Le 14 novembre 2026, la presse nationale a relayé l’annonce faite par Maileva, marque de Docaposte, filiale du groupe La Poste : la plateforme, qui imprime et expédie des courriers pour le compte d’entreprises, d’administrations et d’organismes de santé, a subi un vol de données portant sur 22 millions de personnes. Selon le site spécialisé qui suit l’affaire depuis septembre et qui a obtenu une réponse écrite de l’entreprise, Maileva reconnaît que 22 millions de personnes sont concernées par le vol de leurs données d’identification — prénom, nom, adresse postale — et que plusieurs milliers d’entreprises clientes sont concernées. Toujours selon cette source, toutes les organisations concernées auraient été informées, la CNIL aurait été notifiée, une plainte aurait été déposée et une enquête judiciaire serait en cours. Les services, suspendus à titre préventif le 23 septembre, ont été rétablis le 29 septembre, après six jours d’interruption.
Pour l’entreprise cliente, une question très concrète demeure : qui paie la facture ? Courriers bloqués, relances à réexpédier, équipes mobilisées, perte d’exploitation : deux payeurs se dessinent, le prestataire sur le fondement du contrat, et l’assureur sur le fondement de la police. Aucune responsabilité n’est établie à la date de rédaction, les contrats signés priment sur toute analyse générale, et seul le juge tranche un litige. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Maileva, de Docaposte ou de leurs clients, sur laquelle l’article ne formule aucun constat. Il faut d’abord faire payer le contrat — pénalités, SLA et plafonds passés au crible du juge (I) — puis se tourner vers l’assurance pour la perte d’exploitation restante (II).
I. Prestataire piraté : comment lui faire payer la facture ?
Quand le prestataire qui imprime, expédie ou héberge pour le compte de l’entreprise s’arrête six jours puis annonce un vol de données massif, le premier réflexe utile n’est ni la colère ni la résiliation immédiate : c’est la mise en ordre de bataille contractuelle. Le contrat de prestation, ses annexes de niveaux de service, ses pénalités et ses plafonds forment le terrain sur lequel se jouera tout remboursement. L’entreprise qui documente tôt, écrit vite et chiffre juste se place en position de force, que le dossier finisse par une négociation, une médiation ou un procès.
A. Pénalités de retard et SLA : comment les activer ?
La plupart des contrats d’externalisation — informatique, impression, routage, hébergement — comportent une clause de niveaux de service, souvent désignée par son sigle anglais SLA, qui promet un taux de disponibilité, un délai de rétablissement et, en contrepartie des manquements, des pénalités forfaitaires : tant par heure d’interruption, tant par jour de retard, parfois sous forme d’avoirs automatiques. Ces pénalités sont une clause pénale au sens du droit français, et leur régime est fixé par le code civil, dont l’article 1231-5 dispose : « le juge peut, même d’office, modérer ou augmenter la pénalité ainsi convenue si elle est manifestement excessive ou dérisoire ». La formule protège les deux parties : une pénalité symbolique qui ne répare rien pourrait être augmentée, et une pénalité écrasante qui punit plus qu’elle ne répare pourrait être modérée. Pour l’entreprise cliente, la leçon est double : d’une part, les pénalités prévues au contrat ont vocation à s’appliquer de plein droit dès que l’interruption est constatée, sans qu’il soit besoin de démontrer l’étendue exacte du préjudice correspondant ; d’autre part, leur montant reste sous le contrôle du juge, de sorte qu’une pénalité bien calibrée et adossée à des manquements documentés a toutes les chances de survivre à ce contrôle.
Encore faut-il les déclencher dans les formes. Dans la pratique des contrats d’affaires, les pénalités ne tombent presque jamais toutes seules : le contrat impose une déclaration d’incident, un constat contradictoire ou une demande écrite dans un délai stipulé, parfois de quelques jours seulement. L’entreprise avisée adresse donc au prestataire, dès les premières heures de l’interruption, une lettre recommandée — papier ou électronique — qui décrit les faits, vise la clause de niveaux de service, réclame l’application des pénalités et se ménage la preuve de chaque heure d’indisponibilité : captures d’écran, journaux de connexion, accusés de non-distribution, échanges avec le support. Cette discipline probatoire servira deux fois : à obtenir les pénalités, et à établir plus tard la perte d’exploitation. Le code civil organise d’ailleurs la sortie du contrat en cas d’échec persistant : son article 1226 prévoit que « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable », avant de pouvoir notifier la résolution. La mise en demeure n’est donc pas une politesse : c’est le préalable obligé de toute résolution unilatérale, et son contenu — faits précis, clause visée, délai fixé, sanction annoncée — conditionne la suite.
