Cyberattaque : qui paie quoi et comment établir la responsabilité de chacun ?
Quand l’attaque survient, la première question n’est pas « qui est coupable ? » mais « qui va payer, et sur quelle base ? ». Entreprise, prestataire informatique, assureur, sous-traitant, banque : chacun répond de choses différentes, devant des interlocuteurs différents. Voici, sans jargon, la grille de lecture que les juristes appliquent à ce type de dossier. À titre d’information uniquement : nous ne sommes pas avocats, et chaque situation est différente.
Nous ne sommes pas avocats. cyberdiagnostic est un outil de diagnostic de cybersécurité, pas un cabinet juridique. Cet article a un seul but : vous informer sur les grands mécanismes de responsabilité après une cyberattaque.
En la matière, tout dépend des cas et des situations : vos contrats, votre police d’assurance, les faits de l’incident et les juridictions saisies font varier la répartition des responsabilités et des coûts. Les exemples ci-dessous sont indicatifs, jamais une garantie de résultat. Face à un incident réel ou avant de signer ou de renégocier un contrat, consultez un avocat ou un juriste spécialisé en droit du numérique et des assurances.
Le principe à retenir : en cas de cyberattaque, la victime reste en première ligne. Même si la faille vient de votre prestataire, c’est vous qui répondez d’abord devant vos clients, la CNIL et vos partenaires. La répartition finale des coûts se joue ensuite, par les contrats, l’assurance et, si nécessaire, le juge. D’où l’importance de préparer ce terrain avant l’incident.
Les 5 acteurs et ce que chacun doit réellement
Une même attaque mobilise plusieurs régimes juridiques à la fois. Avant de parler d’argent, il faut identifier le rôle de chaque acteur.
L’entreprise victime
Doit : mettre en œuvre des mesures de sécurité adaptées au risque et à l’état de l’art (art. 32 RGPD), notifier la CNIL, informer les personnes concernées si le risque est élevé, documenter l’incident.
Ne peut pas : se décharger de ces obligations sur son prestataire.
Le prestataire IT / infogéreur
Doit : exécuter ce que le contrat prévoit (correctifs, supervision, sauvegardes, antivirus/EDR…) avec la diligence d’un professionnel, et conseiller son client.
Répond : des manquements à son périmètre, dans les limites du contrat.
L’éditeur SaaS / hébergeur
Doit : respecter l’art. 28 RGPD (contrat de sous-traitance, mesures de sécurité, aide à la conformité) et vous notifier toute violation « dans les meilleurs délais ».
Répond : s’il a manqué à ses obligations propres ou agi hors de vos instructions licites (art. 82.2).
L’assureur cyber
Doit : indemniser dans les limites de la police : garanties souscrites, plafonds, franchises, exclusions.
Peut : refuser ou réduire sa garantie en cas de fausse déclaration, de déchéance ou d’exclusion, puis se retourner contre le responsable (subrogation, art. L121-12).
S’y ajoutent, selon les cas, la banque (en cas de fraude au virement), le dirigeant à titre personnel, et l’attaquant, qui est juridiquement le premier responsable mais rarement solvable, ni identifiable.
Qui paie quoi : le tableau poste par poste
Dans la pratique, on raisonne par poste de coût. Ce tableau donne la logique générale ; le détail dépend toujours de votre police et de vos contrats.
