Dans la nuit du dimanche 11 au lundi 12 octobre 2026, les installations de production et de régulation du froid de plusieurs centaines de magasins d’alimentation ont été déréglées à distance : selon les informations publiées par franceinfo le 12 octobre 2026, la température des meubles réfrigérés et des congélateurs aurait été portée à un niveau incompatible avec la conservation des denrées, les magasins devant vider les bacs, jeter une partie des stocks et faire établir des constats par commissaire de justice, tandis que l’Agence nationale de la sécurité des systèmes d’information aurait été saisie et qu’une vulnérabilité dans un logiciel fourni par un équipementier commun serait en cours d’examen. À la date de rédaction, le 15 octobre 2026, aucun bilan officiel consolidé des pertes, aucune intrusion définitivement attribuée par une source officielle et aucune responsabilité établie ne peuvent être affirmés : les contrats signés entre chaque magasin, son prestataire de froid, son équipementier et ses fournisseurs priment sur toute analyse générale, et seul le juge, saisi des pièces de chaque dossier, dira qui doit supporter quoi.
La réponse utile tient en une phrase : le magasin qui subit la panne doit d’abord prouver et sécuriser la denrée, le fournisseur qui voit sa livraison refusée doit tracer son préjudice, et le prestataire ou l’équipementier mis en cause doit documenter l’origine de la défaillance, car la répartition des coûts se jouera ensuite contrat par contrat, entre inexécution, force majeure, garantie et assurance.
Ce qui rend ce cas exemplaire pour les entreprises, c’est l’effet domino : un seul maillon logiciel commun, et ce sont au moins trois cercles professionnels qui basculent ensemble, les magasins qui exploitent les meubles, les fournisseurs qui les avaient remplis, et les prestataires qui les entretiennent ou les pilotent. Cet article décrit cette carte des conséquences et les décisions à prendre dans les premiers jours, à partir des textes applicables et de la jurisprudence lue dans son texte, sans nommer aucune enseigne ni aucun équipementier au-delà de ce que les sources citées disent déjà.
I. Un maillon commun défaillant, trois cercles d’entreprises touchées
A. Le magasin face à des meubles devenus impropres : sécuriser, constater, tracer
Le premier cercle, c’est le magasin. Quand la chaîne du froid rompt, le droit alimentaire ne laisse aucune marge d’interprétation : le Code de la consommation impose à tout exploitant une logique de retrait chiffré et tracé. Son article L. 423-3 dispose : « Dans le secteur alimentaire et de l’alimentation animale, lorsque des mesures de retrait ou de rappel sont mises en œuvre, les producteurs et les distributeurs établissent et maintiennent à jour un état chiffré des produits retirés ou rappelés, qu’ils tiennent à la disposition des agents habilités. » (texte officiel Légifrance). Le même article ajoute : « Sans préjudice des mesures d’information des consommateurs et des autorités administratives compétentes prévues par la réglementation en vigueur, les opérateurs économiques qui procèdent au rappel de denrées alimentaires ou d’aliments pour animaux en font la déclaration de façon dématérialisée sur un site internet dédié, mis à la disposition du public par l’administration. » (texte officiel Légifrance). Le retrait s’accompagne donc d’un chiffrage tenu à disposition des contrôleurs et, en cas de rappel, d’une déclaration sur le site public dédié.
Concrètement, le 12 octobre, cela signifie : relever immédiatement les températures enregistrées par les sondes et les automates, photographier les afficheurs avec horodatage, conserver les journaux de télésurveillance du froid, isoler les lots suspects avec leur numéro, leur date limite et leur bon de livraison, et refuser toute remise en vente d’un produit dont la rupture de température n’est pas exclue. Les services vétérinaires et la direction départementale de la protection des populations raisonnent ainsi : en cas de contrôle ou d’intoxication ultérieure, c’est l’exploitant qui devra démontrer qu’il a retiré à temps. La Cour de cassation l’a rappelé dans une affaire de viande hachée contaminée par la bactérie E-coli O157H7 ayant provoqué un syndrome hémolytique et urémique chez seize enfants en juin 2011 : par arrêt du 31 mars 2020, n° 19-82.171, la chambre criminelle a rejeté le pourvoi formé contre l’arrêt de la cour d’appel de Douai du 26 février 2019 qui, « pour blessures involontaires et infractions au code de la consommation et au code rural, l’a condamné à trois ans d’emprisonnement dont un an avec sursis et 50 000 euros d’amende, à une interdiction professionnelle définitive, à une interdiction définitive de gérer une entreprise commerciale, a ordonné une mesure de confiscation et une mesure de publication, et a prononcé sur les intérêts civils » (arrêt sur Judilibre). L’enseignement vaut pour tout distributeur : la chaîne alimentaire ne pardonne pas l’attente, et le distributeur, même non producteur, figure parmi les premiers exposés, comme le montrait dans ce dossier la constitution de partie civile d’un distributeur lui-même.
