Cyberattaque chez votre prestataire IT : vos droits.

Cyberattaque chez votre prestataire informatique : quelles sont vos obligations et vos recours ?

Votre entreprise ne gère jamais seule l'intégralité de son système d'information. Hébergeur, éditeur de logiciel de paie, prestataire d'infogérance, CRM en ligne : ces partenaires traitent une partie de vos données sensibles. Or, lorsque l'un d'eux est piraté, c'est votre entreprise qui reste en première ligne juridiquement, pas seulement le prestataire fautif. Un audit cybersécurité régulier de votre écosystème, prestataires compris, reste le meilleur moyen d'anticiper ce risque.

La CNIL consacre d'ailleurs des fiches pédagogiques dédiées à ce scénario, preuve qu'il s'agit d'un sujet d'actualité brûlant pour de nombreuses entreprises françaises. Cet article vous explique ce que dit la loi, ce que dit la jurisprudence récente, et surtout, ce que vous devez faire concrètement si cela vous arrive.

Cyberattaque chez un prestataire : de quoi parle-t-on ?

Une cyberattaque chez un prestataire désigne un incident de sécurité (ransomware, intrusion, fuite de données) qui touche un tiers auquel votre entreprise a confié une partie de son système d'information ou de ses données : hébergeur, éditeur de logiciel, prestataire d'infogérance, solution de paiement, centre d'appel externalisé. Même si la faille se situe chez ce tiers, votre entreprise reste en général responsable, au sens du RGPD, des données personnelles qu'elle a confiées.

Questions clés sur la responsabilité en cas d'incident chez un prestataire

Suis-je responsable si mon prestataire informatique est piraté ?
Oui, dans la plupart des cas. Le RGPD distingue le « responsable de traitement » (votre entreprise, qui décide de la finalité du traitement de données) du « sous-traitant » (le prestataire, qui exécute des instructions). C'est le responsable de traitement qui reste tenu de notifier l'incident à la CNIL, même si la faille technique vient du prestataire.

Puis-je poursuivre mon prestataire informatique en justice ?
Oui, si vous démontrez une faute du prestataire, un préjudice, et un lien de causalité entre les deux. La jurisprudence récente montre que les tribunaux peuvent effectivement condamner un prestataire IT n'ayant pas correctement rempli son obligation d'information et de conseil.

Que se passe-t-il si mon contrat ne prévoit aucune clause de sécurité ?
L'absence de clause explicite ne dispense pas votre prestataire de son obligation générale d'information et de conseil, prévue par le Code civil. Les tribunaux peuvent toutefois plus facilement retenir sa responsabilité lorsque le contrat précise noir sur blanc les engagements de sécurité attendus.

Ce que dit le RGPD : qui est responsable de quoi ?

Le RGPD organise une distinction précise entre deux rôles :

Concrètement, si votre hébergeur cloud subit une intrusion et que des données de vos clients sont exposées, c'est votre entreprise, en tant que responsable de traitement, qui doit notifier la CNIL dans les 72 heures suivant la découverte de l'incident, et non le prestataire. La CNIL le rappelle régulièrement en s'appuyant sur des cas pratiques d'incidents réels : par exemple lorsqu'un pirate s'introduit chez un prestataire cloud et copie les données de l'ensemble de ses clients.

Ce n'est pas un scénario théorique : les cyberattaques touchant les opérateurs de tiers payant, les prestataires logistiques ou les gestionnaires de paie montrent régulièrement que les chaînes d'approvisionnement numériques constituent un vecteur de risque majeur pour l'ensemble du tissu économique.

Mon prestataire est-il responsable envers moi ? Ce que dit la jurisprudence

Le fait de notifier la CNIL n'empêche pas votre entreprise de se retourner ensuite contre le prestataire fautif, à condition de réunir trois éléments cumulatifs : une faute (ou un manquement), un préjudice, et un lien de causalité entre les deux.

Obligation de moyens ou obligation de résultat ?