| Poste de coût | Qui supporte en 1ʳᵉ ligne | Assureur cyber | Recours possible |
|---|---|---|---|
| Expertise forensic & gestion de crise | L’entreprise (avance de frais) | Souvent couvert Via l’assistance 24/7 de la police, à activer avant d’engager vos propres experts | Prestataire fautif (par l’assureur subrogé ou par vous) |
| Restauration des systèmes et des données | L’entreprise, ou l’infogéreur si le contrat met à sa charge sauvegardes et remise en service | Couvert selon plafond (frais de reconstitution) | Prestataire, si sauvegardes absentes, non testées ou inaccessibles |
| Perte d’exploitation | L’entreprise | Sous conditions Franchise en heures, durée d’indemnisation et plafond | Prestataire, mais dommages réparables limités par le contrat (plafond, exclusion des pertes indirectes) |
| Rançon | L’entreprise | Exceptionnel Uniquement si garantie d’extorsion expresse et plainte dans les 72 h | Pratiquement aucun |
| Notification CNIL, information des personnes, centre d’appels | Le responsable de traitement (l’entreprise) | Souvent couvert (frais de notification) | Sous-traitant, tenu de vous assister (art. 28.3.f RGPD) |
| Dommages-intérêts aux clients et tiers | L’entreprise, vis-à-vis des victimes | Couvert au titre de la responsabilité civile cyber, dans les limites de la police | Sous-traitant / prestataire fautif : recours entre responsables (art. 82.5 RGPD, droit commun) |
| Amende administrative (CNIL) | L’entreprise, car la sanction est personnelle | Généralement exclu L’assurabilité des sanctions est très discutée en droit français | Aucun transfert sur le prestataire de la sanction elle-même |
| Défense juridique et frais d’avocat | L’entreprise | Selon police (défense pénale/réglementaire, protection juridique) | Inclus dans la demande de dommages-intérêts si la faute est établie |
| Durcissement post-incident | L’entreprise | Rarement couvert Les « améliorations » sont souvent exclues | Prestataire, uniquement si le défaut de sécurité relevait de ses engagements |
Attention à la fausse bonne idée : « mon prestataire est responsable, donc il paiera ». Même quand sa faute est établie, il ne paiera que dans les limites de son contrat (plafond, exclusions, assurance de responsabilité professionnelle) et seulement après une procédure qui peut durer des mois. Votre trésorerie, elle, doit tenir pendant ce temps.
Les 4 terrains juridiques où se joue la responsabilité
On ne répond pas de la même chose, ni devant la même autorité, selon le terrain. Ils se cumulent.
1. Le terrain RGPD : la sécurité des données personnelles
Le responsable de traitement doit garantir une sécurité adaptée au risque (art. 5.1.f et 32). Sans sécurité raisonnable, la violation de données peut être sanctionnée, indépendamment de l’attaquant. Le sous-traitant a ses propres obligations, et la personne concernée peut obtenir réparation de son dommage auprès de l’un ou l’autre : en cas de dommage causé par un même traitement, chacun peut être tenu pour le tout, à charge de recours entre eux (art. 82.4 et 82.5).
Références : RGPD art. 5, 24, 28, 32, 33, 34, 82, 83
2. Le terrain contractuel : ce que le prestataire avait promis
C’est le terrain décisif pour répartir le coût entre l’entreprise et son prestataire (art. 1231-1 du Code civil). Trois questions : qu’était-il chargé de faire ? (périmètre), quel niveau d’engagement ? (obligation de moyens ou de résultat, souvent de moyens renforcée en sécurité), jusqu’où répond-il ? (plafond de responsabilité). Une clause limitative est écartée si elle vide de sa substance l’obligation essentielle (art. 1170) ou en cas de faute lourde ou dolosive. Le client, lui, doit collaborer : fournir les accès, valider les budgets, appliquer les recommandations. Un refus documenté de correctif ou de budget retombe sur lui.
Références : Code civil art. 1170, 1218, 1231-1, 1231-3 ; Code de commerce art. L442-1 (déséquilibre significatif)
3. Le terrain assurantiel : ce que la police couvre vraiment
L’assureur indemnise ce que le contrat prévoit, aux conditions prévues. Quatre points font régulièrement perdre la garantie : la déclaration tardive (délai contractuel, 5 jours ouvrés minimum, art. L113-2), l’absence de plainte dans les 72 h (art. L12-10-1), la fausse déclaration lors de la souscription (art. L113-8 et L113-9, par exemple MFA ou sauvegardes déclarées mais absentes) et les exclusions (mises à jour non appliquées, faits connus, actes de guerre, etc.).
Références : Code des assurances art. L12-10-1, L113-2, L113-8, L113-9, L114-1, L121-12
4. Le terrain du dirigeant : la responsabilité personnelle
Elle n’est pas automatique, mais elle existe. Sur le plan civil, une faute de gestion peut être recherchée (par exemple art. L223-22 pour une SARL, L225-251 pour une SA). Sur le plan pénal, l’art. 226-17 du Code pénal sanctionne le traitement de données personnelles sans mise en œuvre des mesures de sécurité nécessaires (jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende). Ce qui protège le dirigeant : un dispositif de sécurité raisonnable, documenté et daté.