La deuxième décision du magasin, c’est la preuve. Celui qui réclame l’exécution d’une obligation ou la réparation d’un préjudice doit la prouver, et celui qui se prétend libéré doit justifier le fait qui l’a libéré : l’article 1353 du Code civil dispose que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » (texte officiel Légifrance). Or nul ne peut se constituer de titre à soi-même : l’article 1363 du Code civil, dans sa rédaction en vigueur, rappelle que « Nul ne peut se constituer de titre à soi-même. » (texte officiel Légifrance). D’où le réflexe du constat par commissaire de justice, ex-huissier : relevé des températures affichées, inventaire des bacs vidés avec quantités et valeurs d’achat, identification des lots et des fournisseurs, copie des écrans de supervision et des alertes, constat de la version logicielle du régulateur. Ce constat ne dit pas qui est responsable, il fige ce qui est perdu et dans quelles conditions, et il sera la pièce commune aux trois cercles.
La troisième décision, c’est l’information. Le magasin doit prévenir son assureur multirisque et pertes d’exploitation dans le délai de la police, souvent cinq jours ouvrés, prévenir son prestataire de maintenance frigorifique et l’éditeur ou l’équipementier par lettre recommandée avec accusé de réception décrivant les faits sans qualifier la faute, et prévenir les fournisseurs concernés que leurs produits ont été détruits par mesure de sécurité. Chaque courrier compte : il fait courir les délais, il ouvre le dossier d’expertise, et il évite le reproche de ne pas avoir limité le dommage. Le magasin qui continuerait à vendre un produit douteux pour limiter sa perte engagerait sa propre responsabilité pénale et civile, bien au-delà du litige commercial initial.
Enfin, le magasin doit vérifier son propre contrat de maintenance et de télépilotage : obligation de résultat ou de moyens, astreinte, garantie de température, clause de maintenance préventive, clause de cybersécurité, clause limitative de responsabilité, plafond, exclusion des dommages immatériels, obligation de sauvegarde des journaux. C’est ce contrat, et non un article de presse, qui dira si le prestataire devait empêcher une consigne à distance aberrante, s’il devait superviser les accès, et sous quel délai il devait intervenir. Pour situer ces questions dans une relation suivie entre professionnels, la lecture des analyses consacrées aux contrats et recours entre entreprises en droit des affaires aide à ordonner la discussion avant toute mise en demeure.
B. Fournisseurs, transporteurs et prestataire commun : le deuxième et le troisième choc
Le deuxième cercle, ce sont les fournisseurs de denrées : producteurs, grossistes, centrales, transporteurs sous température dirigée. Leur marchandise a été livrée conforme, puis détruite chez le client par mesure de précaution. Ils subissent un impayé ou un avoir réclamé, une demande de remplacement en urgence, parfois une mise en cause pour un lot qui aurait, dit-on, « apporté » la contamination. Leur premier réflexe doit être documentaire : bons de livraison signés avec relevé de température à réception, enregistrements du camion, attestations de conformité, fiches de traçabilité amont et aval. Le Code de la consommation les vise aussi : son article L. 423-3 dispose : « Lorsque des mesures de retrait ou de rappel sont mises en œuvre, les opérateurs économiques établissent et maintiennent à jour un état chiffré des produits retirés ou rappelés, qu’ils tiennent à la disposition des agents habilités. » (texte officiel Légifrance). Autrement dit, le fournisseur ne peut ni exiger la revente d’un lot douteux, ni refuser de coopérer à la traçabilité, mais il peut exiger d’être payé pour une livraison conforme et renvoyer la charge de la destruction vers celui dont la sphère a causé la perte.
