Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les systèmes de régulation frigorifique de plusieurs centaines de supermarchés français auraient été déréglés à distance, avec une consigne de température portée à 50 °C et un dégivrage forcé en continu, selon Libération du 12 octobre 2026. Le lendemain, mardi 13 octobre, un magasin du Tarn aurait à son tour subi une rupture de la chaîne du froid et aurait dû jeter toute la marchandise de ses meubles réfrigérés, alors que ses équipements proviendraient d’un autre fabricant de régulateurs que celui identifié la veille, selon BFM TV du 13 octobre 2026 qui relaie ICI Occitanie TV. Une enquête aurait été ouverte et d’autres pays européens pourraient être touchés, toujours selon Libération. À la date de rédaction, aucun accident corporel, aucune intoxication ni aucun dommage constaté par une source officielle n’est rapporté dans ces articles, aucune responsabilité n’est établie, les contrats signés entre les entreprises concernées priment sur toute analyse générale, et seul le juge pourra dire qui doit répondre de quoi. La question que se posent désormais les entreprises clientes est directe : quand l’attaque transite par le système de votre prestataire, de votre mainteneur ou de votre équipementier, pouvez-vous vous retourner contre lui et obtenir réparation ? Cet article décrit la méthode, les textes et les réflexes utiles, en termes généraux, pour toute entreprise confrontée à une situation comparable.
I. Faire reconnaître la responsabilité du prestataire ou du fabricant de votre système
A. Que devez-vous prouver contre votre vendeur, votre mainteneur ou votre prestataire informatique ?
Le point de départ dépend du lien qui vous unit au professionnel dont le système a servi de porte d’entrée. Si vous êtes lié par un contrat de vente, de maintenance, d’infogérance ou de fourniture d’équipement, l’action se place sur le terrain contractuel. L’article 1231-1 du Code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du Code civil). Vous devez donc établir trois éléments : le contenu exact de l’obligation promise, le manquement constaté et le préjudice qui en résulte. La promesse se lit dans le contrat, ses annexes techniques, les engagements de niveau de service et la documentation du produit.
La charge de la preuve pèse sur celui qui réclame. L’article 1353 du Code civil dispose : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (article 1353 du Code civil). Concrètement, conservez le contrat signé, les bons de commande, les procès-verbaux de réception, les échanges sur les mises à jour et les journaux techniques qui montrent l’intrusion et ses effets. Les captures d’écran datées, les relevés de température, les constats d’un commissaire de justice et les rapports d’expertise constituent le socle du dossier. Sans ces pièces, même le dossier le plus choquant reste une affirmation sans preuve.
Lorsque l’engagement n’a pas été exécuté ou l’a été imparfaitement, la loi ouvre plusieurs voies. L’article 1217 du Code civil dispose : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; […] » (article 1217 du Code civil). La suspension du paiement des redevances de maintenance, la demande de remise en état immédiate et la renégociation du prix sont donc des leviers envisageables, à manier avec prudence et après mise en demeure, car une suspension injustifiée exposerait à son tour l’entreprise cliente à une action en paiement.
Si aucun contrat ne vous lie au professionnel visé, par exemple le fabricant d’un composant intégré par votre prestataire, l’action relève du terrain délictuel. L’article 1240 du Code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du Code civil). Il faut alors démontrer une faute précise, comme la commercialisation d’un système affecté d’une faille connue sans correctif proposé, un défaut d’information sur les mises à jour de sécurité ou l’absence d’alerte après la découverte d’une vulnérabilité. En principe, on ne cumule pas les deux voies pour les mêmes faits : le client lié par un contrat agit sur le fondement contractuel, tandis que le tiers au contrat agit sur le fondement délictuel.
La leçon la plus utile pour les entreprises vient d’une décision rendue dans un dossier proche, celui d’un coffret de commande et de régulation de chambres froides installé dans une boucherie. Par arrêt du 27 juin 2018 (pourvoi n° 17-17.469), la première chambre civile de la Cour de cassation rappelle d’abord que « un produit est défectueux lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre », puis casse l’arrêt d’appel qui avait déclaré le producteur entièrement responsable au seul motif que l’expert situait le départ du feu dans le coffret, sans pouvoir dire si l’origine relevait d’un défaut d’origine ou de l’intervention de l’installateur : « la simple imputabilité du dommage au produit incriminé ne suffit pas à établir son défaut ni le lien de causalité entre ce défaut et le dommage » (Cass. civ. 1re, 27 juin 2018, n° 17-17.469). Transposée à une cyberattaque transitant par un équipement ou un logiciel, cette solution signifie que montrer que l’attaque est passée par le système du prestataire ne suffit pas : il faut identifier le défaut, par exemple une faille d’authentification, l’absence de correctif ou un paramétrage d’accès à distance laissé ouvert, et relier ce défaut au dommage par une expertise technique sérieuse. L’expertise judiciaire ordonnée en référé devient alors la pièce maîtresse du dossier, car elle seule permet de départager ce qui relève du produit, de l’installation, du paramétrage et de l’usage.
