Face à une cyberattaque, la première question que pose l’entreprise victime est souvent : est-ce que mon prestataire informatique est responsable ?
La réponse jurisprudentielle est plus nuancée qu’on ne le croit et elle dépend très largement du contenu exact des contrats conclus.
La jurisprudence que nous commentons depuis 2022 sur ce thème dessine une ligne de partage nette : la responsabilité du prestataire peut être engagée lorsqu’il a failli à une obligation de sécurité ou de sauvegarde expressément prévue au contrat.
Toutefois, un contrat de maintenance ou de sauvegarde standard ne couvre pas la protection contre les cyberattaques. Cette distinction, que peu de clients maîtrisent au moment de la signature, est déterminante en cas de sinistre.
→ Retour à la jurisprudence contrats informatiques – synthèse thématique
I. Cas qui engagent la responsabilité du prestataire informatique
L’incendie OVH : clause d’exclusion inopérante, indemnisation à hauteur de 95 000 €
TC Lille, 26 janvier 2023 : Incendie OVH : clause d’exclusion vidant l’obligation essentielle de sa substance (OUI)
Le 10 mars 2021, l’incendie du datacenter OVH de Strasbourg détruit le serveur principal d’un client et ses sauvegardes, lesquelles se trouvent en réalité dans le même bâtiment que le serveur principal, contrairement à ce que le contrat de sauvegarde avec option de réplication dans une infrastructure physiquement isolée laissait entendre.
Position du Tribunal : OVH oppose deux clauses : une exclusion de responsabilité en cas de force majeure (dont l’incendie figure expressément), et un plafond d’indemnisation à 1 800 €. Le Tribunal écarte les deux.
- Sur l’exclusion force majeure : les sauvegardes n’ont d’utilité que précisément en cas de sinistre. En effet, exclure la responsabilité dans ce cas vide de sa substance l’obligation essentielle de sauvegarde.
- Sur le plafond : déséquilibre significatif injustifié, asymétrie sans contrepartie. Indemnisation accordée à hauteur de 95 000 €, couvrant le préjudice d’image, la perte de chiffre d’affaires, la reconstitution des données, les frais de prestataires externes et les frais financiers liés à l’impact sur la trésorerie.
→ Jurisprudence clause limitative de responsabilité – Jurisprudence préjudices indemnisables – Jurisprudence 2021-2023
Enseignement : Un hébergeur qui propose une option de sauvegarde avec réplication ne peut pas s’exonérer de responsabilité lorsque la réplication n’est pas réellement dans une infrastructure isolée. La description contractuelle de la prestation crée une obligation dont l’exclusion en cas de sinistre est inopérante. Les clauses limitatives de responsabilité d’un hébergeur : exclusion force majeure, plafond faible, sont particulièrement vulnérables lorsqu’elles couvrent précisément le risque pour lequel la prestation a été souscrite.
Côté prestataire : Lorsqu’une option de sauvegarde avec réplication géographique est proposée, s’assurer que la réplication est réellement dans une infrastructure physiquement isolée et le vérifier régulièrement.
Côté client : Si la réplication était présentée dans une infrastructure physiquement isolée et que les sauvegardes se trouvaient en réalité dans le même bâtiment que le serveur principal, la clause d’exclusion de responsabilité en cas de sinistre sera inopérante. Documenter le préjudice sur plusieurs chefs : image, perte d’exploitation, reconstitution des données, frais financiers.
Perte de données lors d’une migration : erreurs de paramétrage du prestataire
CA Limoges, 15 juin 2022, n° 21/00432 : Erreurs de paramétrage lors d’une migration
Un prestataire chargé de la migration de données vers un serveur externalisé commet des erreurs de paramétrage conduisant à une perte de données majeure. La clause limitative plafonne l’indemnisation à environ 9 000 €. La Cour l’écarte : plafond dérisoire, obligation essentielle vidée de sa substance, et indemnise le préjudice réel.
→ Jurisprudence clause limitative de responsabilité – Mon prestataire a perdu mes données
Enseignement : Lorsque la perte de données résulte directement d’une erreur d’exécution du prestataire : erreur de paramétrage, mauvaise configuration, la responsabilité est engagée sans difficulté probatoire particulière. Le défi est alors d’écarter la clause limitative et de quantifier le préjudice. La formule expertale du Tribunal de Commerce de Nanterre (2019) : coût forfaitaire de vérification + nombre de fichiers × temps de reconstitution × coût horaire, est applicable dans ce contexte.
Côté prestataire : Une erreur de paramétrage lors d’une migration est une faute directe qui engage la responsabilité du prestataire. La clause limitative sera écartée si elle conduit à une indemnisation dérisoire au regard du préjudice réel.
Côté client : Conserver un inventaire des données confiées au prestataire : volume, nature, criticité. Cet inventaire servira de base à l’évaluation expertale du préjudice.