Le transporteur sous température dirigée mérite une mention propre. S’il a livré avant la panne avec des enregistrements conformes, sa responsabilité n’est pas engagée par la dérive ultérieure des meubles du magasin. S’il a livré pendant la dérive, sans contrôle à réception, la discussion sera plus serrée : a-t-il respecté son obligation de vérification, le destinataire a-t-il émis des réserves, le contrat type ou le contrat particulier prévoit-il une mesure contradictoire ? Chaque heure compte, car les denrées périssables ne supportent pas l’attente d’une expertise au fond : d’où l’intérêt d’une expertise amiable rapide ou d’un référé-expertise, avec inventaire contradictoire, avant destruction, chaque fois que la destruction n’est pas imposée par l’urgence sanitaire.
Le troisième cercle, c’est le prestataire commun : mainteneur, télépilote, éditeur du logiciel de régulation, fabricant des régulateurs. Quand des centaines de sites pilotés par la même brique tombent la même nuit, la question n’est plus celle d’un thermostat isolé mais celle d’un défaut de conception, d’un défaut de mise à jour, d’un accès distant mal protégé ou d’une consigne malveillante qui a traversé le système. Sur le terrain civil, deux régimes se combinent. D’abord la responsabilité contractuelle : l’article 1231-1 du Code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (texte officiel Légifrance). Ensuite la responsabilité du fait des produits défectueux : l’article 1245 du Code civil dispose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » (texte officiel Légifrance). Un régulateur ou un logiciel qui porte la température à 50 °C sur ordre distant, sans garde-fou local, posera immanquablement la question du défaut, de l’état des connaissances et du respect des règles de l’art, mais seul l’examen technique du code, des journaux d’accès et des correctifs disponibles permettra de la trancher, jamais un communiqué hâtif.
À côté, la responsabilité délictuelle reste le filet commun : l’article 1240 du Code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (texte officiel Légifrance). Le fournisseur dont les lots ont été détruits sans faute de sa part, le magasin qui a perdu sa marge, le client professionnel qui n’a pas été livré : chacun devra identifier une faute, un lien causal et un préjudice, sans confondre l’auteur de l’attaque, encore inconnu à la date de rédaction, avec le professionnel dont la prestation aurait dû contenir ses effets.
Enfin, le droit des pratiques restrictives encadre les rapports de force qui suivent toujours ces crises : l’article L. 442-1 du Code de commerce dispose en son paragraphe I que « Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait, dans le cadre de la négociation commerciale, de la conclusion ou de l’exécution d’un contrat, par toute personne exerçant des activités de production, de distribution ou de services : 1° D’obtenir ou de tenter d’obtenir de l’autre partie un avantage ne correspondant à aucune contrepartie ou manifestement disproportionné au regard de la valeur de la contrepartie consentie ; 2° De soumettre ou de tenter de soumettre l’autre partie à des obligations créant un déséquilibre significatif dans les droits et obligations des parties » (texte officiel Légifrance). Imposer au fournisseur, sous menace de déréférencement, un avoir total sans examen des constats, ou lui faire supporter seul une destruction décidée par le distributeur pour protéger ses propres clients, s’appréciera aussi sous cet angle, pièces en main.
II. Qui paie et qui prouve : la méthode contrat par contrat
A. Prouver d’abord : le dossier qui conditionne tous les recours
En matière de chaîne de contrats entre professionnels, la Cour de cassation a depuis longtemps fermé la voie de l’action délictuelle directe du sous-acquéreur contre le fabricant pour un manquement purement contractuel, avec l’arrêt d’Assemblée plénière du 12 juillet 1991, dit Besse : le sous-traitant n’est pas contractuellement lié au maître de l’ouvrage et le maître de l’ouvrage ne dispose contre lui que d’une action délictuelle s’il prouve une faute détachable. Sans recopier ici un attendu de mémoire, la leçon opérationnelle demeure : chaque victime doit agir d’abord contre son propre cocontractant, puis laisser jouer les appels en garantie le long de la chaîne. Le magasin agit contre son mainteneur ou son équipementier, le fournisseur impayé agit contre le magasin, le mainteneur appelle l’éditeur, l’éditeur appelle l’hébergeur ou le sous-traitant d’accès distant. Vouloir « assigner directement le fabricant » sans passer par son vendeur, c’est s’exposer à une fin de non-recevoir et perdre des mois.