B. Quelles garanties pouvez-vous invoquer sur l’équipement ou le logiciel lui-même ?
Le premier réflexe porte sur la garantie des vices cachés, qui protège l’acheteur contre les défauts non apparents au jour de la vente. L’article 1641 du Code civil dispose : « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. » (article 1641 du Code civil). Une faille de sécurité présente dès la livraison, qui permet à un tiers de prendre la main sur l’installation à distance, pourrait correspondre à cette définition, à condition de démontrer que le défaut existait au jour de la vente, qu’il était caché et qu’il rend l’équipement impropre à son usage ou en diminue gravement l’utilité. L’acquéreur peut alors demander la résolution de la vente ou une réduction du prix, outre des dommages et intérêts si le vendeur connaissait le vice ou est présumé le connaître.
Le vendeur professionnel est en effet présumé connaître les vices de ce qu’il vend. L’article 1645 du Code civil dispose : « Si le vendeur connaissait les vices de la chose, il est tenu, outre la restitution du prix qu’il en a reçu, de tous les dommages et intérêts envers l’acheteur. » (article 1645 du Code civil). Par arrêt du 5 juillet 2023 (pourvoi n° 22-11.621, publié au Bulletin), la chambre commerciale rappelle qu’« il résulte de ce texte une présomption irréfragable de connaissance par le vendeur professionnel du vice de la chose vendue, qui l’oblige à réparer l’intégralité de tous les dommages qui en sont la conséquence » (Cass. com., 5 juillet 2023, n° 22-11.621). Pour l’entreprise cliente, l’enjeu est considérable : face à un vendeur professionnel d’équipements ou de logiciels, la preuve de la connaissance du vice n’a pas à être rapportée, et la réparation couvre l’intégralité des dommages qui en sont la conséquence, y compris les pertes d’exploitation et les marchandises détruites, dans la limite du lien direct avec le vice.
Les contrats de vente et de maintenance contiennent souvent des clauses qui limitent ou excluent la garantie des vices cachés. L’article 1643 du Code civil dispose : « Il est tenu des vices cachés, quand même il ne les aurait pas connus, à moins que, dans ce cas, il n’ait stipulé qu’il ne sera obligé à aucune garantie. » (article 1643 du Code civil). Mais ces clauses ont des limites entre professionnels. Par arrêt du 6 mai 2026 (pourvoi n° 25-13.130), la chambre commerciale juge que « la clause limitative ou exclusive de garantie des vices cachés n’est opposable à un acheteur professionnel que s’il est de même spécialité que celui qui lui vend la chose » (Cass. com., 6 mai 2026, n° 25-13.130). Une entreprise de distribution alimentaire, un restaurateur ou un artisan dont le métier n’est ni l’informatique ni la régulation frigorifique pourrait donc écarter la clause qui lui serait opposée, tandis que le débat resterait ouvert face à un acheteur de même spécialité technique. Relisez ces clauses avant d’écrire au vendeur : elles orientent toute la stratégie, entre contestation de la clause et exécution forcée des engagements de correction.
Le délai pour agir sur ce fondement est bref. L’article 1648 du Code civil dispose : « L’action résultant des vices rédhibitoires doit être intentée par l’acquéreur dans un délai de deux ans à compter de la découverte du vice. […] » (article 1648 du Code civil). Le point de départ court de la découverte du défaut, donc en pratique du jour où l’expertise ou l’audit révèle la faille, et non du jour de l’achat. Une entreprise qui tarde à faire auditer son installation après l’incident risque de laisser courir un délai qui lui serait ensuite opposé.
Enfin, le régime des produits défectueux offre une voie indépendante du contrat. L’article 1245 du Code civil dispose : « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » (article 1245 du Code civil). Et l’article 1245-3 précise : « Un produit est défectueux au sens du présent chapitre lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre. Dans l’appréciation de la sécurité à laquelle on peut légitimement s’attendre, il doit être tenu compte de toutes les circonstances et notamment de la présentation du produit, de l’usage qui peut en être raisonnablement attendu et du moment de sa mise en circulation. Un produit ne peut être considéré comme défectueux par le seul fait qu’un autre, plus perfectionné, a été mis postérieurement en circulation. » (article 1245-3 du Code civil). Un système de régulation accessible à distance par une interface web, administré avec des identifiants prévisibles, sans correctif proposé alors qu’une faille d’authentification aurait été identifiée, pourrait ne pas offrir la sécurité à laquelle on peut légitimement s’attendre. Mais la décision du 27 juin 2018 citée plus haut impose la rigueur : la victime doit prouver le dommage, le défaut et le lien de causalité, et la simple localisation de l’attaque sur le produit ne suffit pas. L’expertise devra donc décrire la faille, dater son existence et expliquer comment elle a permis le déréglage.