Le prestataire opposerait volontiers la force majeure : une cyberattaque serait, dirait-il, un événement extérieur, imprévisible et irrésistible qui l’exonère. L’argument ne prospère que s’il est démontré, car le article 1231-1 du code civil ne libère le débiteur que « s’il ne justifie pas que l’exécution a été empêchée par la force majeure », et c’est au débiteur de rapporter cette preuve. Or un professionnel dont le métier consiste précisément à traiter des données et à garantir la disponibilité de sa plateforme aura les plus grandes difficultés à soutenir qu’une cyberattaque était imprévisible en 2026, et qu’elle était irrésistible alors même que des mesures élémentaires — correctifs, cloisonnement, sauvegardes, supervision — auraient pu la prévenir ou en réduire les effets. Chaque dossier reste un cas d’espèce, et seul le juge apprécierait ces circonstances, mais l’entreprise cliente n’a aucune raison d’accepter l’argument sans examen : elle peut exiger le rapport d’incident, les journaux de sécurité et les attestations de prestataires, et confronter ces pièces à l’obligation de sécurité que le contrat mettait à la charge du prestataire.
Enfin, l’entreprise cliente ne devrait pas négliger le volet pénal, non pour se faire justice elle-même, mais pour verrouiller ses droits à réparation. Le code pénal réprime sévèrement les atteintes aux systèmes : son article 323-1 énonce que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », et son article 323-3 vise le fait « d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », puni « de cinq ans d’emprisonnement et de 150 000 € d’amende ». Surtout, l’article 226-17 du même code punit « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée », d’une peine « de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Ces qualifications relèveraient de l’enquête pénale en cours et de l’appréciation du parquet, sans préjuger de la responsabilité de quiconque ; pour l’entreprise cliente, l’intérêt d’un dépôt de plainte réside dans la constitution de partie civile et dans la conservation des preuves, qui serviront ensuite au chiffrage civil. Sur les démarches pénales et la préservation des droits dans les premières heures, on lira utilement les conseils relatifs à la résiliation d’un contrat de prestation informatique après un piratage, qui complètent ce qui suit sans s’y substituer.
B. Plafond de responsabilité : le juge peut-il l’écarter ?
Passées les pénalités, l’entreprise cliente se heurte presque toujours à la même ligne de défense : une clause qui plafonne la responsabilité du prestataire à quelques mois d’abonnements, au prix de la prestation annuelle, voire au montant des pénalités elles-mêmes. Ces plafonds sont valables en principe entre professionnels, et un contrat librement négocié peut limiter la réparation. Mais cette validité de principe connaît une limite infranchissable, posée par l’article 1170 du code civil en des termes absolus : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » Autrement dit, le prestataire peut aménager les conséquences pécuniaires de ses manquements, mais il ne peut pas vider de son contenu l’engagement même pour lequel le client paie : assurer la disponibilité de la plateforme, exécuter les envois confiés, protéger les données traitées. Quand l’interruption est totale et durable, ou quand la confidentialité des données confiées est anéantie, le plafond qui ramènerait la réparation à presque rien pourrait être regardé comme privant de sa substance l’obligation essentielle du prestataire — ce qu’il appartiendrait au juge de trancher au vu du contrat et des faits.
