Le 12 août 2026, le vol de données appartenant à la plateforme impots.gouv.fr est revendiqué sur un forum en ligne, selon vie-publique.fr. Le lendemain, une nouvelle revendication précise l’ampleur des données volées : elles concernent 353 000 particuliers et 252 000 professionnels. L’Agence nationale de la sécurité des systèmes d’information (ANSSI), saisie le jour même, a conduit un audit approfondi à la demande du Premier ministre, a remis son rapport d’incident le 24 septembre 2026 et l’a publié le 29 septembre 2026, comme l’annonce l’ANSSI elle-même. Pour 252 000 entreprises, professions indépendantes et structures assujetties, la question n’est plus de savoir si l’administration a été visée : c’est de savoir ce que la circulation de leurs propres données fiscales change à leurs décisions, à leurs preuves et à leurs contrats.

Cet article est la carte de ces conséquences en chaîne. Premier cercle : l’entreprise dont les données fiscales circulent doit vérifier ce qui a fuité, figer les preuves et déterminer si elle doit elle-même notifier quoi que ce soit. Deuxième cercle : ses partenaires — l’expert-comptable qui télétransmet pour son compte, la banque qui exécute ses virements, les fournisseurs et clients qui reçoivent soudain des messages en son nom — doivent décider qui paie quand un faux RIB ou un faux ordre de virement s’engouffre dans la brèche. Troisième cercle : les contrats en cours, des délais déclaratifs aux livraisons, qui ne s’effacent pas parce qu’une plateforme publique a été compromise.

Trois réserves commandent toute la lecture. D’abord, l’attribution de l’attaque et le contenu exact des données revendiquées sur un forum relèvent de ce que les sources disent : les exfiltrations et les faiblesses décrites par le rapport de l’ANSSI sont des faits établis par une autorité publique ; en revanche, ce que les auteurs de la revendication affirment d’eux-mêmes et de leurs intentions se raisonne au conditionnel. Ensuite, à la date de rédaction, aucune source officielle n’a constaté une intrusion, un dommage ou une responsabilité à l’encontre d’une entreprise déterminée : aucune responsabilité n’est établie, et les qualifications juridiques évoquées ici sont des hypothèses de travail, pas des constats. Enfin, les contrats signés — mandats comptables, conventions de compte, contrats de fourniture, polices d’assurance — priment sur toute analyse générale, et seul le juge, au vu des preuves effectivement rapportées, dira qui doit quoi à qui.

I. L’entreprise dont les données fiscales circulent : vérifier, figer, puis décider de notifier

Quand la fuite part d’une plateforme publique, le premier réflexe de l’entreprise est souvent l’attentisme : puisque la compromission vient de l’administration, il n’y aurait rien à faire. C’est l’inverse. Les données fiscales d’une entreprise — chiffres d’affaires déclarés, bénéfices, coordonnées bancaires transmises pour les prélèvements et remboursements, identité de ses dirigeants — sont précisément celles qui permettent, entre de mauvaises mains, d’usurper son identité auprès de ses propres partenaires. Le rapport de l’ANSSI décrit d’ailleurs un mode opératoire qui devrait alerter chaque dirigeant : les attaquants ont utilisé des identifiants de connexion légitimes, récupérés notamment parce qu’ils étaient employés sur des équipements personnels, et l’absence d’authentification forte sur les portails donnant accès à des ressources sensibles a permis leur réutilisation immédiate. Si des agents de l’État ont cédé à ces facilités, chaque entreprise doit se demander où en sont ses propres identifiants partagés, ses mots de passe réutilisés et ses accès sans double facteur.

A. Reconstituer ce qui a fuité et constituer le dossier de preuve dès maintenant

La première décision est une décision de preuve. Selon le rapport de l’ANSSI, les exfiltrations ont porté sur plusieurs gigaoctets à chaque fois, avec un nombre de requêtes par utilisateur anormal sur une plage temporelle donnée, des adresses de connexion via VPN ou localisées en Inde, et des connexions notamment nocturnes — et aucune de ces exfiltrations n’a été détectée ni par les moyens de supervision de la DGFiP ni par ceux de l’ANSSI. Autrement dit, pendant des semaines, des volumes considérables de données ont circulé sans alerte. Pour l’entreprise, la conséquence pratique est double : d’une part, elle ne peut pas savoir avec certitude quelles pièces la concernant ont été copiées ; d’autre part, c’est à elle qu’il appartiendra plus tard de démontrer, pièce par pièce, ce qu’elle a subi et ce qu’elle a fait.

