Avez-vous transmis un virus à votre client : qui paie pour le nettoyage de son réseau ?

Chaque jour, en tant que prestataire informatique, vous échangez des dizaines de fichiers, livrez des lignes de code, ou conseillez des solutions à vos clients. Ces gestes, devenus routiniers, sont le cœur de votre métier. Pourtant, chacun d’eux est une porte d’entrée potentielle. On vous alerte constamment sur les risques d’attaques externes, les ransomwares venus de l’autre bout du monde. Mais si le véritable cheval de Troie, c’était vous ? Si, par une simple erreur ou une négligence, votre machine devenait le patient zéro, le vecteur d’une contagion numérique qui paralyse le réseau de votre plus gros client ?

Cette question n’est plus théorique. La responsabilité du prestataire informatique en cas de transmission de logiciel malveillant, de faille de sécurité ou de perte de données est un enjeu majeur. L’idée reçue est que votre assurance Responsabilité Civile Professionnelle (RC Pro) couvrira automatiquement les dégâts. La réalité est bien plus complexe. La couverture dépend des garanties souscrites, des exclusions de votre contrat et de la nature de votre faute. Vous n’êtes plus seulement une cible potentielle pour les cybercriminels ; vous êtes une arme potentielle, capable d’infliger des dommages considérables à vos partenaires commerciaux.

Cet article va au-delà des définitions génériques. Nous allons disséquer, à travers des scénarios concrets et des décisions de justice, la chaîne de responsabilité qui se met en place lors d’une contagion numérique. De la livraison d’un code buggé à l’utilisation d’une image non libre de droit, nous explorerons les mécanismes qui déterminent qui paie la facture, et comment votre RC Pro peut devenir votre seul et unique antidote financier.

Pour vous guider à travers ces scénarios critiques, cet article est structuré pour répondre aux questions les plus brûlantes que se pose tout professionnel de l’IT. Le sommaire ci-dessous vous permettra de naviguer directement vers les situations qui vous concernent le plus.

Bug critique dans le code livré : votre RC Pro couvre-t-elle la perte de CA du client ?

En principe, oui, mais sous des conditions très strictes. La couverture de votre RC Pro pour un bug critique dépendra de la nature de la faute et de l’étendue des garanties. Un simple bug fonctionnel n’est pas la même chose qu’une vulnérabilité de sécurité majeure qui paralyse l’activité du client. Dans ce dernier cas, vous devenez le vecteur direct de la perte financière de votre client. La justice considère de plus en plus que la livraison d’un logiciel non sécurisé constitue un manquement grave à votre obligation de conseil et de délivrance conforme.

Votre responsabilité peut alors être engagée pour couvrir non seulement les coûts de correction du bug, mais surtout les dommages immatériels consécutifs, c’est-à-dire la perte de chiffre d’affaires subie par votre client pendant l’interruption de son service. Ces montants peuvent rapidement devenir astronomiques et dépasser de loin la valeur de votre contrat initial. Une RC Pro avec une garantie « Dommages Immatériels » suffisamment élevée est l’unique rempart contre ce type de scénario catastrophe.

Utilisation d’une image non libre de droit sur le site client : qui est responsable ?

La responsabilité est souvent partagée, mais le prestataire qui intègre le contenu est en première ligne. En transmettant une image protégée par le droit d’auteur, vous propagez une « contagion » juridique à votre client. Même si ce dernier a validé la maquette, en tant que professionnel, vous êtes tenu à une obligation de conseil et de diligence. Vous devez vous assurer que tous les éléments que vous utilisez sont libres de droits ou que les licences nécessaires ont été acquises. Ignorer cette vérification constitue une faute professionnelle.

Si l’ayant droit (photographe, agence) se manifeste, il se retournera généralement contre votre client, le propriétaire du site. Cependant, votre client se retournera immédiatement contre vous pour obtenir réparation du préjudice subi : frais d’avocat, dommages-intérêts à verser à l’auteur, et coût de remplacement de l’image sur tout le site et les supports de communication. C’est ici que votre RC Pro intervient. La garantie « Violation des droits de propriété intellectuelle » est spécifiquement conçue pour couvrir ce type de litige, qui est l’un des plus fréquents pour les agences web et les développeurs.

