Dans la nuit du 12 au 13 octobre 2026, les systèmes frigorifiques connectés de plus de 700 magasins en France ont été visés par une cyberattaque non revendiquée à ce jour, selon Le Monde du 17 octobre 2026, qui montre des employés remplissant à Paris, le 13 octobre, des cartons de denrées avariées. Dans les Côtes-d’Armor, plusieurs magasins ont été touchés dès la nuit du lundi 12 octobre, avec une alarme déclenchée à 3 h 30 du matin et, dans certaines enseignes, jusqu’à 200 000 euros de pertes selon Ouest-France du 12 octobre 2026. Les stocks détruits font la une, mais derrière les magasins une deuxième vague de victimes encaisse le choc en silence : les entreprises clientes de ces magasins, restaurateurs, métiers de bouche, cantines, revendeurs de proximité, qui ne sont plus livrées et doivent acheter en urgence ailleurs, souvent plus cher, parfois sans retrouver les mêmes produits.

La réponse tient en trois phrases. Le magasin qui ne livre plus est un débiteur qui n’exécute pas son obligation, et son client professionnel dispose d’abord des sanctions prévues par le contrat puis par la loi : mise en demeure, achat de remplacement et remboursement, résolution, dommages et intérêts. Le magasin ne s’en libère qu’en démontrant une force majeure au sens exact de l’article 1218 du code civil, ce qui suppose un événement échappant à son contrôle, imprévisible lors de la conclusion du contrat et dont les effets ne pouvaient être évités par des mesures appropriées. Et chaque euro réclamé devra être prouvé, relevés, constats et écrits à l’appui, car celui qui réclame l’exécution d’une obligation doit la prouver.

Plusieurs réserves s’imposent avant d’aller plus loin. Les faits sont rapportés par la presse, Le Monde et Ouest-France, à partir des constats des magasins eux-mêmes ; à la date de rédaction, aucun auteur n’a été identifié publiquement et l’étendue exacte des intrusions reste à établir par les enquêtes. Aucune responsabilité n’est établie dans cet article : les qualifications sont écrites au conditionnel et les contrats signés entre chaque entreprise et son fournisseur priment sur toute analyse générale. Seul le juge, saisi des pièces de chaque dossier, tranchera qui doit quoi à qui.

I. Le client professionnel privé de livraisons : ce qu’il peut exiger de son magasin

A. Mettre en demeure, remplacer en urgence et se faire rembourser

Le premier réflexe n’est pas la rupture, c’est l’écrit. Quand les livraisons cessent, le client professionnel doit notifier au magasin, par un écrit conservé, le manquement constaté et exiger la reprise des livraisons : c’est la mise en demeure, préalable ordinaire à la plupart des sanctions. L’article 1217 du code civil énumère ce que peut faire la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement : elle peut « refuser d’exécuter ou suspendre l’exécution de sa propre obligation », « poursuivre l’exécution forcée en nature de l’obligation », « obtenir une réduction du prix », « provoquer la résolution du contrat » et « demander réparation des conséquences de l’inexécution », des sanctions qui peuvent se cumuler quand elles ne sont pas incompatibles.