En droit français, la règle de base est posée par l’article 1353 du code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (article 1353 du code civil). Appliquée à la situation, cette règle signifie que l’entreprise qui demandera demain réparation à un assureur, qui contestera un redressement assis sur des déclarations détournées, ou qui voudra démontrer à sa banque qu’un ordre de virement ne venait pas d’elle, devra produire des traces contemporaines des faits : captures datées des messages suspects reçus, journaux de connexion de ses propres outils, courriels d’alerte de son expert-comptable, récépissés de dépôt de plainte, échanges avec ses partenaires. Les souvenirs reconstitués six mois plus tard ne valent pas des journaux conservés le jour même.

Concrètement, l’entreprise avisée ouvre dès cette semaine un dossier unique, papier et numérique : elle y verse la copie des informations publiques disponibles sur l’incident, la liste de ses comptes et habilitations sur les téléservices fiscaux, l’historique de ses déclarations et paiements de l’été 2026, et surtout le relevé de tout événement anormal constaté depuis — courriel semblant provenir de la DGFiP avec une pièce jointe inattendue, appel d’un prétendu agent réclamant des coordonnées bancaires, demande de RIB émanant d’un fournisseur habituel mais depuis une adresse légèrement modifiée. Chaque pièce est datée, chaque correspondant est identifié, chaque décision est écrite. Ce dossier servira indifféremment devant l’assureur, devant la banque et, le cas échéant, devant le juge.

Le dépôt d’une plainte mérite une attention particulière. Il ne s’agit pas d’une formalité symbolique : la plainte fige la version de l’entreprise à une date certaine, déclenche l’enquête qui seule peut établir l’origine d’une fraude, et conditionne souvent la mise en jeu des garanties d’assurance. Elle doit décrire avec précision les faits constatés — jamais les suppositions — et viser les qualifications que les faits semblent caractériser, en laissant au procureur le soin de les retenir : escroquerie, usurpation, accès frauduleux. L’entreprise qui attend « d’en savoir plus » avant de déposer plainte prend le risque inverse : celui de voir son assureur ou sa banque lui reprocher son inertie.

Un mot, enfin, sur le secret fiscal. L’article L. 103 du livre des procédures fiscales dispose : « L’obligation du secret professionnel, telle qu’elle est définie aux articles 226-13 et 226-14 du code pénal, s’applique à toutes les personnes appelées à l’occasion de leurs fonctions ou attributions à intervenir dans l’assiette, le contrôle, le recouvrement ou le contentieux des impôts » (article L. 103 du livre des procédures fiscales). Cette obligation pèse sur les agents et les personnes associées aux opérations fiscales, pas sur l’entreprise contribuable elle-même : l’entreprise ne commet aucune violation en constatant que ses propres données circulent. Mais le texte rappelle utilement le statut de ces informations : ce sont des données protégées par la loi, dont la diffusion non autorisée est en soi un signal d’illicite, et dont l’exploitation par des tiers — pour usurper, pour escroquer, pour faire pression — s’inscrit dans des qualifications pénales précises, examinées plus loin.

B. Déterminer si l’entreprise doit elle-même notifier : le piège de la seconde vague

La deuxième décision est souvent mal posée. Beaucoup de dirigeants se demandent s’ils doivent « notifier à la CNIL » le fait que leurs données ont fuité de la DGFiP. La réponse de principe est non : la violation des systèmes de la DGFiP relève de la responsabilité de l’administration en tant que responsable de ses traitements, et c’est à elle qu’il appartient d’en assumer les conséquences réglementaires. L’entreprise victime de cette violation n’a pas à notifier ce qu’elle n’a ni causé ni hébergé. Mais ce serait une erreur de s’arrêter là, car la fuite par la plateforme publique n’est que le premier temps : le second, c’est l’exploitation des données volées contre l’entreprise et contre ses propres partenaires, et c’est là que peuvent naître, à la charge de l’entreprise elle-même, de véritables obligations de notification.

