Le lundi 12 octobre 2026, des centaines de supermarchés en France ont découvert que leurs armoires frigorifiques connectées affichaient des températures en hausse, pilotées à distance par des intrus passés par internet. Selon les informations publiées par franceinfo les 13 et 14 octobre 2026, l’attaque a visé des installations frigorifiques reliées au réseau, elle a contraint des magasins à vider leurs rayons frais et elle aurait engendré des pertes chiffrées en millions d’euros. L’Agence nationale de la sécurité des systèmes d’information, citée par les mêmes articles, rappelle que ces équipements restent souvent exposés : mots de passe d’origine jamais modifiés, systèmes que personne n’ose mettre à jour, correctifs disponibles mais non installés. Aucune responsabilité n’est établie à ce jour dans ce dossier précis, il n’est d’ailleurs pas établi que la faille signalée depuis plusieurs mois par une entreprise de cybersécurité ait servi de porte d’entrée, et seul le juge pourra trancher les responsabilités. Mais la leçon dépasse ce seul incident : toute société dont l’outil de production, la caisse, la vidéosurveillance ou la gestion des stocks dépend d’objets connectés peut se réveiller un matin avec des machines folles, des données volées et des clients à prévenir. Ce dossier explique ce que le dirigeant doit faire dans les premières heures, qui il doit notifier et dans quels délais, comment il dépose plainte utilement, puis comment la société chiffre son préjudice, se retourne contre son prestataire ou son équipementier et protège son dirigeant contre une mise en cause personnelle, avec les réflexes propres aux entreprises de Paris et d’Île-de-France.

I. Cyberattaque contre votre entreprise : isoler les systèmes, préserver les preuves et notifier sans attendre

A. Isoler les équipements piratés et préserver les preuves avant de déposer plainte

La première heure décide souvent du sort du dossier. Quand des équipements connectés se comportent de façon anormale, comme ces armoires frigorifiques dont la température montait seule, le dirigeant fait isoler les installations du réseau sans détruire les traces : déconnexion plutôt qu’effacement, photographies des écrans et des réglages, conservation des journaux de connexion, sauvegarde des enregistrements de vidéosurveillance et des historiques de télégestion. Les mots de passe d’origine, du type de ceux que l’Agence nationale de la sécurité des systèmes d’information dénonce lorsqu’ils ne sont jamais modifiés, sont relevés et consignés par écrit, car ils documentent l’état réel de la sécurité au jour de l’attaque. Un constat dressé par un commissaire de justice dans les heures qui suivent fige la situation : température relevée, marchandises détruites, messages d’erreur affichés, impossibilité d’accéder à l’administration à distance. Ce procès-verbal servira ensuite devant l’assureur, devant le tribunal civil contre le prestataire et devant le juge pénal.

Le droit pénal qualifie ces faits avec précision. Aux termes de l’article 323-1 du code pénal, « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Lorsque l’intrusion a modifié des données ou altéré le fonctionnement du système, ce qui est le cas quand des consignes de température sont modifiées à distance, la peine monte à cinq ans d’emprisonnement et 150 000 euros d’amende. Le texte suivant vise le sabotage lui-même : aux termes de l’article 323-2 du code pénal, « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Et l’article 323-3 du code pénal ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La loi punit même la préparation collective, puisque l’article 323-4 du code pénal dispose que « La participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3-1 est punie des peines prévues pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée. » Ces qualifications ne sont pas théoriques : par arrêt du 8 juin 2021, pourvoi n° 20-85.853, la chambre criminelle de la Cour de cassation a rejeté le pourvoi formé contre un arrêt qui, « pour atteinte à un système de traitement automatisé de données, l’a condamné à 15 000 euros d’amende et à six mois d’interdiction professionnelle ». Le dirigeant victime a donc tout intérêt à déposer plainte en visant ces qualifications, avec le constat du commissaire de justice, les journaux de connexion et l’inventaire des dommages joints au dossier.