La Cour de cassation a forgé cette solution dans une affaire restée célèbre, qui concernait des plis urgents confiés à un transporteur rapide et livrés en retard. Dans son arrêt du 22 octobre 1996, la chambre commerciale a jugé qu’« en raison du manquement à cette obligation essentielle la clause limitative de responsabilité du contrat, qui contredisait la portée de l’engagement pris, devait être réputée non écrite » (Cass. com., 22 oct. 1996, n° 93-18.632). La portée du raisonnement dépasse le transport : dès qu’un professionnel garantit la fiabilité et la célérité de son service et s’engage sur un délai ou un résultat, la clause qui contredirait cet engagement pourrait être écartée. Dix ans plus tard, la même chambre a précisé la méthode que doivent suivre les juges du fond : saisie d’une clause limitative invoquée par un prestataire de services, la cour d’appel aurait dû vérifier « si la clause limitative d’indemnisation dont se prévalait la société Chronopost, qui n’était pas prévue par un contrat-type établi par décret, ne devait pas être réputée non écrite par l’effet d’un manquement du transporteur à une obligation essentielle du contrat », et faute de cette recherche « la cour d’appel n’a pas donné de base légale à sa décision » (Cass. com., 30 mai 2006, n° 04-14.974). Pour l’entreprise cliente d’un prestataire piraté, l’enseignement est net : le juge ne peut pas se contenter d’appliquer le plafond, il doit d’abord qualifier l’obligation méconnue — disponibilité, délai de rétablissement, sécurité des données — et dire si elle était essentielle à l’économie du contrat.
En pratique, trois vérifications distinguent un plafond solide d’un plafond fragile. D’abord, la réciprocité et la négociation : un plafond discuté entre professionnels de taille comparable, assorti de contreparties — engagements de disponibilité renforcés, audits de sécurité, pénalités élevées — résiste mieux qu’un plafond imposé dans des conditions générales acceptées d’un clic, sans alternative. Ensuite, la cohérence du dispositif : un contrat qui promet une disponibilité de 99,9 % et un rétablissement en quatre heures, mais qui plafonne toute réparation à un mois d’abonnement, contient une contradiction interne que le juge pourrait relever, dans l’esprit des arrêts précités. Enfin, la gravité du manquement : une simple dégradation passagère n’a pas la même portée qu’une interruption totale de six jours assortie d’un vol de données massif, et c’est l’ampleur du manquement à l’obligation essentielle qui justifierait, le cas échéant, d’écarter le plafond. L’entreprise cliente rassemblera donc le contrat et ses annexes, les engagements commerciaux du prestataire — plaquettes, réponses à appel d’offres, certifications affichées — et la chronologie exacte de l’incident, puis fera vérifier par un avocat en cybersécurité à Paris si le plafond opposé résiste à l’article 1170. Sur la manière de contester concrètement une clause de ce type après une panne informatique, les explications données à propos de la clause limitative opposée après une panne informatique majeure restent utiles, même si la panne et la cyberattaque appellent des démonstrations différentes.
II. Perte d’exploitation et assurance cyber : qui rembourse l’entreprise ?
Obtenir des pénalités et faire écarter un plafond ne suffit pas toujours : encore faut-il chiffrer ce que l’incident a réellement coûté, puis trouver le payeur solvable de la partie qui dépasse les pénalités. La perte d’exploitation — marge perdue pendant l’interruption, commandes annulées, clients partis, surcoûts de réexpédition et de gestion de crise — forme le gros du préjudice des entreprises clientes d’un prestataire à l’arrêt. Et quand le prestataire discute, tarde ou oppose ses plafonds, l’assurance de l’entreprise, notamment sa garantie cyber ou sa garantie pertes d’exploitation, peut prendre le relais, à condition d’avoir été souscrite, déclarée et lue à temps.
A. Perte d’exploitation après une cyberattaque : comment la chiffrer ?
Le droit commun de la réparation contractuelle s’applique : le débiteur qui n’exécute pas doit réparer, et l’article 1231-1 du code civil vise aussi bien « l’inexécution de l’obligation » que « le retard dans l’exécution », ce qui couvre l’interruption totale comme le simple retard de distribution des envois. Mais tout préjudice allégué n’est pas indemnisable : l’article 1231-4 du même code rappelle que « dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution ». La formule contient deux exigences que l’entreprise cliente doit intégrer dès le chiffrage. D’une part, le lien de causalité doit être direct : la marge perdue sur des envois qui n’ont pas pu partir pendant l’interruption, les frais de réexpédition en urgence par un autre canal, les heures supplémentaires payées pour gérer la crise et les pénalités versées à ses propres clients du fait du retard sont des suites directes ; en revanche, la perte d’un appel d’offres dont l’issue restait incertaine, ou la baisse générale du chiffre d’affaires du trimestre, exigeraient une démonstration bien plus fine. D’autre part, la prévisibilité compte : le prestataire qui connaît la nature des envois — mises en demeure, convocations, factures, relances — pouvait prévoir qu’une interruption paralyserait l’activité de ses clientes, ce qui renforce le caractère indemnisable, sans que l’entreprise soit dispensée de prouver poste par poste.