Le cadre applicable est celui du règlement général sur la protection des données. Le règlement impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Son article 34 lui impose d’en informer directement les personnes concernées, dans les meilleurs délais, lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. La Commission nationale de l’informatique et des libertés est l’autorité compétente en Franceautorité compétente en France, et elle met à disposition des responsables de traitement une procédure de notification en ligne des violations de données personnelles.

Quand ces textes s’appliquent-ils à l’entreprise dont les données fiscales ont fuité de la DGFiP ? Il faut distinguer trois situations. Première situation : l’entreprise constate simplement que ses propres données figurent parmi celles qui ont circulé. Elle est personne concernée — ou, s’agissant de données de la personne morale, victime collatérale — mais pas responsable de la violation : aucune notification à la CNIL ne lui incombe de ce chef. Deuxième situation : des tiers utilisent les données volées pour s’introduire dans les propres systèmes de l’entreprise — par exemple un courriel de « régularisation fiscale » qui installe un rançongiciel chez elle — et exfiltrent à leur tour les données de ses salariés ou de ses clients, qu’elle héberge en tant que responsable de traitement ou d’employeur. Alors naît une violation distincte, la sienne, avec le délai de soixante-douze heures et l’obligation d’information des personnes exposées à un risque élevé. Troisième situation : l’entreprise, avertie que ses données circulent, omet d’alerter ses propres partenaires alors qu’elle a des raisons sérieuses de penser que des messages frauduleux sont émis en son nom. Aucun texte ne lui impose alors une « notification CNIL », mais sa responsabilité civile pourra être recherchée par le partenaire trompé qui démontrera qu’un avertissement aurait évité le dommage, sur le fondement de l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil).

La ligne de conduite qui en résulte est simple à énoncer, plus exigeante à tenir : surveiller ses propres systèmes comme si l’attaque les visait déjà, puisque les identifiants et les modèles de documents fiscaux volés en font des cibles crédibles ; documenter chaque anomalie dans le dossier de preuve ; et, dès qu’une compromission de ses propres traitements est suspectée, faire qualifier sans délai, avec son délégué à la protection des données ou son conseil, l’existence d’une violation au sens du règlement, le niveau de risque et les destinataires de l’information. Le délai de soixante-douze heures court à compter de la prise de connaissance, pas de la certitude absolue : attendre la fin des investigations pour notifier, c’est notifier en retard. À l’inverse, notifier à la CNIL la violation de la DGFiP comme si c’était la sienne n’a aucun sens juridique et brouille le dossier.

Le tribunal judiciaire de Paris a eu l’occasion de rappeler, dans un autre contexte, la rigueur avec laquelle les juges examinent les allégations en matière de données personnelles : par jugement du 30 janvier 2025 (RG n° 20/12149), statuant sur des demandes fondées notamment sur le règlement européen du 27 avril 2016 et la loi du 6 janvier 1978, il a débouté le demandeur de l’ensemble de ses demandes, faute de preuve des manquements allégués et du lien de causalité avec le préjudice invoqué. La leçon vaut pour notre sujet : en matière de données, les affirmations générales ne suffisent jamais ; seuls des manquements précis, prouvés et causalement liés à un préjudice caractérisé emportent la conviction du juge. C’est une raison de plus de constituer le dossier pièce par pièce, comme indiqué plus haut, plutôt que d’invoquer abstraitement « la fuite de la DGFiP ».

II. Les partenaires de la chaîne : comptable, banque, fournisseurs et clients face à l’usurpation

Les données fiscales d’une entreprise sont un outil d’usurpation redoutable : elles permettent de se présenter à sa banque comme son dirigeant, à ses fournisseurs comme son service comptable, à ses clients comme son service facturation. C’est le second temps de l’effet domino, celui où la fuite administrée devient fraude entre professionnels. Trois acteurs sont en première ligne : l’expert-comptable qui détient les accès et télétransmet, la banque qui exécute les ordres, et les partenaires commerciaux qui reçoivent des instructions de paiement. Chacun détient une partie de la preuve, et chacun doit prendre des décisions dans des délais qui ne pardonnent pas l’attente.

