Cyberattaques contre les supermarchés : qui est responsable quand le froid déraille ?

1. Quels enjeux juridiques soulève une cyberattaque qui perturbe l’activité d’un supermarché ?

Tout dépend de la cible de la cyberattaque, les systèmes susceptibles d’être touchés étant multiples : équipements de stockage des marchandises — comme nous l’avons vu récemment avec la panne des réfrigérateurs ayant affecté Leclerc, Super U et Intermarché —, serveurs de stockage des données ou encore outils de gestion de la relation client (CRM). La particularité de l’activité d’un supermarché tient au fonctionnement en flux tendu pour la grande majorité de ses produits frais. Ainsi, même s’il reste ouvert, un magasin peut subir une perte d’exploitation.

Les enjeux sont de plusieurs ordres :

Premièrement, la priorité est technique : il faut rassembler les éléments permettant de comprendre ce qui s’est passé. Cela suppose de travailler avec le responsable de la sécurité des systèmes d’information (RSSI) et les conseils externes pour identifier la nature et l’origine de la cyberattaque, en limiter aussi rapidement que possible la propagation et dresser un état des lieu informatique.

Deuxièmement, il faut garder à l’esprit qu’une cyberattaque est susceptible de constituer une infraction pénale, notamment lorsqu’elle implique un accès ou un maintien non autorisé dans un système informatique, réprimé par les articles 323-1 et suivants du Code pénal. Il est donc nécessaire de déposer plainte sans délai auprès des services de police ou de gendarmerie, afin de permettre la mobilisation des services d’enquête spécialisés et du parquet compétent. En parallèle, il faut rechercher une éventuelle violation de données personnelles et procéder, le cas échéant, aux notifications requises auprès de la CNIL et des personnes concernées.

Troisièmement, il faut gérer les conséquences externes de l’incident, tant au regard des obligations sanitaires et de sécurité envers la clientèle que dans les relations avec les fournisseurs. Un état des lieux interne doit permettre de sécuriser les infrastructures et de limiter le préjudice, notamment en isolant les lots concernés et en vérifiant les relevés de température. Il faut également documenter les dommages et examiner les stipulations contractuelles applicables aux différents cocontractants afin d’identifier d’éventuels manquements et de déterminer les responsabilités respectives.

Enfin, il convient de prendre rapidement contact avec son assureur et de vérifier les polices souscrites. La destruction des stocks, la perte de marge et les frais d’urgence peuvent relever de garanties différentes, assorties de leurs propres conditions, franchises et plafonds. La seule mention « cyber » dans une police ne suffit pas à établir que ces trois postes de préjudice sont couverts.

2. Comment la responsabilité se répartit-elle entre le fabricant, le prestataire et l’entreprise utilisatrice ?

Là encore, tout dépend de la chaîne contractuelle en place et de la nature du projet. Il est donc nécessaire de reconstituer la chaîne des décisions et des interventions : dans quelles conditions le matériel a-t-il été installé ? Comment les règles de sécurité ont-elles été paramétrées, notamment pour les accès à distance ? Il faut également évaluer la qualité des interventions des prestataires chargés de la maintenance, en particulier lorsqu’il leur appartient de fournir, d’installer ou de déployer un correctif. Une même attaque peut révéler plusieurs manquements ayant chacun contribué au dommage.

En règle générale :

– Le fabricant peut voir sa responsabilité engagée si l’équipement présente un défaut de sécurité, un défaut de conception ou un vice caché. Selon le fondement invoqué, il faudra notamment établir le défaut, le dommage et leur lien de causalité. Le régime des produits défectueux peut, sous ses conditions propres, couvrir les dommages causés à un autre bien, comme les denrées, même en l’absence de contrat direct avec le fabricant. Distinctement, l’existence d’une chaîne de contrats translatifs de propriété peut permettre à l’acquéreur final d’exercer une action contractuelle directement contre le fabricant.

– L’installateur, l’intégrateur ou le mainteneur répond des obligations contractuelles qui lui incombent. Un accès de télémaintenance mal configuré, une alerte ignorée ou un correctif qu’il devait déployer mais qu’il n’a pas installé peuvent engager sa responsabilité si ce manquement a contribué au sinistre.

– L’entreprise utilisatrice conserve la maîtrise des décisions qui lui reviennent, par exemple l’autorisation des accès à distance ou la validation d’un arrêt nécessaire à l’installation d’un correctif. Si elle a laissé actif un accès signalé comme vulnérable, sa propre faute peut réduire l’indemnisation à laquelle elle prétend. Elle reste également tenue de ses obligations de sécurité alimentaire et, selon les exigences légales ou contractuelles applicables, de ses obligations en matière de continuité et de reprise d’activité. Le plan de reprise d’activité (PRA) vise notamment à permettre le rétablissement du système d’information et le retour à des conditions normales d’exploitation.

Une expertise judiciaire est souvent indispensable pour établir les causes techniques de la cyberattaque et déterminer les éventuels manquements des différents intervenants. Avant tout procès au fond, elle peut notamment être sollicitée sur le fondement de l’article 145 du Code de procédure civile, afin de confier à un expert judiciaire les investigations informatique nécessaires à la conservation et à l’établissement de la preuve.