La RCP des développeurs s’articule autour de trois piliers : la faute, le dommage et le lien de causalité.

– Maître Sophie Duperray, Avocate spécialisée en droit du numérique

Dans ce cas, la faute (votre négligence), le dommage (la sanction financière) et le lien de causalité (votre intégration de l’image) sont clairement établis, rendant votre responsabilité quasi certaine.

L’erreur de préconiser une solution de sécurité qui s’avère défaillante

Préconiser une solution de sécurité est un acte qui engage lourdement votre responsabilité. Si vous conseillez un antivirus, un pare-feu ou une solution de sauvegarde qui se révèle par la suite inefficace ou dotée de ses propres failles, vous pouvez être considéré comme le point d’origine de la contamination. Votre rôle n’est pas seulement de vendre un produit, mais de fournir un conseil éclairé et adapté au contexte de votre client. Une recommandation générique ou basée sur des arguments purement commerciaux sans analyse technique sérieuse constitue une faute de conseil.

Le risque est que, se sentant protégé par votre recommandation, le client baisse sa garde. Si une attaque réussit en exploitant une faiblesse de la solution que vous avez préconisée, le lien de causalité sera facile à établir. Les statistiques montrent que l’exploitation des vulnérabilités logicielles est une méthode d’attaque privilégiée ; selon les estimations, 60% des cyberattaques exploitent des failles connues. En recommandant un logiciel vulnérable, vous avez littéralement fourni la clé d’entrée aux attaquants. Votre RC Pro devra alors couvrir les conséquences, qui peuvent inclure la perte de données, les frais de remédiation, et les sanctions réglementaires (RGPD).

Ce choix n’est donc pas anodin. Il s’agit d’une décision critique qui, si elle est mauvaise, transforme votre conseil en un passif toxique pour votre client et pour vous-même.

Perte de données hébergées : quelle est la limite de responsabilité de l’éditeur ?

La limite de responsabilité de l’éditeur ou de l’hébergeur est définie par le contrat, mais elle peut être écartée par un juge en cas de faute grave ou de manquement à une obligation essentielle. En tant que prestataire, si vous utilisez les services d’un hébergeur pour votre client, vous êtes le premier maillon de la chaîne de confiance. Les clauses contractuelles de type « limitation de responsabilité au montant des sommes versées » sont courantes. Toutefois, elles ne sont pas un bouclier absolu. Si l’hébergeur commet une faute lourde, par exemple en ne respectant pas ses propres engagements sur la redondance des sauvegardes, ces clauses peuvent être jugées abusives et invalidées.

L’affaire de l’incendie du datacenter d’OVH à Strasbourg est un cas d’école. L’entreprise a été condamnée car elle n’avait pas respecté son obligation essentielle : les sauvegardes, qui devaient être sur un site physiquement distant, étaient dans le même bâtiment et ont brûlé avec les serveurs principaux. Le tribunal a considéré qu’OVH avait privé son engagement de toute substance. Pour vous, prestataire, cela signifie que vous ne pouvez pas vous cacher aveuglément derrière les CGV de votre fournisseur. Votre devoir de conseil vous impose de comprendre et d’expliquer ces limites à votre client, notamment en insistant sur la nécessité d’un Plan de Reprise d’Activité (PRA) qui lui est propre.

La mise en place d’un PRA est de votre responsabilité et non sous celle de votre fournisseur Cloud.

– B2Cloud, Expert en informatique cloud, France Num

Si vous négligez d’informer votre client sur ce point crucial, votre propre responsabilité pourrait être engagée en cas de sinistre majeur chez l’hébergeur.

Attaque DDoS relayée par vos serveurs : êtes-vous responsable des dommages collatéraux ?

Oui, vous pouvez être tenu responsable des dommages collatéraux si une négligence de votre part a permis que vos serveurs soient utilisés comme relais pour une attaque. C’est le scénario ultime du « prestataire-arme ». Un de vos serveurs, mal configuré ou non mis à jour, est compromis. Il n’est pas la cible finale, mais il est utilisé par des pirates pour amplifier une attaque par déni de service (DDoS) contre une autre entreprise. Vous êtes alors devenu, à votre insu, un complice technique de l’attaque. La victime de l’attaque DDoS, en remontant la source des flux malveillants, identifiera vos adresses IP.