A. Le faux RIB et le faux ordre de virement : qui supporte la perte quand l’identité de l’entreprise est volée

Le scénario est désormais classique et la jurisprudence récente des cours d’appel en donne des illustrations nettes. Dans une affaire jugée par la cour d’appel de Rouen le 19 juin 2025 (RG n° 24/02782), une société de peinture-menuiserie avait confié des travaux à un prestataire, reçu une facture d’acompte de 24 000 euros avec le relevé d’identité bancaire du prestataire, puis demandé à sa banque d’exécuter le virement. Le prestataire déclarant n’avoir rien reçu, il est apparu que le virement avait été exécuté sur un compte ouvert auprès de la société Financière des Paiements Électroniques, qui exploite les comptes « Nickel » ouvrables chez les buralistes. La cour a retenu que les pièces transmises par la société à sa banque n’étaient pas celles que le prestataire lui avait adressées : interceptées par des pirates, elles avaient été substituées. La banque, qui avait exécuté un ordre dont les anomalies étaient apparentes — entête inhabituel, établissement bénéficiaire inexistant, discordances sur les relevés — a été condamnée à payer 19 114,24 euros, soit le montant du virement diminué des 4 885,24 euros récupérés grâce à la procédure de rappel des fonds, outre 5 000 euros de dommages-intérêts pour préjudice moral et résistance abusive et 3 000 euros au titre des frais irrépétibles.

Le principe juridique qui fonde cette solution mérite d’être cité exactement, car il gouverne directement les fraudes de seconde vague nées d’une fuite de données (CA Rouen, 19 juin 2025, RG n° 24/02782) : « ne constitue pas une opération autorisée un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre » (CA Rouen, 19 juin 2025, se référant à Cass. com., 1er juin 2023, pourvoi n° 21-19.289, cité par la cour). Corrélativement, le texte de base reste l’article L. 133-18 du code monétaire et financier : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier). L’entreprise qui découvre un virement qu’elle n’a pas ordonné — ou dont le bénéficiaire a été substitué — doit donc signaler l’opération à sa banque sans délai : c’est ce signalement qui déclenche l’obligation de remboursement immédiat et la procédure de rappel des fonds, dont l’arrêt de Rouen montre qu’elle peut encore récupérer une partie des sommes si elle est enclenchée vite.

La cour d’appel de Bordeaux, le 23 février 2026 (RG n° 23/05381), apporte le complément indispensable : celui du partage des responsabilités. Dans cette affaire, une société avait émis un virement de 16 126 euros pour l’achat d’un véhicule d’occasion en renseignant l’IBAN figurant sur le bon de commande, lequel s’était révélé ne pas être celui du vendeur ; alertée par sa banque d’un soupçon de virement frauduleux, elle avait déposé plainte pour escroquerie. La cour a condamné la banque à verser 3 203,50 euros de dommages-intérêts, correspondant à vingt pour cent du préjudice subi, outre 1 500 euros de frais irrépétibles. La solution illustre le raisonnement de la perte de chance : quand la banque manque à son devoir de vigilance mais que le client a lui-même contribué au dommage en renseignant sans vérification un IBAN frauduleux, l’indemnisation est fractionnée. Pour l’entreprise dont les données fiscales circulent, l’enseignement est double et symétrique : en tant que donneuse d’ordre, elle doit vérifier chaque changement de RIB par un second canal — rappel téléphonique sur un numéro connu, jamais celui figurant sur le message suspect — car sa propre négligence réduira son indemnisation ; en tant que prétendu bénéficiaire usurpé, elle doit alerter ses partenaires dès qu’elle apprend que son identité est utilisée, car son silence pèsera sur le partage des responsabilités.