Deux logiques différentes s'appliquent selon la nature de l'engagement du prestataire :

• Pour une obligation de moyens, le prestataire s'engage à mettre en œuvre ses meilleurs efforts pour atteindre un objectif, sans garantie de résultat, comme son devoir de conseil,
• Pour une obligation de résultat, le prestataire s'engage à atteindre un objectif défini contractuellement (par exemple le respect de certains niveaux de service ou de sécurité) et ne peut s'exonérer qu'en cas de faute du client, d'un tiers, ou de force majeure.

La qualification retenue dans le contrat change directement la charge de la preuve : pour une obligation de résultat, c'est au prestataire de prouver qu'il a bien respecté ses engagements ; pour une obligation de moyens, c'est à vous de démontrer son manquement.

Un exemple concret : l'affaire Industrie contre son prestataire d'infogérance

La Cour d'appel de Rennes a rendu, le 19 novembre 2024, une décision qui illustre bien ces principes (RG n° 23/04627). Une entreprise industrielle avait confié à un prestataire le renouvellement de son infrastructure informatique. Victime d'un ransomware ayant chiffré l'intégralité de son système, elle a vu ses sauvegardes détruites car elles étaient restées connectées au réseau de production au lieu d'être externalisées ou déconnectées.

La cour a jugé que le prestataire avait manqué à son obligation d'information et de conseil : bien que le client n'ait pas explicitement demandé une solution de sauvegarde déconnectée, il appartenait au prestataire, spécialiste de la cybersécurité, d'alerter son client sur ce risque, d'autant que celui-ci n'était pas un professionnel de l'informatique. Le prestataire a été condamné à verser 50 000 € de dommages et intérêts, calculés sur la base d'une « perte de chance » d'éviter le sinistre.

Ce type de décision confirme un point souvent sous-estimé par les dirigeants : la présence d'un service informatique interne ne dispense pas un prestataire spécialisé de son devoir d'alerte sur des risques de sécurité qu'il est seul en mesure d'identifier.

Le contexte réglementaire qui renforce vos exigences envers vos prestataires

Plusieurs textes européens élargissent progressivement le niveau d'exigence attendu des prestataires IT, ce qui vous donne des leviers supplémentaires pour négocier vos contrats :

Les cadres réglementaires issus de la directive européenne NIS2 et du règlement DORA imposent des sanctions financières significatives et une responsabilisation accrue de la direction. La tendance de fond est claire : les exigences de sécurité imposées aux prestataires informatiques ne cessent de se renforcer.

Votre assurance cyber couvre-t-elle un incident chez un prestataire ?

Une cyberattaque chez un prestataire n'est pas automatiquement couverte par votre police d'assurance cyber. Deux éléments déterminent l'étendue réelle de la couverture :

• Le périmètre défini au contrat : certaines polices excluent explicitement les incidents dont l'origine technique se situe hors de votre système d'information, sauf extension spécifique « chaîne d'approvisionnement » ou « tiers de confiance »,
• La nature du préjudice couvert : frais de notification CNIL, frais d'expertise technique, pertes d'exploitation, ou atteinte à l'image ne sont pas systématiquement couverts dans les mêmes proportions.

Avant tout incident, il est donc utile de vérifier avec votre assureur si vos prestataires critiques (hébergeur, infogérant, éditeur de logiciel métier) entrent bien dans le périmètre de votre couverture, et de demander une attestation d'assurance à vos prestataires eux-mêmes lors de la négociation contractuelle.

Comment se prémunir contractuellement avant l'incident

La meilleure protection reste celle qui se négocie en amont, avant tout incident. Voici les leviers contractuels les plus efficaces :

1. Faire réaliser un audit de l'existant avant le démarrage de toute prestation, pour disposer d'une vision claire du point de départ technique,
2. Annexer un Plan d'Assurance Sécurité (PAS) au contrat plutôt que de se contenter d'une formule vague sur le respect de « l'état de l'art », afin de mieux circonscrire les responsabilités de chacun,
3. Prévoir une clause d'audit de sécurité précisant le périmètre, qui peut réaliser l'audit, les conditions financières et les conséquences en cas de non-conformité,
4. Exiger une clause d'assistance en cas d'incident, qui engage le prestataire à vous accompagner dans la gestion de crise et la notification réglementaire,
5. Documenter par écrit chaque échange (réunions, ateliers, recommandations techniques) afin de conserver une preuve du dialogue précontractuel et des alertes émises,
6. Vérifier les clauses limitatives de responsabilité : un plafond de responsabilité dérisoire, ou couvrant une obligation essentielle, peut être écarté par un juge.