En pratique, la société organise la cellule de crise le jour même : un responsable unique, un registre horodaté des décisions, la coupure des accès distants suspects, la réinitialisation des identifiants d’administration, la vérification des sauvegardes avant toute restauration, et l’information des salariés sur l’interdiction de manipuler les postes concernés. Quand un correctif de sécurité existe, comme celui que l’équipementier avait déployé plusieurs mois avant l’attaque d’octobre 2026 selon franceinfo, la société le fait installer sans délai et conserve la preuve de cette mise à jour : elle démontre sa diligence et elle coupe court à tout reproche de négligence ultérieur. Les échanges avec le prestataire informatique et l’équipementier sont menés par écrit dès le premier appel, avec accusé de réception, car chaque message technique échangé à chaud devient une pièce du contentieux à venir sur la garantie et la responsabilité.

B. Notifier la CNIL, l’assureur et le prestataire : délais, pièces et dépôt de plainte à Paris

Dès que l’attaque a pu exposer des données personnelles, fichiers clients, données de paie, images de vidéosurveillance ou historiques d’achat, la société examine sans attendre si une notification à la Commission nationale de l’informatique et des libertés s’impose. Le règlement européen sur la protection des données impose au responsable de traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, lorsque c’est possible, au plus tard soixante-douze heures après en avoir pris connaissance, et d’informer les personnes concernées quand la violation engendre un risque élevé pour leurs droits (page de la CNIL sur les notifications de violation). Concrètement, le dirigeant fait établir un inventaire des traitements touchés, la nature des données potentiellement lues ou extraites, le nombre approximatif de personnes concernées et les mesures déjà prises pour circonscrire l’incident. Un retard ou une notification incomplète expose la société à une procédure de sanction distincte de l’attaque elle-même, alors même qu’elle en est la victime : la notification rapide et documentée est donc aussi un acte de défense du dirigeant.

Parallèlement, la société déclare le sinistre à son assureur, assurance cyber quand elle existe, assurance pertes d’exploitation et assurance marchandises. La déclaration reprend le récit horodaté, le constat du commissaire de justice, l’estimation provisoire des pertes et les mesures de sauvegarde engagées. Les contrats d’assurance imposent des délais de déclaration brefs, souvent de quelques jours, et subordonnent la garantie au respect de ces délais : le dirigeant vérifie la clause le jour même et adresse la déclaration en recommandé avec accusé de réception, doublée d’un courriel. Il met en demeure dans le même temps son prestataire informatique et, le cas échéant, l’équipementier, de prendre position sur l’origine de la faille, de fournir les correctifs et de participer aux opérations de remise en service. Cette mise en demeure, qui vise les contrats de maintenance, d’infogérance et de fourniture, interrompt les discussions informelles et fait courir les délais de la responsabilité contractuelle.

Le dépôt de plainte suit immédiatement. La société signale les faits en ligne puis dépose plainte avec constitution de partie civile, en joignant le constat, les journaux et l’inventaire chiffré. À Paris et en Île-de-France, le dirigeant peut déposer plainte dans tout commissariat ou auprès du procureur de la République du tribunal judiciaire de Paris, et les entreprises parisiennes disposent sur place des services d’enquête dédiés à la cybercriminalité ainsi que d’un accès direct aux juridictions parisiennes pour l’urgence civile. Le choix du tribunal judiciaire de Paris pour un référé expertise ou une action en responsabilité se justifie quand le prestataire y est établi ou quand le dommage y est subi, et les constats comme les expertises s’organisent rapidement dans le ressort. Un avocat en droit des sociétés à Paris suit alors le dossier pénal comme le dossier civil, car la plainte soutient la négociation avec l’assureur et le prestataire pendant que l’action civile chiffre le préjudice.

II. Société victime d’une cyberattaque : faire payer les responsables et protéger le dirigeant

A. Agir contre le prestataire informatique ou l’équipementier : inexécution du contrat, garantie et préjudice chiffré

Quand l’attaque est passée par une faille du matériel ou par une négligence du prestataire chargé de la sécurité, la société dispose de deux voies complémentaires. Sur le terrain contractuel, l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le contrat de maintenance ou d’infogérance comportait-il une obligation de mise à jour des correctifs, une obligation de surveillance, des engagements de délai de rétablissement ? Si le correctif existait depuis des mois et n’a jamais été proposé ni installé, l’inexécution est caractérisée, et la cyberattaque extérieure ne constitue pas une force majeure qui exonérerait le prestataire dès lors que la vulnérabilité était connue et documentée. Sur le terrain délictuel, l’article 1240 du code civil énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La faute de l’équipementier qui laisse des mots de passe d’origine ou des accès distants ouverts, ou celle du prestataire qui n’alerte jamais son client, engage leur responsabilité envers la société utilisatrice comme envers les tiers qui ont subi le contrecoup.