Concrètement, un dossier de perte d’exploitation solide repose sur quatre pièces. Premièrement, la chronologie de l’interruption, heure par heure, adossée aux constats et aux échanges avec le prestataire : c’est elle qui fait le lien entre l’incident et chaque poste de préjudice. Deuxièmement, la comptabilité comparée : chiffre d’affaires et marges de la période d’interruption rapportés à la même période des exercices précédents et aux prévisions budgétaires, afin d’isoler ce qui manque. Troisièmement, les surcoûts documentés : réexpéditions en recommandé papier, affranchissements urgents, prestations de substitution, heures supplémentaires, honoraires de gestion de crise, tous justifiés par factures. Quatrièmement, les répercussions commerciales : clients perdus, contrats résiliés, pénalités payées à des tiers, attestées par écrit. Une attestation d’expert-comptable qui certifie la méthode et les montants donne au chiffrage une autorité que des tableaux internes n’auraient pas. Ce dossier servira indifféremment contre le prestataire et contre l’assureur, dont les experts le passeront au crible : autant le bâtir une fois, complètement, plutôt que de le bricoler deux fois.
Reste la question des démarches envers les autorités et les destinataires, que l’entreprise cliente ne doit ni confondre avec le chiffrage ni négliger. Sur ce terrain, les textes et les décisions consultés pour le présent article ne permettent pas de fixer ici, dans l’abstrait, qui devait notifier quoi ni dans quel délai pour chaque configuration — responsable du traitement, sous-traitant, sous-traitant ultérieur — car la réponse dépend du rôle exact que le contrat confie à chacun dans la chaîne des envois. Ce point précis doit être fait trancher sans attendre avec le délégué à la protection des données : dans les faits rapportés par la presse spécialisée, le prestataire indique avoir notifié la CNIL et informé les organisations concernées, mais cela ne dit rien, à soi seul, des obligations propres de chaque entreprise cliente envers ses propres destinataires. Sur ces obligations — qui notifie, qui informe et comment — on se reportera aux explications consacrées aux démarches de l’entreprise cliente envers la CNIL et ses destinataires après la cyberattaque et, plus largement, à celles relatives à la notification d’une violation de données et à l’information des clients. L’important, pour le dossier indemnitaire, est que chaque démarche soit tracée et datée : notifications, courriers aux destinataires, échanges avec le délégué — tout cela prouve, le jour venu, que l’entreprise s’est comportée en gestionnaire diligent, ce qui crédibilise l’ensemble de sa demande.
B. Assurance cyber entreprise : que couvre-t-elle vraiment ?
L’assurance dite cyber, souscrite par un nombre croissant d’entreprises, promet de prendre en charge les conséquences d’une attaque : frais de gestion de crise, restauration des systèmes, pertes d’exploitation, parfois même les réclamations de tiers. Dans le scénario qui nous occupe, c’est l’assurance de l’entreprise cliente — et non celle du prestataire — qui est en première ligne, car c’est elle qui couvre le patrimoine de l’assurée. Mais la promesse commerciale ne vaut que ce que vaut la police, et les polices cyber regorgent d’exclusions, de sous-limites et de conditions dont la lecture attentive réserve souvent des surprises. Le premier réflexe consiste donc à sortir la police, ses conditions particulières et ses annexes, et à vérifier trois points : le fait générateur couvert — l’attaque subie par un tiers prestataire entre-t-elle dans la définition du sinistre, ou la garantie suppose-t-elle une intrusion dans le système de l’assurée elle-même ? — le plafond applicable aux pertes d’exploitation et les sous-limites par poste — frais de crise, reconstitution, honoraires — et les exclusions, notamment celles qui visent les pannes, les actes non malveillants ou les manquements antérieurs aux obligations de sécurité.