Sur le plan pénal, deux qualifications encadrent ces fraudes. L’article 313-1 du code pénal dispose : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du code pénal). L’usage de données fiscales volées pour se faire passer pour l’entreprise et obtenir des fonds caractériserait typiquement, s’il était établi, une escroquerie — qualification qu’il appartient au juge pénal de retenir, au vu de l’enquête. Quant à l’article 226-4-1 du code pénal, il dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » (article 226-4-1 du code pénal) — texte dont les conditions propres, notamment la finalité de trouble ou d’atteinte à l’honneur, doivent être vérifiées cas par cas et ne recouvrent pas automatiquement toute fraude financière, laquelle relève d’abord de l’escroquerie. C’est au procureur, destinataire de la plainte, qu’il revient de choisir et de cumuler les qualifications pertinentes.

L’expert-comptable occupe dans cette chaîne une place singulière, à la fois cible et rempart. En tant que mandataire qui détient les identifiants de télétransmission de ses clients et qui manipule leurs données fiscales au quotidien, il est lui-même une cible de choix pour les attaquants : les identifiants volés sur ses propres équipements ouvriraient l’accès aux dossiers de dizaines d’entreprises. Sa responsabilité professionnelle, adossée à son devoir de conseil et à son obligation de sécurité dans l’exécution de son mandat, lui impose des mesures à la hauteur de cette exposition — authentification forte, cloisonnement des accès par dossier, journalisation, sauvegarde — et une information rapide de ses clients dès qu’un incident compromet des données les concernant. Symétriquement, l’entreprise cliente ne peut se défausser sur son comptable de sa propre vigilance : le mandat n’efface ni son obligation de contrôler les informations transmises en son nom, ni sa qualité de responsable des traitements qu’elle met en œuvre dans ses propres systèmes. Quand l’un et l’autre se renvoient la faute après une fraude, le juge départage au vu des mandats écrits, des habilitations accordées et des diligences respectives : encore des pièces qu’il faut avoir conservées.

B. Les contrats qui se grippent : aucune exonération automatique, des diligences à démontrer

Le troisième temps de l’effet domino est contractuel. Une entreprise dont les données fiscales ont fuité peut se trouver empêchée d’honorer ses échéances : compte bancaire détourné ou bloqué par précaution, accès aux téléservices suspendu le temps de réinitialiser les habilitations, équipes accaparées par la gestion de crise, trésorerie amputée d’un virement frauduleux. Face à ses propres créanciers — administration fiscale pour les déclarations et paiements, fournisseurs pour les règlements, clients pour les livraisons — la tentation est grande d’invoquer la fuite subie comme une excuse absolutoire. Le droit français ne le permet pas : l’inexécution reste fautive sauf force majeure démontrée, et la force majeure ne se présume jamais.

L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Et l’article 1218 du même code définit la force majeure en matière contractuelle comme l’événement « échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées » et qui « empêche l’exécution de son obligation par le débiteur » (article 1218 du code civil). Trois conditions cumulatives, donc, dont le débiteur supporte la charge de la preuve : extériorité, imprévisibilité, irrésistibilité.

Un jugement récent montre combien les tribunaux appliquent ces conditions avec sévérité en matière numérique. Le tribunal judiciaire de Poitiers, le 28 mai 2026 (RG n° 25/02161), statuait sur le cas d’un organisme de formation en ligne qui, privé d’accès à son site d’apprentissage, invoquait la cyberattaque dont il affirmait avoir été victime comme un cas de force majeure. Le tribunal a certes admis qu’une cyberattaque échappe au contrôle du débiteur, mais il a jugé (TJ Poitiers, 28 mai 2026, RG n° 25/02161) : « Il ne peut en revanche pas être soutenu qu’un tel événement ait été imprévisible à la date du contrat litigieux, conclu le 28.9.2023, par le débiteur d’une obligation qui s’exécute en ligne. » Faute de justification des mesures prises pour éviter l’attaque et même de preuve de l’attaque elle-même, l’organisme « n’est en conséquence pas admis à opposer la force majeure exonératoire » et a été condamné à 4 195,95 euros de préjudice financier, 2 000 euros de préjudice moral et 2 000 euros de frais irrépétibles. Transposée à notre sujet, la leçon est directe : l’entreprise qui manque une échéance en invoquant la compromission de la plateforme fiscale devra démontrer en quoi cet événement, extérieur, était imprévisible pour elle et en quoi aucune mesure appropriée — anticipation des déclarations, double circuit de paiement, trésorerie de sécurité — n’aurait permis d’exécuter son obligation. L’argument d’autorité tiré du rapport de l’ANSSI ne suffira pas : ce sont ses propres diligences qu’elle devra établir.