Le préjudice se chiffre poste par poste, avec pièces à l’appui : marchandises détruites et jetées, valorisées au prix d’achat avec les bons de destruction ; marge perdue pendant la fermeture des rayons ou l’arrêt de la production, établie par comparaison avec les semaines de référence ; coût de la remise en service, intervention d’urgence du prestataire, remplacement des équipements, audit de sécurité ; coût des notifications, courriers aux clients, communication de crise ; et, quand des données personnelles ont fuité, provision pour les réclamations à venir. Une expertise judiciaire, ordonnée en référé devant le tribunal judiciaire, fige ce chiffrage et identifie techniquement la porte d’entrée : défaut de mise à jour, mot de passe d’origine, accès distant non sécurisé, absence de segmentation du réseau. Le rapport d’expert départage ensuite ce qui relève de la négligence du prestataire, du défaut du matériel et d’une éventuelle part de négligence de la société elle-même, par exemple si elle a refusé par écrit un devis de sécurisation proposé avant l’attaque. Les clauses limitatives de responsabilité des contrats informatiques sont relues de près : elles ne couvrent ni la faute lourde ni le dol, et leur opposabilité dépend de leur négociation effective et de leur présence dans les conditions acceptées par la société.

La négociation s’engage sur cette base documentée : mise en demeure chiffrée, proposition de protocole transactionnel avec calendrier de paiement, et, à défaut d’accord, assignation au fond. L’assureur de la société, subrogé après indemnisation, peut agir aux côtés de la société contre le responsable. Quand plusieurs sociétés ont été frappées par la même vague, comme les centaines de magasins touchés en octobre 2026, une coordination des victimes renforce chaque dossier : constats croisés, expertises convergentes, partage des coûts. Chaque société conserve toutefois sa propre action et son propre chiffrage, car les préjudices diffèrent d’un site à l’autre. Les délais de l’action contractuelle et ceux de la garantie des vices ou de la garantie commerciale sont vérifiés contrat par contrat, pour qu’aucune forclusion ne vienne éteindre un recours bien fondé.

Le dirigeant anticipe enfin l’après-crise dès la première semaine : renégociation du contrat de maintenance pour y inscrire des engagements mesurables de délai de mise à jour et de surveillance, révision des habilitations d’accès distant site par site, remplacement programmé des équipements les plus exposés et souscription ou extension d’une garantie cyber qui couvre la perte d’exploitation comme les frais de notification. Chaque décision est consignée dans le registre d’incident tenu depuis le premier jour, avec sa date, son auteur et sa justification, car ce registre constitue la meilleure réponse à un associé ou à un tiers qui reprocherait plus tard une gestion imprudente du risque informatique. Les factures des interventions d’urgence, les devis refusés ou acceptés, les échanges avec l’assureur et les constats successifs y sont annexés dans l’ordre chronologique, de sorte que le dossier raconte seul la diligence de la société du premier appel au retour à la normale.

B. Protéger le dirigeant et les associés : faute détachable, information des associés et continuité à Paris et en Île-de-France

Le dirigeant dont la société vient d’être piratée craint la question suivante : les associés, les fournisseurs ou les clients vont-ils se retourner contre lui personnellement pour avoir négligé la sécurité informatique ? La réponse tient au régime légal de la responsabilité des dirigeants. Pour le gérant de SARL, l’article L. 223-22 du code de commerce prévoit que « Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion. » Pour les sociétés anonymes, l’article L. 225-251 du code de commerce dispose que « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. » Et dans la société par actions simplifiée, l’article L. 227-8 du code de commerce précise que « Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée. » Envers les tiers, cette responsabilité personnelle suppose toutefois une faute détachable des fonctions. Par arrêt du 2 avril 2025, pourvoi n° 23-22.728, la chambre commerciale de la Cour de cassation rappelle : « Il résulte de l’article L. 225-251 du code de commerce que la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute détachable de ses fonctions et qu’il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales. » Un dirigeant qui a fait voter un budget sécurité, exigé les mises à jour et souscrit une assurance ne commet pas une telle faute ; celui qui, alerté par écrit d’une faille critique, aurait refusé toute mesure en connaissance de cause s’expose davantage.