Références : Code de commerce art. L223-22, L225-251 ; Code pénal art. 226-17
Et NIS2 ? Si votre entreprise entre dans le champ de la directive, vous aurez des obligations renforcées de gestion des risques et de déclaration d’incident (selon la directive : alerte précoce sous 24 h, notification sous 72 h, rapport final sous un mois). En France, sa transposition passe par le projet de loi « Résilience », dont l’examen à l’Assemblée nationale était programmé à partir du 7 octobre 2026. Le texte n’était donc pas encore définitivement adopté à la date de rédaction de cet article : vérifiez son état avant de vous y référer. Le simulateur NIS2 vous dit si vous êtes probablement concerné.
Vos mesures de sécurité tiendraient-elles devant un assureur ou un juge ?
Notre diagnostic évalue vos protections au regard des fondamentaux ANSSI et vous donne un plan d’action priorisé. Une trace datée de votre diligence.
🛡️ Lancer mon diagnostic — 49 € Conforme ANSSI · Résultat immédiatLa méthode en 7 étapes pour établir les responsabilités
Déterminer qui est responsable n’est pas une opinion : c’est une reconstitution factuelle suivie d’une qualification juridique. Voici l’ordre dans lequel on procède.
Figer et préserver les preuves
Journaux (logs), copies des systèmes touchés, e-mails, tickets du prestataire. Ne pas réinstaller ni nettoyer avant l’avis de l’expert : vous détruiriez ce qui permet de prouver l’origine de l’attaque.
Faire établir la chronologie par un expert indépendant
Le rapport d’investigation numérique (forensic) répond à trois questions : comment l’attaquant est entré, qu’a-t-il touché, depuis quand. C’est la pièce centrale de toute répartition. Prévenez d’abord l’assureur, qui impose souvent ses propres experts.
Qualifier les rôles RGPD
Responsable de traitement, sous-traitant, responsables conjoints ? Cette qualification détermine qui notifie, qui assiste, et qui peut être recherché par les personnes concernées.
Rassembler contrats et polices
Contrat d’infogérance, SLA, annexe sécurité, accord de sous-traitance (art. 28), conditions générales de l’éditeur, police cyber, déclarations faites à la souscription. Chaque document fixe une partie de la répartition.
Comparer les manquements au niveau attendu
Ce qui était promis au contrat, ce qu’exige l’état de l’art (art. 32 RGPD), ce que recommande l’ANSSI. Une faille connue non corrigée, un MFA absent ou des sauvegardes jamais testées pèsent lourd.
Examiner le lien de causalité et le partage
Le manquement a-t-il réellement causé le dommage ? Plusieurs fautes se cumulent souvent : un prestataire qui n’a pas appliqué un correctif et un client qui avait refusé la fenêtre de maintenance. Le juge raisonne alors en partage de responsabilité.
Réclamer, dans le bon ordre
Déclaration à l’assureur dans le délai, mise en demeure motivée du prestataire, négociation ou médiation, puis si besoin référé-expertise (art. 145 du Code de procédure civile) pour faire désigner un expert judiciaire avant toute action au fond.
4 scénarios types : qui assume quoi ?
Ces cas illustrent des solutions probables. Chaque dossier reste unique : tout dépend des faits et des contrats.
Un collaborateur saisit ses identifiants sur un faux site. L’attaquant se connecte à la messagerie, puis déploie un rançongiciel. L’entreprise gérait elle-même sa sécurité.
Une faille connue depuis des mois est exploitée sur un serveur dont le contrat d’infogérance prévoyait la gestion des correctifs.
L’éditeur est piraté, les fichiers de vos clients sont exfiltrés.
Un faux dirigeant, éventuellement appuyé par une voix clonée, obtient un virement que votre comptable valide.
Reste le cas où l’attaque exploite une vulnérabilité inconnue (« zero-day ») sans correctif disponible chez un prestataire diligent : sa faute est alors difficile à établir (obligation de moyens), et l’entreprise supporte l’essentiel, d’où l’intérêt de la garantie assurance.
Assurance cyber : les 5 pièges qui font perdre la garantie
- Déclarer trop tard. Le contrat fixe un délai (5 jours ouvrés minimum). Un retard n’entraîne la déchéance que si l’assureur prouve qu’il lui a causé un préjudice, mais n’y comptez pas.
- Oublier la plainte dans les 72 h. Sans elle, l’indemnisation des pertes et dommages liés à l’atteinte à un système informatique est compromise (art. L12-10-1).
- Engager des frais avant l’accord de l’assureur. Experts, rançon, communication : beaucoup de polices exigent un accord préalable ou imposent leurs prestataires.
- Mal remplir le questionnaire de souscription. Ce que vous avez affirmé (MFA, sauvegardes hors ligne, EDR, mises à jour) sera relu après le sinistre.