Pour une entreprise qui nourrit ses propres clients, attendre n’est pas une option : un restaurateur sans produits frais ou une cantine sans denrées du jour doit acheter ailleurs immédiatement. La loi l’y autorise et organise le remboursement. L’article 1222 du code civil dispose : « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation ou, sur autorisation préalable du juge, détruire ce qui a été fait en violation de celle-ci. Il peut demander au débiteur le remboursement des sommes engagées à cette fin. Il peut aussi demander en justice que le débiteur avance les sommes nécessaires à cette exécution ou à cette destruction. » Concrètement, le client professionnel fait ses achats de remplacement chez un autre fournisseur, conserve chaque facture et en demande le remboursement au magasin défaillant, à condition que le délai et le coût restent raisonnables. Le caractère raisonnable s’apprécie au cas par cas : acheter au prix du marché du jour en urgence est défendable, monter en gamme ou stocker au-delà du besoin ne l’est pas. La mise en demeure mérite d’être soignée car elle conditionne tout le reste. Elle part de préférence par un moyen qui prouve à la fois l’envoi, la réception et le contenu : lettre recommandée avec accusé de réception doublée d’un courriel avec accusé de lecture, ou acte de commissaire de justice pour les enjeux importants. Son contenu doit être factuel et daté : référence du contrat, livraisons attendues et manquées avec dates et quantités, conséquences immédiates pour l’activité, demande expresse de reprise des livraisons et rappel que les achats de remplacement seront effectués aux frais du magasin si la situation persiste. Joindre dès ce stade un premier chiffrage, même provisoire, ancre la discussion dans le réel et évite que le magasin ne minimise plus tard l’ampleur de l’arrêt. Conserver l’accusé de réception et une copie intégrale de chaque envoi : en cas de litige, c’est la date de réception de cette lettre qui marquera le point de départ de la période de remplacement facturable. Deux erreurs fréquentes doivent être évitées : remplacer sans avoir mis en demeure au préalable, ce qui fragilise la demande de remboursement, et payer ses propres factures au magasin comme si de rien n’était alors que la suspension de sa propre obligation était possible. La mise en demeure doit donc partir vite, décrire précisément les livraisons manquées, viser le contrat et fixer ce qui est attendu. Et si le magasin propose un avoir au lieu d’un remboursement en argent, rien n’oblige le client à l’accepter quand la loi lui ouvre le remboursement des sommes engagées : c’est un point à négocier, pas une fatalité.

B. Résoudre le contrat et obtenir des dommages et intérêts, sauf force majeure prouvée par le magasin

Quand l’inexécution est suffisamment grave, le client peut provoquer la fin du contrat. L’article 1224 du code civil prévoit que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Pour un contrat d’approvisionnement régulier, plusieurs semaines sans livraison de produits frais constituent typiquement une inexécution grave, mais c’est le juge qui l’appréciera au vu des pièces : fréquence contractuelle, durée de l’arrêt, possibilité de reprise. Avant de notifier la résolution, le client vérifiera sa clause résolutoire si le contrat en contient une, car elle fixe souvent ses propres conditions de mise en œuvre, mise en demeure préalable et délai pour s’exécuter. À défaut de clause, la notification de résolution doit motiver la gravité avec des faits datés, pas avec de la colère.

Reste l’argument que le magasin opposera presque certainement : la cyberattaque serait un cas de force majeure qui l’exonère. L’article 1231-1 du code civil répond par avance : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » C’est donc au magasin, débiteur qui se prétend libéré, de justifier la force majeure, pas au client de prouver qu’il n’y en a pas. Et la définition légale est exigeante. L’article 1218 du code civil dispose : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives : échapper au contrôle du débiteur, imprévisibilité lors de la conclusion du contrat, effets inévitables par des mesures appropriées. Une cyberattaque visant un système connecté ne remplit pas automatiquement ces trois conditions : le juge examinera si le magasin avait cloisonné ses systèmes, maintenu ses équipements à jour, prévu un plan de continuité et des fournisseurs de secours. Un système frigorifique piloté à distance sans maintenance suivie ni solution de repli résistera mal à l’examen de la troisième condition.