La protection du dirigeant passe donc par la démonstration de sa diligence : décisions écrites, devis de sécurisation sollicités, mises à jour exigées du prestataire, information des associés en assemblée sur le risque cyber et les mesures prises, procès-verbaux qui conservent la trace de ces arbitrages. Quand l’attaque survient, le dirigeant convoque rapidement les associés, expose les faits sans dissimulation, présente le chiffrage provisoire, les déclarations à l’assureur et la stratégie de recours, et fait approuver les dépenses exceptionnelles. Cette transparence prive de fondement une action sociale en responsabilité intentée plus tard au motif que le dirigeant aurait caché l’ampleur du sinistre. Les conventions avec le prestataire informatique, souvent conclues par le dirigeant lui-même, sont auditées pour vérifier les engagements de sécurité, les pénalités et les assurances du prestataire, afin que la société agisse avant l’expiration des délais contractuels.

À Paris et en Île-de-France, la continuité de l’activité s’organise avec les ressources du ressort : prestataires d’intervention d’urgence joignables le jour même, commissaires de justice pour les constats dans Paris et la petite couronne, juridictions parisiennes pour les référés du lendemain quand une expertise doit être ordonnée avant la remise en service, et établissements bancaires du siège pour renégocier les échéances pendant la période de perte d’exploitation. Le dossier de chaque site francilien précise la juridiction compétente, les délais pratiques de remise en état, les pièces à préparer pour l’assureur et le canal procédural retenu, assignation au fond ou protocole négocié. Les entreprises dont l’activité est répartie sur plusieurs magasins ou entrepôts en Île-de-France centralisent la preuve au siège : un seul registre d’incident, un seul chiffrage consolidé, une seule mise en demeure par cocontractant, ce qui évite les récits divergents qui affaiblissent les recours. Le dirigeant parisien joint à son dossier la preuve de ses diligences locales : dépôt de plainte daté, déclaration à l’assureur dans les délais du contrat, notification à la CNIL quand des données personnelles sont en jeu, et traçabilité des correctifs installés depuis l’attaque.

Conclusion

Une cyberattaque qui dérègle des équipements connectés, comme celle qui a frappé des centaines de supermarchés le 12 octobre 2026, impose au dirigeant une méthode en deux temps : réagir vite et prouver, puis chiffrer et réclamer. Isoler sans effacer, faire constater par commissaire de justice, déposer plainte sur les qualifications des articles 323-1 à 323-4 du code pénal, notifier la CNIL quand des données personnelles sont exposées, déclarer le sinistre à l’assureur dans les délais du contrat et mettre le prestataire en demeure par écrit : ces gestes des premières heures conditionnent tous les recours. Vient ensuite le temps de la réparation, contre le prestataire défaillant sur le fondement de l’inexécution contractuelle, contre l’équipementier dont le défaut a ouvert la porte, avec un préjudice chiffré poste par poste et, si nécessaire, une expertise judiciaire. Le dirigeant qui a documenté ses diligences, informé ses associés et agi sans délai se protège contre toute mise en cause personnelle, car sa responsabilité envers les tiers suppose une faute intentionnelle d’une particulière gravité, incompatible avec l’exercice normal de ses fonctions. Aucune responsabilité n’est établie dans le dossier d’octobre 2026 à la date de rédaction, les contrats signés par chaque société priment sur toute analyse générale, et seul le juge dira qui doit réparer : aux dirigeants d’en tirer dès maintenant la méthode, les pièces et les délais qui feront la différence le jour où leurs propres machines seront visées.