II. Obtenir réparation et sécuriser la suite de votre activité
A. Comment agir vite et bien après la découverte de l’attaque ?
Les premières heures déterminent la solidité du dossier. Faites constater les faits par un commissaire de justice : températures relevées, messages d’erreur, journaux de connexion, état des marchandises, opérations de tri et de destruction. Adressez immédiatement au prestataire ou au vendeur une mise en demeure détaillée, par lettre recommandée avec accusé de réception, qui décrit les faits, vise les obligations contractuelles inexécutées et fixe un délai de remise en état. Cette lettre interrompt les discussions informelles qui s’enlisent et fait courir les délais de la réparation. Si le prestataire propose un correctif, exigez qu’il soit documenté, daté et testé, et conservez la preuve de son déploiement ou de son absence.
Quand la cause technique est contestée, demandez au juge une expertise avant tout procès. L’article 145 du Code de procédure civile dispose : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. […] » (article 145 du Code de procédure civile). Le référé expertise permet de faire désigner un expert indépendant qui décrira la faille, vérifiera l’historique des mises à jour, analysera les accès à distance et chiffrera les préjudices. La mission confiée à l’expert mérite un soin particulier : demandez-lui de se prononcer sur l’existence du défaut au jour de la livraison, sur la conformité aux règles de l’art, sur les correctifs disponibles et sur la part respective du produit, de l’installation et du paramétrage. Une mission trop étroite produit un rapport inutilisable ; une mission précise produit l’acte qui fera gagner le procès ou obtenir une transaction sérieuse.
Parallèlement, le volet pénal ne doit pas être négligé. L’article 323-1 du Code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. […] » (article 323-1 du Code pénal). Déposer plainte permet de faire constater l’infraction par les services d’enquête, dont les investigations alimentent le dossier civil, et d’obtenir des réquisitions techniques que l’entreprise seule ne pourrait pas exiger. La constitution de partie civile reste possible pour demander réparation devant le juge pénal, même si la voie civile demeure le plus souvent le cadre naturel du chiffrage des pertes d’exploitation.
Le chiffrage des préjudices doit être méthodique. Les dommages et intérêts ne couvrent que les suites directes de l’inexécution : l’article 1231-4 du Code civil dispose que « les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution » (article 1231-4 du Code civil). Rassemblez les factures de marchandises détruites, les coûts de remise en température et de nettoyage, les frais de remplacement en urgence, les marges perdues sur la période d’indisponibilité, les frais d’expertise et d’audit, ainsi que les surcoûts de sécurisation. Faites valider ces montants par votre expert-comptable : un tableau chiffré et pièces à l’appui pèse davantage qu’une estimation globale. Si votre contrat prévoit une pénalité, l’article 1231-5 du Code civil dispose : « Lorsque le contrat stipule que celui qui manquera de l’exécuter paiera une certaine somme à titre de dommages et intérêts, il ne peut être alloué à l’autre partie une somme plus forte ni moindre. » Le juge garde toutefois le pouvoir de modérer ou d’augmenter la pénalité convenue dans les cas prévus par ce texte. (article 1231-5 du Code civil). La pénalité contractuelle, quand elle existe, simplifie donc la réparation sans priver le juge de son pouvoir de rééquilibrage.
Surveillez les délais. Entre commerçants, l’article L. 110-4 du Code de commerce dispose : « I.-Les obligations nées à l’occasion de leur commerce entre commerçants ou entre commerçants et non-commerçants se prescrivent par cinq ans si elles ne sont pas soumises à des prescriptions spéciales plus courtes. […] » (article L. 110-4 du Code de commerce). L’action contractuelle contre le prestataire se prescrit donc en principe par cinq ans, tandis que l’action en garantie des vices cachés obéit au délai spécial de deux ans à compter de la découverte du vice. Une mise en demeure n’interrompt pas la prescription : seuls une action en justice, une mesure d’expertise judiciaire ou une reconnaissance de responsabilité produisent cet effet. Inscrivez ces dates dans votre calendrier dès l’ouverture du dossier.