La Cour de cassation a précisé l’usage que le créancier peut faire de cette situation. Dans un arrêt du 8 mars 2023 (première chambre civile, pourvoi n° 21-24.783, arrêt n° 161 FS-D), rendue au visa des articles 1103 et 1218 du code civil, la Cour de cassation rappelle d’abord la définition légale, « Il y a force majeure en matière contractuelle », puis en déduit une règle précieuse pour le créancier : celui-ci ne peut pas obtenir la résolution en soutenant que la force majeure l’a lui-même empêché de profiter de la contrepartie, mais il peut en revanche se prévaloir de l’inexécution par le débiteur de son obligation, quand bien même cette inexécution résulterait d’une force majeure. Autrement dit, même quand l’événement serait qualifié de force majeure pour le débiteur, le créancier privé de la prestation peut s’en prévaloir pour faire constater l’inexécution et en tirer les conséquences sur le contrat. Avant de saisir le juge, le client relira aussi les clauses que son propre contrat contient sur les événements extérieurs : beaucoup de contrats d’approvisionnement listent les cas assimilés à la force majeure, imposent une notification rapide de l’événement et prévoient une suspension temporaire avant toute résolution. Quand le contrat définit lui-même la force majeure, c’est cette définition conventionnelle que le juge appliquera en premier, dans la limite des règles impératives. Le client vérifiera également les clauses qui plafonnent les indemnités ou excluent certains préjudices, comme la perte de marge sur les menus annulés ou le préjudice d’image : ces clauses jouent entre professionnels dès lors qu’elles sont claires et acceptées, et elles bornent ce qui peut être réclamé. Enfin, le client a intérêt à limiter son propre préjudice, en retrouvant au plus vite un fournisseur de substitution et en documentant ses recherches : un juge n’indemnise pas la passivité qui aggrave la perte, et des achats de remplacement rapides et raisonnables sont la meilleure preuve du sérieux de la demande. Pour l’entreprise cliente du magasin, la leçon est claire : la cyberattaque, réelle ou supposée, n’éteint pas ses droits par magie ; elle déplace le débat sur la preuve, et c’est au magasin de rapporter la sienne.

II. Faire payer le bon débiteur dans la chaîne : preuves, assurance et recours

A. Prouver la rupture et le surcoût : les pièces qui décident de tout

En matière contractuelle, la preuve n’est pas un décor, c’est le procès. L’article 1353 du code civil pose la règle : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’entreprise cliente devra donc prouver le contrat et les livraisons convenues, les manquements datés, les achats de remplacement et leur coût, puis le lien entre les deux. Concrètement, le dossier utile se construit dans les premiers jours : bon de commande et conditions générales du fournisseur, relevés des livraisons manquantes avec dates et quantités, échanges écrits avec le magasin (mise en demeure, réponses, propositions d’avoir), factures des fournisseurs de remplacement avec le détail des prix, et tout document établissant que les prix payés en urgence correspondent au marché du moment. Pour établir que les prix de remplacement étaient raisonnables, l’entreprise cliente ne se contentera pas de ses propres factures : elle joindra les cotations du moment, mercuriales, tarifs publics des fournisseurs de substitution ou échanges montrant qu’elle a comparé plusieurs sources avant d’acheter. Un prix supérieur au prix contractuel ne suffit pas à le rendre déraisonnable quand tout le marché monte en raison de la pénurie locale, mais c’est au client de le démontrer pièces à l’appui. De même, les pertes indirectes comme les menus annulés, les heures supplémentaires payées pour réorganiser le service ou les gestes commerciaux consentis aux propres clients de l’entreprise doivent être chiffrés séparément, avec leurs justificatifs, plutôt que fondus dans un préjudice global invérifiable. Un juge suit un préjudice découpé et documenté ; il écarte un chiffre rond sans détail. Un tableau comparatif entre prix contractuels et prix de remplacement, ligne par ligne, vaut mieux qu’un montant global jeté à la fin d’une assignation.

