Cyberattaques : faut-il mettre en place un « contrôle technique cyber » pour les entreprises ?
L’ESSENTIEL Une cyberattaque a visé, mi-octobre, des frigos de supermarchés qui ont dû jeter tous leurs produits surgelés, mettant en lumière le fait que les risques des cyberattaques affectent aussi le monde physique. Si les attaquants sont évidemment les premiers responsables de ces attaques et des préjudices causés, les organisations victimes ne sont pas à l’abri de la reproduction de ces attaques ni d’être elles-mêmes autrices de faits préjudiciables, au sens juridique du terme, par exemple en n’ayant pas mis en place de garde-fous.
Dans la nuit du 11 au 12 octobre 2026, une cyberattaque a ciblé les systèmes frigorifiques de centaines de supermarchés en France, notamment les enseignes Intermarché et Super U. Les réfrigérateurs, connectés à Internet pour être contrôlés à distance, ont été piratés en raison de failles de sécurité non corrigées. Résultat : des produits surgelés ont dû être jetés, entraînant des pertes financières majeures, des fermetures de magasins et des risques sanitaires ou écologiques. Cette attaque illustre comment une faille numérique peut avoir des conséquences tangibles dans le monde physique. La section cybercriminalité du parquet de Paris s'est saisie de l'affaire dès le 12 octobre 2026.
Si les cybercriminels sont les premiers responsables des attaques, les entreprises victimes peuvent aussi être tenues pour partiellement responsables si elles n'ont pas mis en place les mesures de sécurité minimales. Par exemple, un mot de passe faible comme LOUVRE pour protéger des serveurs critiques peut être craqué en 31 minutes, selon l'outil Nothing2Hide. Les entreprises ont une obligation légale de protéger les données personnelles via le RGPD (Règlement général sur la protection des données), mais ce texte ne précise pas de liste de mesures concrètes à appliquer. En cas de négligence avérée, un assureur pourrait refuser d'indemniser les préjudices subis, comme le prévoit souvent les clauses contractuelles des assurances cyber.
La majorité des cyberattaques exploitent des failles de sécurité connues et évitables, comme l'absence de mises à jour logicielles. Dans le cas des supermarchés, les experts estiment que l'attaque aurait pu être évitée par une simple mise à jour non effectuée. Michel-Édouard Leclerc, président des enseignes E.Leclerc, a reconnu que ces organisations n'avaient pas « cette culture de la sécurité ». Ces négligences peuvent aussi concerner des mots de passe basiques, des logiciels obsolètes ou un manque de formation des employés. Ces erreurs, bien que banales, exposent les entreprises à des risques juridiques et financiers majeurs.
En droit français, la force majeure permet d'exonérer une personne de sa responsabilité si l'événement est extérieur, imprévisible et irrésistible. Cependant, les tribunaux considèrent rarement une cyberattaque comme un cas de force majeure. Par exemple, la Cour d'appel de Paris a refusé en 2020 de reconnaître la force majeure pour un ransomware (rançongiciel), car un virus informatique n'est ni imprévisible ni irrésistible. Une entreprise négligente ne peut donc pas invoquer la force majeure pour échapper à sa responsabilité en cas de cyberattaque évitable. L'Article 1241 du Code civil précise que chacun est responsable des dommages causés par sa négligence ou son imprudence.
Les entreprises font face à un brouillard normatif en matière de cybersécurité, avec une multiplication des textes réglementaires sans lignes directrices claires. La directive européenne NIS 2, adoptée en 2022 et devant être transposée en droit français avant le 17 octobre 2024, vise à renforcer la cybersécurité des entités critiques. Cependant, son débat à l'Assemblée nationale a été repoussé, laissant les entreprises dans l'incertitude. Bien que des référentiels de bonnes pratiques existent, il n'existe pas de liste officielle des obligations à respecter pour éviter une négligence assimilable à une faute. Cette situation crée une insécurité juridique pour les entreprises et leurs partenaires.
Pour clarifier les obligations des entreprises et réduire les risques de négligence, l'idée d'un contrôle technique cyber est évoquée. Ce contrôle, inspiré du contrôle technique des véhicules, permettrait de vérifier périodiquement la sécurité informatique des organisations. Actuellement, seul un cyberscore est obligatoire pour les grandes plateformes numériques, qui doivent afficher un score de sécurité audité par l'Anssi (Agence nationale de la sécurité des systèmes d'information). Cependant, un contrôle ponctuel pourrait rapidement devenir obsolète, car les menaces informatiques évoluent en permanence. L'objectif serait de définir un cadre précis et lisible pour indiquer aux entreprises ce qui est attendu d'elles en matière de cybersécurité.
Les entreprises peuvent souscrire des assurances spécifiques pour couvrir les risques liés aux cyberattaques. Ces contrats prévoient généralement des indemnisations pour les préjudices subis, ainsi que des aides à la remise en route des systèmes. Cependant, les assureurs peuvent refuser de couvrir les dommages si l'entreprise a commis une négligence, comme l'utilisation d'un mot de passe faible ou l'absence de mises à jour. Par exemple, un défaut de sécurité élémentaire pourrait être considéré comme une faute de l'entreprise, réduisant ainsi la responsabilité de l'attaquant. Les assurances jouent donc un rôle clé, mais elles ne dispensent pas les entreprises de leur obligation de protéger leurs systèmes.