- Ne pas lire les exclusions. Défaut de mise à jour, actes de guerre ou d’État, matériel obsolète, fraude sans garantie dédiée, amendes.
Et si on paie la rançon ? Le paiement n’est pas interdit en tant que tel, mais il est déconseillé par les autorités : aucune garantie de récupération des données, financement d’un groupe criminel, et risque supplémentaire si le groupe est visé par des sanctions internationales. Ne décidez jamais seul : faites-vous assister par un avocat et votre assureur, et déposez plainte.
Contrat avec votre prestataire IT : 10 clauses à vérifier maintenant
C’est le meilleur investissement juridique avant l’incident. Relisez votre contrat d’infogérance ou de maintenance avec cette liste.
- Périmètre précis : correctifs, supervision, sauvegardes, antivirus/EDR, gestion des accès sont-ils nommément inclus ?
- Niveau d’engagement : obligation de moyens ou de résultat, et pour quelles prestations ?
- Délais d’intervention (SLA) et astreinte en cas d’incident majeur.
- Plafond de responsabilité : montant, exclusions (pertes indirectes), réserve pour faute lourde.
- Délai de notification d’incident imposé au prestataire (idéalement 24 à 48 h).
- Accord de sous-traitance RGPD (art. 28) complet : mesures de sécurité, assistance, sort des données.
- Conservation des journaux (logs) suffisamment longue pour permettre une enquête.
- Tests de restauration documentés et communiqués : voir notre guide sur les sauvegardes.
- Assurance de responsabilité civile professionnelle du prestataire, avec attestation à jour.
- Accès à privilèges et sous-traitants en cascade : MFA obligatoire pour les comptes d’administration, liste des sous-traitants ultérieurs.
Les 72 premières heures : ce qui protège vos droits
Ces réflexes ne sont pas que techniques : ils préservent votre indemnisation et votre position juridique.
Isoler les machines du réseau, couper les accès suspects, sans réinstaller ni effacer. Constituer une cellule de crise (dirigeant, IT, personne chargée de la communication).
Appeler l’assistance de votre assureur cyber et prévenir le prestataire IT. Ouvrir un journal de bord daté : qui a fait quoi, quand.
Lancer l’investigation numérique, conserver preuves et journaux, qualifier la nature de l’attaque (données personnelles concernées ou non), se rapprocher d’un avocat.
Déposer plainte (condition de l’indemnisation) et notifier la CNIL si la violation présente un risque pour les personnes. Prévenir la banque en cas de fraude. Une assistance est aussi disponible sur cybermalveillance.gouv.fr.
Déclarer le sinistre par écrit, mettre en demeure les responsables potentiels, informer les personnes concernées si le risque est élevé, et documenter les mesures correctives. Notre template de plan de réponse à incident vous donne la trame.
Checklist : votre dossier est-il défendable ?
- Savez-vous qui, de vous ou de votre prestataire, gère quoi (correctifs, sauvegardes, accès), par écrit ?
- Avez-vous relu votre contrat d’infogérance : plafond, délais de notification, accord RGPD ?
- Votre police cyber est-elle à jour avec les garanties, plafonds et exclusions compris par la direction ?
- Le questionnaire de souscription reflète-t-il la réalité (MFA, sauvegardes, EDR) ?
- Savez-vous qui appeler et dans quel ordre dans les premières heures, et où se trouvent ces contacts hors ligne ?
- Avez-vous une trace datée de vos mesures de sécurité (diagnostic, audit, plan d’action) ?
- Connaissez-vous vos délais : 72 h plainte et CNIL, déclaration de sinistre, prescriptions ?
Questions fréquentes
Une cyberattaque est-elle un cas de force majeure qui exonère l’entreprise ou son prestataire ?
Mon prestataire informatique peut-il limiter sa responsabilité par contrat ?
Mon assurance cyber rembourse-t-elle la rançon ?
Le dirigeant peut-il être tenu personnellement responsable ?
De combien de temps dispose-t-on pour agir contre le prestataire ou l’assureur ?
Préparez votre dossier avant que l’attaque ne le fasse pour vous
Score de maturité · Plan d’action priorisé · Rapport PDF immédiat. La preuve datée de votre diligence, utile face à un assureur, un client ou un auditeur.
🛡️ Lancer mon diagnostic — 49 € Conforme ANSSI · Résultat immédiat · Sans engagement