Deux décisions récentes montrent comment les juges traitent la preuve quand le froid est en cause. Dans un arrêt du 6 février 2025 (cour d’appel de Paris, pôle 5, chambre 5, RG n° 21/17497), un fabricant de produits laitiers avait confié à un transporteur 33 palettes de produits frais sous température dirigée de +4° avec une tolérance de +/-2°, et soutenait qu’une rupture de la chaîne du froid imposait de détruire toute la marchandise. La cour rappelle le cadre applicable : selon l’article L. 133-1 du code de commerce, « Le voiturier est garant de la perte des objets à transporter, hors les cas de la force majeure. Il est garant des avaries autres que celles qui proviennent du vice propre de la chose ou de la force majeure. Toute clause contraire insérée dans toute lettre de voiture, tarif ou autre pièce quelconque, est nulle. » Elle s’appuie aussi sur le contrat-type applicable aux transports de marchandises périssables sous température dirigée, qui met à la charge du transporteur le maintien de la température requise pendant le transport. Au vu des expertises contradictoires, des relevés de température et des analyses microbiologiques, la cour tranche sur les pièces et condamne le transporteur et son assureur à payer 35 235,27 euros à l’assureur subrogé du fabricant et 5 000 euros au fabricant lui-même, avec intérêts au taux légal à compter du 17 décembre 2020, date de l’assignation, et capitalisation des intérêts. Trois enseignements pour notre sujet : les relevés de température et les expertises contradictoires font la décision, l’assureur qui a indemnisé son assuré récupère par subrogation contre le responsable, et les intérêts courent depuis l’assignation en application de l’article 1231-7 du code civil, qui prévoit que « En toute matière, la condamnation à une indemnité emporte intérêts au taux légal même en l’absence de demande ou de disposition spéciale du jugement. » La capitalisation, elle, suppose une année entière d’intérêts échus et un contrat ou une décision qui la prévoit, comme le dit l’article 1343-2 du code civil : « Les intérêts échus, dus au moins pour une année entière, produisent intérêt si le contrat l’a prévu ou si une décision de justice le précise. »

Second exemple, encore plus proche d’une chaîne logistique bloquée : le 17 juillet 2026, le tribunal des activités économiques de Nanterre (4e chambre, RG n° 2024F01593) juge un litige né d’un transport combiné rail-route de denrées alimentaires sous température dirigée, confié par un distributeur à un commissionnaire, avec un segment ferroviaire opéré par un tiers. Le 9 juin 2023, un problème de caténaire à hauteur du Mans contraint le train à s’arrêter ; le commissionnaire demande par courriel du 10 juin à 12 h 12 de contrôler le carburant des caisses et de remplir les groupes frigorifiques pour prévenir toute rupture de la chaîne du froid ; le remplissage de la caisse litigieuse n’intervient que le 11 juin vers 22 heures, trop tard, et l’avarie est importante. À la livraison, le commissionnaire émet des réserves et fait diligenter une expertise, et le montant des dommages est arrêté contradictoirement. Le tribunal condamne l’opérateur ferroviaire à payer 46 212,82 euros, dont 43 212,82 euros à l’assureur et 3 000 euros au commissionnaire, outre intérêts au taux légal à compter du 22 décembre 2023 avec capitalisation dans les conditions de l’article 1343-2 du code civil. La méthode gagnante s’y lit en creux : alerter par écrit dès l’incident, demander les mesures de sauvegarde avec un horodatage, émettre des réserves à la livraison, faire expertiser contradictoirement. Le constat mérite un mot supplémentaire car il fige ce que les écrits ne montrent pas. Un commissaire de justice peut constater à une date certaine l’absence de livraison, l’état des rayons du magasin s’ils sont accessibles, les affichettes annonçant l’arrêt des ventes de produits frais et les messages adressés par le magasin à sa clientèle professionnelle. Mieux vaut un constat dressé pendant la crise, même bref, qu’un récit reconstitué trois mois plus tard : le juge accorde un poids particulier aux constatations contemporaines des faits. Quand une expertise est organisée, comme dans les deux affaires de transport jugées à Paris et à Nanterre, l’entreprise cliente a intérêt à y participer ou à s’y faire représenter, à verser ses propres pièces au débat contradictoire et à contester par écrit les constats avec lesquels elle est en désaccord. Une expertise subie sans participation est une expertise perdue d’avance. Transposée à l’entreprise cliente d’un magasin sans froid, la méthode donne : signaler par écrit chaque livraison manquée, conserver les messages du magasin annonçant l’arrêt, photographier les rayons vides si possible, faire constater par un commissaire de justice les faits persistants, et chiffrer au fil de l’eau. Quand le litige porte sur des denrées, le temps détruit la preuve avec la marchandise : ce qui n’est pas écrit dans la semaine est perdu pour le juge.

