoires de la loi du 17 juin 2008 — et contestation sur la qualité de dirigeant de fait de la défenderesse. Les textes visés, l’article L. 225-251 et l’article L. 225-252 du code de commerce, ne s’appliquent qu’aux dirigeants de droit et supposent une faute commise dans l’accomplissement du mandat social. Trois enseignements opératoires : agir dans le délai de trois ans de l’article L. 225-254, viser le dirigeant de droit en fonction au moment des décisions critiquées, et articuler précisément le préjudice social — pertes du magasin, coûts de remise en état — distinct du préjudice personnel de l’associé. L’assignation mal calibrée se heurte à l’irrecevabilité avant même l’examen du fond.

Avant ou parallèlement au contentieux, les associés peuvent provoquer le départ du dirigeant. En SARL, la révocation du gérant se décide aux conditions de majorité prévues par la loi et les statuts, sur un ordre du jour qui expose les griefs — maintien de systèmes en fin de vie malgré les alertes, défaut d’assurance adaptée, passivité face au prestataire — et après avoir mis l’intéressé en mesure de présenter ses observations, faute de quoi la révocation, même régulièrement votée, exposerait la société à des dommages-intérêts pour révocation abusive ou vexatoire si aucun juste motif n’est établi. En SAS, les statuts fixent librement les conditions de révocation du président : les relire avant d’agir, car une révocation prononcée en violation des clauses statutaires serait annulable. Dans les deux cas, publier la cessation de fonctions au registre du commerce et des sociétés et informer la banque, l’assureur et les cocontractants : un dirigeant révoqué qui continuerait de signer engagerait la société envers les tiers de bonne foi.

À Paris et en Île-de-France, le contentieux relève en principe du tribunal de commerce de Paris lorsque le siège de la société d’exploitation y est situé, et du tribunal judiciaire de Paris pour les aspects pénaux de la plainte contre X déposée après l’attaque. En pratique parisienne, prévoir : un constat de commissaire de justice dans la journée, compte tenu de la disponibilité des études de la capitale ; une demande d’expertise judiciaire en référé devant le président du tribunal de commerce pour figer les causes techniques avant toute remise en service complète ; l’assignation au fond dans un délai compatible avec la prescription triennale ; et la déclaration de sinistre auprès des assureurs franciliens dans les délais contractuels. Les pièces à réunir pour le premier rendez-vous utile tiennent en une liste : statuts et extrait Kbis, contrats de maintenance et de supervision, échanges écrits avec le prestataire et la centrale, constats et inventaires, attestations de l’expert-comptable, polices d’assurance et correspondances avec l’assureur, procès-verbaux d’assemblée. Les sociétés dont l’activité parisienne dépend d’une centrale de province veilleront à articuler les clauses attributives de juridiction figurant dans les contrats de réseau, qui peuvent désigner un autre tribunal. Pour situer ces démarches dans l’accompagnement global des dirigeants et associés, la page dédiée présente l’intervention d’un avocat en droit des sociétés à Paris pour les litiges entre associés et la responsabilité des dirigeants et l’accompagnement des associés en conflit devant le tribunal de commerce.

Conclusion

Une cyberattaque qui détruit les stocks réfrigérés d’un réseau de magasins met le dirigeant devant ses responsabilités : démontrer qu’il a géré en bon père de famille des systèmes dont la fin de vie était annoncée, prouver chaque euro de perte par des pièces externes, mettre en demeure le prestataire défaillant et déclarer le sinistre aux assureurs dans les délais. Les textes — articles L. 223-22, L. 225-251, L. 225-252, L. 225-254, L. 651-2 du code de commerce, article L. 113-2 du code des assurances, articles 1353, 1217, 1240 du code civil et article 323-1 du code pénal — et les décisions récentes, de la chambre commerciale du 12 mai 2015 (n° 14-13.104) et du 10 juin 2020 (n° 18-14.924) à la cour d’appel de Reims du 28 avril 2026 (RG 24/01502), dessinent une méthode éprouvée : constat immédiat, chiffrage contradictoire, action contractuelle contre le prestataire tenu d’une obligation de moyens renforcée et d’un devoir de conseil, action sociale des associés contre le dirigeant défaillant dans le délai de trois ans. Rappelons-le pour finir : à la date de rédaction, aucun fait rapporté par la presse n’a été constaté par une source officielle, aucune responsabilité n’est établie à l’encontre d’une entreprise ou d’un dirigeant déterminé, les contrats signés priment sur toute analyse générale, et seul le juge, au vu des pièces de chaque espèce, tranchera.