II. Situations dans lesquelles la responsabilité du prestataire n’est pas engagée
Contrat de maintenance standard : le prestataire n’est pas responsable de la cyberattaque
CA Lyon, 12 juin 2025, n° 22/00548 : Contrat de maintenance sans clause cybersécurité (NON)
Une société paysagiste conclut des contrats de maintenance informatique et de sauvegarde avec un prestataire.
En janvier 2020, elle subit une cyberattaque et impute la responsabilité à son prestataire.
Elle invoque la faiblesse de la protection mise en place et une défaillance alléguée du logiciel de maintenance utilisé par le prestataire, qui aurait constitué la porte d’entrée de l’attaque. Elle produit une expertise d’assurance non contradictoire à l’appui de sa demande.
Position de la Cour : La Cour écarte la responsabilité du prestataire sur plusieurs fondements cumulatifs.
- Absence de contrat lié cybersécurité : les parties n’avaient signé aucun contrat relatif à la protection contre les cyberattaques – un contrat de maintenance ne couvre pas ce risque.
- Clause d’exclusion valable : l’article 13 des deux contrats excluait la responsabilité du prestataire en cas de perte de données. Cette clause est jugée valable ici, contrairement aux clauses OVH, car la prestation souscrite ne portait pas sur la protection contre les cyberattaques.
- Preuve insuffisante : le client ne démontre pas les défaillances alléguées du logiciel de maintenance. L’expertise d’assurance non contradictoire ne suffit pas à établir le lien de causalité.
Non-imputabilité : le prestataire n’est pas l’éditeur du logiciel de maintenance et ne peut endosser une responsabilité liée à ses éventuelles défaillances sans preuve de sa propre faute.
Enseignement : Un contrat de maintenance informatique standard ne couvre pas la protection contre les cyberattaques. Sans clause spécifique, la responsabilité du prestataire ne peut être engagée qu’à la condition de démontrer une faute directe : défaillance de ses propres outils ou manquement à une obligation contractuelle précise. L’expertise d’assurance non contradictoire est un moyen de preuve insuffisant pour établir la responsabilité du prestataire dans une cyberattaque.
Côté prestataire : Préciser expressément dans le contrat de maintenance que les prestations n’incluent pas la protection contre les cyberattaques. Documenter toutes les interventions réalisées : rapport d’intervention, compte rendu d’activité mensuel. Ces documents sont la première défense en cas de mise en cause.
Côté client : Pour couvrir le risque de cyberattaque, il faut soit négocier une clause spécifique dans le contrat de maintenance, soit conclure un contrat de cybersécurité distinct. En cas de sinistre, recourir à une expertise informatique, judiciaire ou contradictoire, et non à une expertise d’assurance.
III. La ligne de partage : ce que le contrat couvre et ne couvre pas
Les deux situations : prestataire responsable, prestataire non responsable, s’expliquent par une logique simple : la responsabilité du prestataire en cas de cyberattaque ou de perte de données dépend du périmètre exact des obligations qu’il a souscrites.
| Contrat de maintenance: ce qu’il couvre | Contrat de maintenance: ce qu’il ne couvre généralement pas |
|---|---|
| Interventions correctives sur le matériel et les logiciels | Protection contre les cyberattaques et les intrusions malveillantes |
| Mises à jour des systèmes d’exploitation et des applications | Détection des comportements anormaux sur le réseau (SIEM, SOC) |
| Surveillance du bon fonctionnement des équipements | Réponse aux incidents de sécurité |
| Gestion des incidents techniques courants | Gestion des vulnérabilités logicielles liées à des éditeurs tiers |
| Contrat de sauvegarde: ce qu’il couvre | Contrat de sauvegarde: ce qu’il ne couvre généralement pas |
|---|---|
| Copie régulière des données selon le périmètre défini | Protection contre le chiffrement des sauvegardes par un ransomware (si sauvegardes connectées au réseau infecté) |
| Conservation des sauvegardes pendant la durée prévue | Réplication géographique dans une infrastructure réellement isolée, sauf clause expresse et vérifiable |
| Restauration des données en cas de sinistre dans les conditions prévues au contrat | Reprise d’activité après sinistre (PRA/PCA), objet d’un contrat distinct |
IV. Enseignement de la jurisprudence
Côté prestataire : délimiter clairement le périmètre
Les précautions contractuelles essentielles sont notamment les suivantes :
- Préciser expressément dans le contrat de maintenance que les prestations n’incluent pas la protection contre les cyberattaques, et lister ce qui est exclu du périmètre de sécurité.
- Prévoir une obligation pour le client de souscrire une assurance cybersécurité couvrant la perte de données et la perte d’exploitation, stipulation retenue par une décision de la Cour d’Appel de Lyon en 2025 comme élément de validation de la clause d’exclusion.
- Lorsqu’une option de sauvegarde avec réplication géographique est proposée, s’assurer que la réplication est réellement dans une infrastructure physiquement isolée et le vérifier régulièrement.
