Cyberattaque : la faute du prestataire informatique ne se présume pas

Une entreprise est attaquée. Ses données sont perdues, son activité s’arrête, et elle se retourne vers le prestataire qui assurait la maintenance de son système. La demande paraît naturelle : celui qui entretenait l’installation devait bien empêcher cela.

La cour d’appel de Lyon a jugé le contraire¹. La victime réclamait 50 000 € de dommages et intérêts ; sa demande est rejetée, et elle est en outre condamnée à payer les redevances qu’elle avait cessé de régler, la suspension de ses paiements étant jugée injustifiée et la résiliation prononcée à ses torts.

Ce qui frappe, dans cette décision, c’est qu’elle ne dit pas que le prestataire avait bien fait son travail. Elle dit que rien ne permettait d’établir le contraire.

Les trois motifs du rejet

Une expertise réalisée sans le prestataire

Le rapport produit par la victime avait été établi sans que le prestataire soit appelé à y participer. Il reprenait les déclarations de la victime et n’établissait pas l’origine de l’intrusion.

Une expertise non contradictoire n’est pas nécessairement écartée des débats, mais sa valeur probante s’effondre dès lors que celui à qui on l’oppose n’a pas pu discuter les constatations. Or l’origine de l’intrusion était précisément le point à démontrer : sans elle, aucun manquement ne peut être rattaché à qui que ce soit.

Aucune obligation de sécurité au contrat

Le contrat prévoyait la maintenance et la sauvegarde des données. Il ne mettait pas la prévention des cyberattaques à la charge du prestataire.

La distinction paraît subtile ; elle est déterminante. Maintenir un système, c’est le tenir en état de fonctionnement. Le sécuriser, c’est autre chose, et cela ne se déduit pas du premier. Un prestataire ne répond que de ce à quoi il s’est engagé.

Une clause excluant la responsabilité

Le contrat signé excluait toute responsabilité du prestataire en cas de perte de données — c’est-à-dire précisément le dommage survenu.

Trois points de vigilance

Refuser le plafond d’indemnisation. Un plafond limité aux redevances annuelles rend l’action sans objet : le client qui paie quelques milliers d’euros par an ne récupérera jamais le coût d’un arrêt d’activité. Il faut le supprimer, ou l’aligner sur ce qu’un arrêt complet coûterait réellement à l’entreprise. C’est une négociation de prix autant que de droit.

Imposer des livrables de sécurité. Plan de continuité et de reprise d’activité, délai de remise en service garanti, conservation des historiques de connexion, tests de restauration réguliers et leurs comptes rendus. Sans livrable exigible, aucun manquement n’est démontrable — c’est exactement ce que cette affaire illustre.

Prévoir une convention de preuve. Une clause qui reconnaît la force probante des journaux issus du système du client permet de garder la maîtrise des éléments qui seront produits devant le juge, au lieu de dépendre de ceux que l’adversaire voudra bien communiquer.

Et le jour de l’attaque

La leçon procédurale de l’arrêt est aussi importante que la leçon contractuelle : s’entourer d’experts dès la découverte de l’attaque, et veiller à ce que les constatations soient opposables au prestataire que l’on envisage de mettre en cause. Une expertise organisée judiciairement, ou à tout le moins contradictoirement, ne coûte pas plus cher qu’une expertise unilatérale — elle vaut simplement quelque chose.

Notes

1. CA Lyon, 3e ch. A, 12 juin 2025, RG n° 22/00548. ↩