Sur ce dernier point, gardez en tête qu'un audit de sécurité de votre propre système d'information reste le point de départ le plus solide pour objectiver ce que vos prestataires protègent réellement, et ce qui reste, en pratique, sous votre propre responsabilité. Une stratégie de prévention des pertes de données (DLP) bien construite permet notamment de savoir précisément où circulent vos données sensibles, y compris chez vos prestataires. Cette logique rejoint le principe du moindre privilège : plus les accès de vos prestataires à votre système d'information sont précisément délimités, plus il est facile d'identifier et de circonscrire un incident.

Que faire dans les heures qui suivent la découverte de l'incident ?

1. Isoler et documenter : demandez immédiatement au prestataire un état des lieux écrit de l'incident, son périmètre, et les données concernées,
2. Qualifier juridiquement l'incident : s'agit-il d'une violation de données personnelles au sens du RGPD (destruction, perte, altération, divulgation ou accès non autorisé) ?
3. Notifier la CNIL sous 72 heures si un risque pour les droits et libertés des personnes concernées est identifié, y compris par une notification initiale incomplète suivie d'un complément,
4. Informer les personnes concernées si le risque est élevé (fuite de données bancaires, de santé, ou d'identité par exemple),
5. Conserver toutes les preuves : contrats, échanges écrits, alertes émises ou reçues, rapports d'expertise technique,
6. Solliciter une expertise technique indépendante pour établir précisément l'origine de la faille et documenter d'éventuels manquements du prestataire, en s'appuyant si besoin sur le guide d'hygiène informatique de l'ANSSI comme référentiel de bonnes pratiques attendues,
7. Consulter un avocat spécialisé avant d'engager toute action contre le prestataire, pour évaluer la solidité du dossier au regard des trois conditions cumulatives : faute, préjudice, lien de causalité.

Points clés à retenir

• Une cyberattaque chez votre prestataire ne vous exonère pas de vos obligations RGPD : vous restez responsable de traitement,
• Vous disposez de 72 heures pour notifier la CNIL dès que vous avez connaissance d'une violation de données présentant un risque,
• Votre prestataire peut être tenu responsable s'il a manqué à son obligation d'information et de conseil, comme l'a confirmé la Cour d'appel de Rennes en novembre 2024,
• L'indemnisation obtenue correspond généralement à une fraction du préjudice total, calculée sur la notion de perte de chance,
• Une négociation contractuelle en amont (audit, PAS, clause d'audit, clause d'assistance incident) reste la meilleure protection.

Pour aller plus loin sur la sécurisation globale de vos accès et de votre architecture, vous pouvez également consulter notre article sur le modèle Zero Trust, qui repose précisément sur l'idée de ne jamais faire confiance par défaut à un tiers, y compris un prestataire habituel.

Conclusion

Confier une partie de son système d'information à des prestataires est aujourd'hui incontournable pour toute entreprise. Mais cette délégation technique ne s'accompagne pas d'une délégation de responsabilité juridique : en cas de cyberattaque chez un prestataire, votre entreprise reste en première ligne face à la CNIL, tout en conservant la possibilité de se retourner contre le prestataire fautif si les conditions sont réunies.

La meilleure stratégie reste préventive : cartographier vos prestataires critiques, sécuriser vos clauses contractuelles, et évaluer régulièrement votre propre niveau de sécurité. Les experts de Core Security vous accompagnent dans cette démarche, avec un diagnostic gratuit pour identifier vos vulnérabilités, y compris celles liées à votre écosystème de prestataires. Lancez votre audit cybersécurité gratuit dès aujourd'hui, ou contactez nos experts pour un accompagnement personnalisé.