Sur les exclusions, le droit des assurances offre à l’assurée une protection puissante, à manier avec méthode. L’article L. 113-1 du code des assurances pose le principe : « Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. » Et il ajoute aussitôt la seule réserve absolue : « Toutefois, l’assureur ne répond pas des pertes et dommages provenant d’une faute intentionnelle ou dolosive de l’assuré. » Tout le contentieux des exclusions tient dans ces deux phrases : l’assureur qui refuse sa garantie doit exhiber une exclusion « formelle et limitée », c’est-à-dire précise, circonscrite, compréhensible sans interprétation ; à défaut, l’exclusion est réputée non écrite et la garantie joue. La Cour de cassation applique cette exigence avec constance : dans un arrêt rendu en matière de pertes d’exploitation, sa deuxième chambre civile juge qu’« Une clause d’exclusion n’est pas formelle lorsqu’elle ne se réfère pas à des critères précis et nécessite interprétation » et rappelle qu’« Il résulte de ce texte que seules les clauses d’exclusion de garantie qui privent l’assuré du bénéfice de la garantie en considération de circonstances particulières de la réalisation du risque doivent être formelles et limitées » (Cass. 2e civ., 1er déc. 2022, n° 21-19.342). Transposée à l’assurance cyber, la leçon est directe : une exclusion qui écarterait tout dommage lié directement ou indirectement à une défaillance d’un prestataire externe, sans définir la défaillance ni le prestataire, pourrait être regardée comme nécessitant interprétation et donc privée d’effet — ce qu’il appartiendrait au juge de trancher. De même, l’exclusion des dommages résultant d’un défaut de maintenance ou de mise à jour supposerait, pour jouer contre l’assurée, que l’assureur établisse le défaut précis et son lien avec le sinistre, et non une hygiène informatique généralement perfectible.
Deux obligations pèsent en retour sur l’entreprise assurée, et leur méconnaissance ferait perdre le bénéfice de la garantie. D’une part, la déclaration exacte du risque : le code des assurances oblige l’assuré à répondre exactement aux questions de l’assureur lors de la souscription, puis à déclarer en cours de contrat les circonstances nouvelles qui aggravent les risques (article L. 113-2 du code des assurances). Une entreprise qui aurait minimisé son exposition — volumétrie des envois externalisés, criticité du prestataire unique, absence de plan de secours — s’exposerait à une réduction proportionnelle d’indemnité, voire à la nullité. D’autre part, la déclaration rapide du sinistre : les polices cyber imposent des délais courts, parfois de quelques jours, et subordonnent la prise en charge des frais de crise — expert, avocat, communicant — à l’accord préalable de l’assureur. En pratique, l’entreprise déclare le sinistre dès la suspension des services, transmet le dossier de perte d’exploitation au fur et à mesure de sa constitution, et ne mandate aucun prestataire de crise coûteux sans le feu vert écrit de l’assureur. Si l’assureur refuse sa garantie ou la réduit, chaque motif de refus doit être contesté par écrit, exclusion par exclusion, à la lumière de l’article L. 113-1 : bien des refus fondés sur des clauses floues ne survivent pas à cette relecture. Et si ni le prestataire ni l’assureur ne paie, le dossier ainsi constitué — contrat, constats, chiffrage certifié, échanges — est exactement celui qu’un tribunal attendrait : le juge civil, saisi sur le fondement de l’inexécution contractuelle ou, à défaut de contrat utile, sur celui du fait dommageable de l’article 1240 du code civil, ne pourrait que saluer la rigueur de la démonstration.
Conclusion
La cyberattaque subie par un prestataire d’envois ne laisse pas l’entreprise cliente sans recours, mais elle ne lui offre aucun chèque en blanc : tout se joue dans le contrat et dans la police. Les pénalités de retard et les engagements de niveaux de service se déclenchent par écrit et se prouvent heure par heure ; les plafonds de responsabilité, valables en principe, pourraient être écartés par le juge quand le manquement touche à l’obligation essentielle du prestataire ; la perte d’exploitation se chiffre poste par poste, au prix d’une démonstration directe et documentée ; et l’assurance cyber ne paie que ce que sa police couvre, sous le contrôle exigeant de l’exclusion formelle et limitée. Dans l’affaire qui a inspiré ces lignes, aucune responsabilité n’est établie à la date de rédaction, les contrats signés priment sur toute analyse générale, et seule l’enquête judiciaire puis, le cas échéant, le juge diront qui doit payer quoi. En attendant, l’entreprise cliente qui écrit vite, chiffre juste et déclare tôt se donne les meilleures chances d’être celle que l’on rembourse — et non celle qui paie deux fois : une fois par l’interruption, une fois par l’inaction.