La cour d’appel de Reims, le 28 avril 2026 (RG n° 24/01502), complète le tableau du côté des prestataires informatiques, dont le rôle est souvent décisif dans ces crises. Dans cette affaire, une société avait subi le 18 avril 2020 une attaque par rançongiciel ayant chiffré ses fichiers, quelques jours après que son prestataire eut été appelé à finaliser une sauvegarde restée inachevée. La cour, infirmant le jugement entrepris, a jugé que la société de services informatiques était responsable à hauteur de cinquante pour cent des dommages subis et l’a condamnée à verser 12 097,59 euros, dont 7 862,47 euros au titre de la perte d’exploitation. Le partage par moitié illustre la méthode des juges : le prestataire répond de ses manquements — sauvegarde non parachevée, diligences insuffisantes — mais le client n’est pas exonéré de sa part de vigilance dans la protection de son propre système. Pour l’entreprise dont les données fiscales circulent, le message est pratique : si elle confie à un prestataire la sécurité de ses accès fiscaux ou de sa messagerie, elle doit exiger des engagements écrits et vérifiables — niveaux de service, délais de restauration, tests de sauvegarde — et conserver la preuve de ses propres consignes ; à défaut, elle partagera l’addition au lieu de la transférer.

Reste la question que chaque dirigeant pose en premier : les échéances fiscales elles-mêmes. La compromission de la plateforme ne suspend par elle-même ni les délais de déclaration ni ceux de paiement, et aucune tolérance générale ne saurait être présumée en l’absence d’annonce officielle de l’administration portant sur des échéances identifiées. La conduite prudente consiste donc à accomplir les obligations déclaratives et de paiement dans les délais légaux par tous moyens disponibles, à conserver la preuve de chaque tentative — messages d’erreur horodatés, récépissés, attestations du comptable — et, en cas d’empêchement avéré et documenté, à régulariser spontanément dès la levée de l’obstacle en joignant l’exposé écrit et daté des circonstances. C’est ce dossier d’empêchement, constitué en temps réel, qui permettra ensuite de discuter utilement d’une remise de pénalités ou d’un étalement, là où une simple invocation rétrospective de « la cyberattaque de l’été » n’obtiendra rien. Et c’est ici que le contentieux du droit des affaires à Paris prend le relais de l’urgence : quand la chaîne des contrats se grippe — pénalités entre professionnels, mise en jeu de garanties, appels en garantie contre le prestataire ou la banque — chaque maillon doit choisir entre renégocier, résoudre ou assigner, et ce choix ne se fait sérieusement qu’au vu des preuves rassemblées dans les premiers jours.

En conclusion, la compromission de la plateforme impots.gouv.fr à l’été 2026, documentée par le rapport de l’ANSSI du 24 septembre 2026 et portant sur les données de 252 000 professionnels, n’est pas seulement un incident administratif : c’est le point de départ d’une chaîne d’effets dont chaque entreprise concernée tient un maillon. Vérifier ce qui a fuité et figer les preuves sans attendre ; distinguer la violation de l’administration, qu’il n’appartient pas à l’entreprise de notifier, de ses propres violations éventuelles, soumises au délai de soixante-douze heures et à l’information des personnes exposées ; traiter chaque changement de RIB et chaque ordre inhabituel comme une fraude présumée, en signalant immédiatement à la banque toute opération non autorisée pour déclencher le remboursement et le rappel des fonds ; ne jamais invoquer la force majeure sans démontrer ses propres diligences ; accomplir les échéances fiscales par tous moyens et documenter chaque empêchement. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle à l’encontre d’une entreprise déterminée, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, au vu des preuves rapportées, dira qui doit quoi à qui. Les entreprises qui auront constitué leur dossier dans les premières semaines aborderont ce jugement en position de force ; les autres devront reconstruire leurs preuves au lieu de les présenter.