- Documenter toutes les interventions de maintenance réalisées: rapport d’intervention, compte rendu d’activité mensuel. Ces documents sont la première défense en cas de mise en cause.
Côté entreprise cliente : couvrir le risque cyber contractuellement
Ce qu’il faut négocier lors de la conclusion du contrat :
- Inclure expressément dans le contrat de maintenance une obligation de sécurité portant sur les outils utilisés par le prestataire lui-même : logiciels de prise en main à distance, accès VPN, identifiants d’administration. Ces outils sont régulièrement la porte d’entrée des attaques.
- Si la protection contre les cyberattaques est un besoin réel, conclure un contrat de cybersécurité distinct avec des obligations précises : surveillance réseau, détection des intrusions, réponse aux incidents, délais d’intervention.
- Vérifier que les sauvegardes sont réellement stockées dans une infrastructure physiquement isolée du réseau principal : exiger une clause vérifiable et un test de restauration annuel.
- Prévoir contractuellement l’obligation du prestataire d’assurer un niveau de sécurité élevé de ses propres outils d’administration et de maintenance.
En cas de cyberattaque, comment établir la responsabilité de son prestataire?
- Recourir à une expertise informatique, judiciaire ou contradictoire, et non à une expertise d’assurance. L’expertise diligentée par une assurance non contradictoire a été jugée insuffisante par la Cour d’Appel de Lyon en 2025 pour établir le lien de causalité
- Identifier précisément la porte d’entrée de l’attaque: logiciel de maintenance du prestataire, accès VPN non sécurisé, identifiant compromis, et la rattacher à une obligation contractuelle du prestataire.
- Documenter l’impact : perte de données, indisponibilité du système, coût de reconstruction, perte de chiffre d’affaires, frais de prestataires externes. Ces éléments serviront à quantifier le préjudice selon les chefs retenus par la jurisprudence OVH.
Questions fréquentes
Mon prestataire de maintenance est-il responsable si je subis une cyberattaque ?
Pas automatiquement. La Cour d’appel de Lyon a jugé en 2025 qu’un contrat de maintenance informatique standard ne couvre pas la protection contre les cyberattaques. Pour engager la responsabilité du prestataire, il faut soit démontrer que l’attaque a utilisé comme porte d’entrée un outil ou un accès du prestataire en raison d’une faute de ce dernier, soit que le contrat comportait une obligation de sécurité expressément étendue à la protection contre les cyberattaques.
→ Mon prestataire a perdu mes données – qui est responsable ?.
Mon hébergeur m’avait proposé une option de sauvegarde avec réplication. Les sauvegardes ont été détruites en même temps que le serveur. Puis-je le poursuivre ?
Oui, dans des conditions similaires à l’affaire OVH. Si la réplication était présentée dans une infrastructure physiquement isolée et que les sauvegardes se trouvaient en réalité dans le même bâtiment que le serveur principal, la clause d’exclusion de responsabilité en cas de sinistre sera inopérante, elle vide de sa substance l’obligation essentielle de sauvegarde. L’affaire OVH a conduit à une indemnisation de 95 000 €, couvrant plusieurs chefs de préjudice cumulatifs.
Comment prouver que la cyberattaque est due à une défaillance de mon prestataire et non à une cause externe ?
Par une expertise informatique judiciaire ou contradictoire, pas une expertise réalisée par une assurance. L’expertise doit identifier la porte d’entrée de l’attaque, la relier à un outil ou un accès du prestataire, et démontrer que la défaillance est imputable à une faute du prestataire dans la configuration ou la sécurisation de cet outil. C’est techniquement difficile mais pas impossible et, c’est une condition essentielle pour engager la responsabilité contractuelle du prestataire sur ce fondement.
Mon contrat de sauvegarde exclut la responsabilité du prestataire en cas de perte de données. Cette clause est-elle valable ?
Cela dépend du périmètre de la prestation. Si le contrat porte sur la sauvegarde et que la clause exclut la responsabilité en cas de perte de données résultant d’une cyberattaque externe, risque non inclus dans la prestation, la clause est valable, comme dans l’affaire de la décision de la Cour d’Appel de Lyon 2025. En revanche, si la perte de données résulte directement d’une erreur d’exécution du prestataire dans la sauvegarde elle-même, ou si la clause vide l’obligation essentielle de sa substance comme dans l’affaire OVH, elle sera écartée.
→ Jurisprudence clause limitative de responsabilité.
Analyser votre situation
La question de la responsabilité du prestataire informatique en cas de cyberattaque est l’une des plus complexes du contentieux informatique – elle mêle analyse contractuelle, investigation technique et stratégie probatoire. Quantic Avocats analyse votre dossier de façon confidentielle.
→ Avocat contentieux informatique – Avocat contrat informatique.
Paris : 01 86 95 84 61 et Bordeaux : 05 56 24 43 85
François-Xavier Langlais – fxlanglais@quantic-avocats.com
Analyse confidentielle sous 48h – Intervention toute France
Nos autres domaines d’expertise