Le dossier de preuve commun tient en sept pièces : les constats de commissaire de justice avec inventaires valorisés, les journaux de température avant, pendant et après l’événement, les bons de livraison et les relevés à réception, les contrats de maintenance, de télésurveillance et de licence avec leurs clauses de sécurité et leurs plafonds, les échanges écrits de notification avec accusés de réception, les attestations d’assurance et les déclarations de sinistre, et les mesures de retrait et d’information des autorités avec leurs horodatages. C’est ce dossier, et lui seul, qui permettra à l’expert judiciaire de distinguer ce qui relève de la cyberattaque, ce qui relève d’un défaut d’entretien, et ce qui relève d’une consigne aberrante qui aurait dû être bloquée localement.
Sur le plan sanitaire, la déclaration aux autorités n’est pas une option : dès qu’une denrée ne répond plus aux prescriptions de sécurité, le retrait s’impose et l’information des autorités compétentes l’accompagne, comme le rappelle l’article L. 423-3 précité du Code de la consommation. Sur le plan de la sécurité des systèmes, la notification à l’ANSSI et, le cas échéant, le dépôt de plainte avec constitution de partie civile ouvrent l’accès aux constatations techniques qui manqueront aux seuls constats privés : adresse d’origine, identifiants utilisés, correctif existant ou non, autres victimes déjà recensées. Sur le plan des données, si des données personnelles ont aussi été exfiltrées via la même porte d’accès, le Règlement général sur la protection des données impose sa propre logique de notification à l’autorité et, en cas de risque élevé, aux personnes concernées, dans des délais courts qui courent en parallèle du litige commercial et ne doivent pas être sacrifiés à celui-ci.
L’assurance mérite un traitement immédiat et séparé. Le magasin déclare en multirisque, en pertes d’exploitation et, s’il en dispose, en cyber ; le fournisseur déclare en transport et en responsabilité ; le prestataire déclare en responsabilité civile professionnelle et en cyber. Chaque assureur missionnera son expert, et les experts se contrediront utilement : c’est de cette contradiction encadrée que naîtra la vérité technique sur la cause. Refuser l’accès de l’expert adverse au site ou détruire les pièces avant inventaire contradictoire, sauf impératif sanitaire documenté, c’est affaiblir son propre recours. Quand la destruction s’impose pour des raisons sanitaires, elle doit être photographiée, pesée, valorisée et attestée, avec conservation d’échantillons chaque fois que possible pour analyses ultérieures.
B. Imputer ensuite : force majeure, faute et garantie, sans confusion
Une fois le dossier figé, vient la qualification. L’article 1218 du Code civil dispose : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat. Si l’empêchement est définitif, le contrat est résolu de plein droit et les parties sont libérées de leurs obligations dans les conditions prévues aux articles 1351 et 1351-1 . » (texte officiel Légifrance). Trois conditions cumulatives, donc : extériorité, imprévisibilité, irrésistibilité. Une cyberattaque peut, selon les cas, remplir ces conditions pour le magasin vis-à-vis de ses propres clients, mais elle les remplit rarement pour le prestataire de sécurité lui-même, dont l’obligation porte précisément sur la protection contre ce risque. Autrement dit, le magasin pourra plus facilement expliquer à son client professionnel pourquoi il n’a pas livré, tandis que le mainteneur ou l’éditeur devra démontrer quelles mesures appropriées il avait prises : segmentation des accès, authentification forte, journalisation, correctifs, supervision des consignes aberrantes, plan de reprise.