B. Assurance pertes d’exploitation et recours en cascade : qui supporte quoi

Le magasin cite son assureur, l’entreprise cliente cite le sien, et chacun découvre ce que son contrat dit vraiment. Pour l’entreprise cliente privée de livraisons, deux polices peuvent entrer en jeu : sa propre assurance pertes d’exploitation, et l’assurance responsabilité du magasin. Sur la première, un arrêt récent invite à lire les clauses avant de crier victoire. Le 29 avril 2026, la cour d’appel de Rennes (5e chambre, RG n° 23/02010) confirme un jugement qui retient la garantie de l’assureur pour des pertes d’exploitation subies du 15 mars au 11 mai 2020 par un organisme de formation fermé sur décision administrative. Dans cette affaire, l’assureur soutenait que la garantie pertes d’exploitation ne pouvait jouer qu’en cas de sinistre couvert au titre des dommages directs, en invoquant une clause excluant les pertes sans dommage matériel direct garanti. La cour écarte cette lecture au vu de l’extension de garantie stipulée au contrat. La cour écarte cette lecture au vu de l’extension de garantie stipulée au contrat. La morale n’est pas que toute perte sans dommage matériel serait couverte, bien au contraire : tout dépend de l’articulation entre la garantie de base, ses conditions de déclenchement et ses exclusions. Une entreprise cliente dont l’activité ralentit parce que son fournisseur ne livre plus doit vérifier trois points dans sa police : le fait générateur exigé (dommage matériel subi par elle-même ou simple interruption d’activité), les extensions éventuelles (carence de fournisseur, impossibilité d’accès, décision des autorités) et les exclusions (cyber, pandémie, défaut de fourniture d’un tiers). Déclarer le sinistre par écrit sans tarder, même en cas de doute sur la garantie, préserve les droits ; attendre la fin de la crise pour lire son contrat les compromet.

Sur la deuxième police, celle du magasin, l’entreprise cliente n’est pas partie au contrat mais peut en devenir bénéficiaire par l’action directe quand la loi l’ouvre, ou plus simplement par la pression du recours : un magasin condamné à rembourser les surcoûts de ses clients se retournera contre son mainteneur informatique, son équipementier et son propre assureur. C’est la cascade classique, visible dans les deux décisions citées : l’assureur paie son assuré puis récupère par subrogation contre le responsable, transporteur ou opérateur, et le juge répartit franchises et condamnations entre assureurs et assurés. Pour l’entreprise cliente, l’objectif pratique est de rester en dehors de cette cascade tout en s’en servant : viser le contrat qu’elle a signé, le magasin qui ne livre pas, avec des pièces propres, plutôt que de poursuivre le mainteneur ou l’équipementier avec lesquels elle n’a aucun lien contractuel et contre lesquels la preuve d’une faute serait autrement plus difficile. Si le magasin est en difficulté financière et ne paie pas, la déclaration de créance et les sûretés éventuelles deviennent le sujet, mais c’est une autre procédure. Dans tous les cas, les avocats en droit des affaires à Paris rappellent que les litiges entre professionnels se gagnent sur le contrat et les écrits contemporains, pas sur l’émotion de la crise.

En conclusion, l’entreprise cliente d’un magasin frappé par la cyberattaque d’octobre 2026 n’est ni sans droits ni automatiquement indemnisée. Elle doit mettre en demeure par écrit, acheter en remplacement à un coût raisonnable et en garder chaque facture, puis choisir entre attendre la reprise, résoudre le contrat et réclamer des dommages et intérêts, en sachant que le magasin ne s’exonérera qu’en prouvant une force majeure aux trois conditions cumulatives de l’article 1218 du code civil. Elle doit lire sa propre police pertes d’exploitation avant de compter sur elle, déclarer sans attendre, et viser le bon débiteur : son cocontractant direct. Les contrats signés priment sur toute analyse générale, aucune responsabilité n’est établie par cet article, et seul le juge, au vu des pièces de chaque dossier, dira qui paie le remplacement.