Pour les entreprises de Paris et d’Île-de-France, le contentieux se joue le plus souvent devant le tribunal de commerce de Paris pour les litiges entre commerçants. L’article L. 721-3 du Code de commerce dispose : « Les tribunaux de commerce connaissent : 1° Des contestations relatives aux engagements entre commerçants, entre artisans, entre établissements de crédit, entre sociétés de financement ou entre eux ; 2° De celles relatives aux sociétés commerciales ; 3° De celles relatives aux actes de commerce entre toutes personnes. […] » (article L. 721-3 du Code de commerce). Vérifiez la clause attributive de juridiction de votre contrat : beaucoup de contrats d’infogérance désignent un tribunal précis, et cette clause s’applique en principe entre commerçants. Préparez un dossier parisien complet : contrat et annexes, historique des correctifs, constats du commissaire de justice, rapport d’expertise, chiffrage comptable et échanges de mise en demeure. Les juridictions franciliennes, fortement sollicitées, examinent d’abord la qualité des pièces : un dossier ordonné, daté et chiffré obtient plus vite une date d’expertise et inspire davantage confiance au juge des référés. Pensez aussi à déclarer le sinistre à votre assureur dans les délais du contrat, car la garantie perte d’exploitation et la déclaration de sinistre cyberassurance et la notification à la CNIL obéissent à leurs propres délais, distincts des délais judiciaires.
B. Comment verrouiller vos contrats contre la prochaine attaque par un tiers ?
Une fois la crise gérée, le contrat doit être relu ligne par ligne. Exigez du prestataire un engagement écrit de déploiement des correctifs de sécurité dans un délai défini, avec des astreintes ou des pénalités en cas de retard. Prévoyez une clause d’audit qui vous autorise à faire contrôler la sécurité du système par un tiers indépendant, ainsi qu’une obligation d’information en cas de découverte d’une vulnérabilité. Imposez la segmentation des accès à distance : chaque technicien dispose d’identifiants propres, les accès par défaut sont supprimés à la livraison, et toute connexion distante est journalisée. Ces stipulations transforment une vague promesse de sécurité en obligations vérifiables, dont l’inexécution ouvrira droit à réparation sur le fondement de l’article 1231-1 du Code civil.
Renégociez les clauses qui vous désarment. Les limitations de responsabilité et les exclusions de garantie des vices cachés doivent être relues à la lumière de la jurisprudence sur la même spécialité : un commerçant dont le métier n’est pas la technique peut contester la clause que lui oppose un vendeur spécialisé. Faites plafonner les limitations à un montant cohérent avec vos pertes d’exploitation réelles, et non à un multiple dérisoire du prix du contrat. Vérifiez les clauses de résiliation pour manquement grave : elles doivent permettre une sortie rapide si le prestataire laisse une faille connue sans correctif. Et refusez les clauses qui vous interdiraient de recourir à un expert indépendant ou de conserver les journaux techniques : sans journaux, aucune preuve de l’intrusion ne subsistera.
Organisez la résilience opérationnelle. Contractualisez des sauvegardes régulières des configurations et des paramètres critiques, testées et restaurables, afin qu’un déréglage malveillant puisse être annulé en quelques heures. Prévoyez un plan de continuité qui décrit qui coupe les accès à distance, qui isole les équipements, qui appelle le mainteneur et qui prévient l’assureur. Formez les équipes aux gestes de base : ne pas rebrancher un équipement compromis sans avis technique, photographier les écrans d’alerte avant toute manipulation, conserver les emballages et les factures des marchandises détruites pour le chiffrage. Ces mesures ne relèvent pas du luxe : elles conditionnent le montant de l’indemnisation, car le juge réduit la réparation lorsque la victime a aggravé son propre dommage par négligence.
Vérifiez enfin votre couverture d’assurance. La garantie perte d’exploitation, la garantie des marchandises en chambre froide et la garantie cyber doivent être relues ensemble : leurs exclusions se renvoient parfois la balle, chacune renvoyant le sinistre à l’autre. Demandez à votre courtier une confirmation écrite de l’articulation des garanties en cas d’attaque transitant par un prestataire, et déclarez vos nouveaux équipements à l’assureur pour éviter toute contestation sur l’assiette de la garantie. Si votre fournisseur vous doit de l’argent pour des marchandises détruites dans un contexte voisin, les règles de la créance du fournisseur impayé après destruction de marchandises complètent utilement ce dispositif. L’ensemble forme une chaîne de protection : contrat verrouillé, preuves conservées, assurance activée à temps et action judiciaire calibrée.
Conclusion
L’entreprise dont l’activité est paralysée par une attaque passée par le système de son prestataire ou de son équipementier n’est pas désarmée : inexécution contractuelle, garantie des vices cachés, présomption de connaissance du vendeur professionnel et responsabilité du fait des produits défectueux offrent des voies complémentaires, à condition de prouver le défaut et son lien direct avec le dommage par une expertise rigoureuse, de respecter les délais de deux et cinq ans et de chiffrer chaque poste de préjudice. À Paris comme ailleurs en Île-de-France, un dossier ordonné, expertisé et chiffré reste la condition de toute réparation. Rappelons les réserves qui encadrent cet article : à la date de rédaction, les faits rapportés proviennent d’articles de presse et non d’actes officiels, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, au vu des pièces et de l’expertise, pourra dire si un manquement engage la responsabilité du prestataire ou du fabricant.