La jurisprudence récente illustre cette sévérité casuistique sans automatisme. Le tribunal judiciaire de Poitiers, par jugement du 28 mai 2026, RG n° 25/02161, a dû apprécier une rupture de contrat de formation notifiée sur le fondement des articles 1217 et 1226 du Code civil après un échange conflictuel, et a tranché au vu des manquements établis pièce par pièce, non d’une excuse générale. La cour d’appel de Riom, par arrêt du 12 mai 2026, RG n° 25/00761, dans un litige de travaux de chauffe-eau solaire opposant des particuliers à deux sociétés, a pareillement raisonné par l’examen des interventions, de la facture du 7 février 2020 et des dépannages successifs, avant de répartir les responsabilités. Ces décisions, lues dans leur texte, ne portent pas sur le froid ni sur le cyber, mais elles rappellent la méthode constante des juges du fond : pas d’exonération sans démonstration, poste par poste, de l’extériorité, de l’imprévisibilité et de l’irrésistibilité, et pas d’indemnisation sans preuve du préjudice.
Pour le magasin, la chaîne de raisonnement sera donc : ai-je exécuté mon obligation de sécurité alimentaire en retirant à temps, ai-je prouvé ma perte par constat, ai-je notifié dans les délais, puis-je appeler mon mainteneur en garantie pour manquement à son obligation de sécurité et de surveillance ? Pour le fournisseur, elle sera : ma livraison était-elle conforme et réceptionnée sans réserve, le refus de paiement du magasin est-il justifié par une destruction imputable à son propre prestataire, puis-je réclamer le prix et laisser le magasin se retourner contre son cercle ? Pour le prestataire, elle sera : mon contrat promettait-il une obligation de résultat sur la température, avais-je les moyens techniques de bloquer une consigne à 50 °C, un correctif était-il disponible et déployé, l’attaque était-elle réellement irrésistible en l’état de l’art ? Chacune de ces questions se tranche avec les pièces du dossier commun, jamais avec des affirmations générales sur la sophistication de l’attaque.
Deux points d’attention parisiens et franciliens, sans créer de satellite géographique : les constats doivent être demandés au commissaire de justice du ressort du magasin, les référés-expertises relèvent du président du tribunal judiciaire ou du tribunal de commerce compétent selon la nature du litige, et les prélèvements sanitaires suivent le circuit de la direction départementale compétente ; préparer la liste des lots, les factures d’achat et les polices d’assurance avant l’audience de référé fait gagner des semaines. De même, quand le litige oppose des sociétés commerciales pour des actes de commerce, la clause attributive de juridiction et la clause compromissoire doivent être vérifiées avant toute assignation : saisir le mauvais tribunal, c’est offrir à l’adversaire une exception d’incompétence et laisser passer le délai d’assurance.
Reste la question que tout dirigeant pose : faut-il arrêter de payer son prestataire ? La réponse est contractuelle et prudente : sauf clause de suspension expresse ou inexécution suffisamment grave autorisant la suspension dans les conditions de l’article 1219 du Code civil, cesser unilatéralement de payer expose à une résiliation à ses torts et à des pénalités. La voie sûre consiste à mettre en demeure par écrit, à consigner les griefs avec les constats, à demander une expertise amiable ou judiciaire, et à négocier un protocole de continuité avec un prestataire de repli, sans rompre brutalement une maintenance dont dépendent les autres sites. Les contrats signés priment ici encore sur toute analyse générale, et la concertation avec l’assureur avant toute rupture évite de perdre la garantie pour manquement à l’obligation de minimiser le dommage.
Conclusion
Une panne de froid pilotée à distance n’est pas seulement un incident technique : c’est un test de maturité contractuelle pour trois entreprises à la fois. Le magasin qui constate, retire et notifie protège ses clients et son recours ; le fournisseur qui trace sa conformité préserve son prix ; le prestataire qui documente ses mesures de protection se donne les moyens de discuter de la force majeure au lieu de la subir. À la date de rédaction, aucune responsabilité n’est établie dans le cas du 12 octobre 2026, aucune ampleur définitive n’est consolidée par une source officielle, et chaque contrat reste la loi des parties pour répartir l’imprévu. La carte proposée ici ne remplace ni l’expertise technique des journaux d’accès, ni le juge du contrat, mais elle donne aux entreprises de la chaîne l’ordre des décisions qui ne pardonnent pas : sécuriser la denrée, figer la preuve, notifier à temps, puis imputer sans confondre l’auteur inconnu de l’attaque avec le débiteur connu de l’obligation.