Il faut enfin garder à l’esprit qu’une cyberattaque ne constitue pas, à elle seule, un cas de force majeure. Encore faut-il que l’événement échappe au contrôle du débiteur, qu’il n’ait pu être raisonnablement prévu lors de la conclusion du contrat et que ses effets ne puissent être évités par des mesures appropriées, empêchant ainsi l’exécution de l’obligation. Cette appréciation est particulièrement exigeante lorsque le prestataire avait précisément pour mission de renforcer la sécurité du système d’information. Si son obligation consistait à sécuriser l’accès qui a été exploité, les mesures effectivement mises en place seront au cœur de l’expertise.

3. Que changent NIS 2 et le Cyber Resilience Act pour les installations frigorifiques ?

NIS 2 impose aux entités entrant dans son champ de gérer leurs risques cyber, y compris ceux liés à leurs fournisseurs. Cette démarche couvre notamment la continuité d’activité, la gestion des vulnérabilités et la notification des incidents significatifs, avec une alerte précoce dans les 24 heures, puis une notification dans les 72 heures suivant la prise de connaissance de l’incident. Pour une entreprise assujettie, les systèmes de régulation du froid doivent donc être intégrés à l’analyse des risques, au même titre que les autres systèmes informatiques dont dépend l’activité.

Dans le secteur alimentaire, l’annexe II vise notamment les activités de distribution en gros, de production industrielle ou de transformation industrielle. L’assujettissement doit être apprécié au regard de l’activité de chaque entité et des autres critères applicables, notamment de taille : la seule exploitation d’un supermarché ne suffit pas. En France, au 9 novembre 2026, le projet de loi de transposition est toujours en cours d’examen, son examen en séance publique à l’Assemblée nationale étant prévu du 9 au 13 novembre.

Le Cyber Resilience Act — règlement (UE) 2024/2847 établissant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques — porte, quant à lui, sur la sécurité des produits mis sur le marché européen. Un régulateur frigorifique connecté peut relever de ce règlement. Pour le fabricant, cela implique notamment d’intégrer la sécurité dès la conception, de traiter les vulnérabilités pendant la période de support et de fournir des mises à jour de sécurité.

Les obligations de signalement des vulnérabilités activement exploitées et des incidents graves affectant la sécurité des produits s’appliquent depuis le 11 septembre 2026, y compris aux produits déjà commercialisés qui entrent dans le champ du règlement. L’essentiel des autres obligations s’appliquera à compter du 11 décembre 2027, sous réserve des dispositions transitoires prévues pour les produits déjà mis sur le marché. En pratique, l’exploitant doit pouvoir déterminer jusqu’à quelle date son régulateur bénéficiera d’un support de sécurité et comment déployer un correctif tout en assurant la continuité du froid.

4. Quelles précautions contractuelles prendre dès maintenant ?

Je commencerais par réexaminer les  contrats de fourniture et de maintenance en posant une question très concrète : si un accès de télémaintenance est compromis un samedi soir, qui peut le couper, dans quel délai et comment le magasin conserve-t-il la maîtrise de ses températures ? La réponse doit figurer dans le contrat et être vérifiée lors d’un exercice.

Lorsque le contrat est silencieux sur ces questions, les nouvelles exigences réglementaires constituent un levier pour rouvrir la négociation. Il s’agit d’anticiper ou de mettre en œuvre, selon les acteurs concernés et les échéances applicables, les obligations issues de NIS 2 et du Cyber Resilience Act, afin d’obtenir des garanties portant au moins sur les points suivants :

• Attribuer clairement chaque tâche de sécurité. Une annexe doit préciser qui contrôle les accès à distance, qui surveille les alertes, qui fournit, teste et déploie les correctifs, et qui décide du passage en mode local ou de secours. Elle doit fixer des délais d’intervention adaptés à la gravité des vulnérabilités, préciser la date de fin du support de sécurité et prévoir des obligations équivalentes pour les sous-traitants.

• Organiser les premières heures de l’incident. Le contrat doit prévoir une alerte du client dès la détection d’un incident susceptible de l’affecter, un contact joignable 24 heures sur 24, ainsi que la conservation des journaux de connexion et des relevés de température. Il doit également organiser l’accès à ces éléments pour les besoins des investigations et d’une éventuelle expertise. Ces données sont essentielles pour déterminer les lots à isoler, reconstituer l’attaque et chiffrer les pertes.

• Adapter les clauses de responsabilité et les garanties d’assurance au coût réel d’un sinistre. Il faut vérifier que les stipulations contractuelles permettent d’indemniser, selon la répartition négociée des responsabilités, la destruction des stocks, les frais d’urgence et la perte de marge. Un plafond de responsabilité calculé sur le seul prix de la maintenance peut être dérisoire lorsqu’une même faille affecte plusieurs magasins. Côté assurance, il faut également vérifier la couverture d’un incident survenu chez le prestataire, d’une fermeture partielle ou d’un sinistre touchant plusieurs sites. Enfin, pour les garanties relevant de l’article L. 12-10-1 du Code des assurances, l’indemnisation est subordonnée au dépôt d’une plainte auprès des autorités compétentes au plus tard 72 heures après la prise de connaissance de l’atteinte par la victime.