Elle pourra alors se retourner contre vous et engager votre responsabilité. Pour vous défendre, vous devrez prouver que vous n’avez commis aucune faute et que vous avez respecté toutes les règles de l’art en matière de sécurité informatique (mises à jour, surveillance, configuration…). Si un audit révèle des failles de sécurité évidentes sur votre infrastructure, votre négligence sera caractérisée. Face à la recrudescence des attaques, cette responsabilité du « relais » est de plus en plus examinée. L’ANSSI a d’ailleurs noté que le nombre de cyberattaques a bondi de 15% en 2024, augmentant mécaniquement le risque que votre infrastructure soit impliquée dans un incident.

Votre assurance RC Pro est alors votre seule ligne de défense pour couvrir les frais juridiques et les éventuels dommages-intérêts que la victime de l’attaque pourrait vous réclamer. C’est une situation où vous n’êtes pas la victime directe, mais où votre responsabilité financière est pleinement engagée par la contagion que vous avez facilitée.

Erreur de conseil, omission, retard : qu’est-ce qui est vraiment couvert ?

Votre assurance RC Pro couvre généralement l’erreur, l’omission ou le retard, à condition qu’ils causent un préjudice avéré à un tiers et ne résultent pas d’une faute intentionnelle ou d’une négligence inexcusable. Ces « fautes non techniques » sont au cœur de la responsabilité professionnelle. Une erreur de conseil, c’est recommander une technologie inadaptée. Une omission, c’est oublier d’informer le client d’un risque majeur (comme la nécessité d’un PRA). Un retard de livraison, c’est dépasser une deadline cruciale qui fait manquer au client le lancement d’un produit.

Dans tous ces cas, si le client peut prouver que votre faute lui a causé un préjudice financier (perte de marché, surcoûts, etc.), il peut demander réparation. La RC Pro est conçue pour prendre en charge cette indemnisation. Elle agit comme un « antidote financier » à vos erreurs humaines et opérationnelles. La couverture s’étend aux conséquences directes de votre faute. Par exemple, si votre retard sur un site e-commerce fait rater les soldes à votre client, votre assurance pourra couvrir le manque à gagner estimé.

Les logiciels sont des œuvres en constante évolution. Un développeur peut être tenu responsable non seulement des bugs initiaux, mais aussi des problèmes survenant après des mises à jour.

– Jean-Marc Deltorn, Chercheur au CNRS

Cette vision dynamique de la responsabilité signifie que votre devoir de diligence ne s’arrête pas à la livraison. Une omission de conseiller une mise à jour de sécurité critique peut également être considérée comme une faute engageant votre responsabilité des mois, voire des années plus tard.

Votre assurance couvre-t-elle le manque à gagner du voisin fermé à cause de vous ?

La couverture du manque à gagner d’un tiers qui n’est pas votre client direct (comme un commerce voisin) dépend d’une garantie spécifique et cruciale : la garantie des « dommages immatériels non consécutifs ». Cette garantie n’est pas systématiquement incluse dans les contrats RC Pro de base et doit souvent faire l’objet d’une extension. Elle couvre les pertes financières pures subies par un tiers, en l’absence de dommage matériel ou corporel préalable chez ce tiers.

Imaginons un scénario : une erreur de votre part provoque un incendie dans le local de votre client hébergeant ses serveurs. L’incendie ne se propage pas, mais l’intervention des pompiers et le périmètre de sécurité obligent le restaurant voisin à fermer pendant deux jours. Ce restaurant subit un manque à gagner certain. Il n’est pas votre client et n’a subi aucun dommage matériel, mais votre faute initiale est la cause directe de sa perte financière. C’est un dommage immatériel non consécutif typique. Sans cette garantie spécifique dans votre contrat RC Pro, votre assureur refusera de couvrir cette indemnisation, et vous devrez la payer de votre poche. Ce type de sinistre, lié à l’interdépendance croissante des activités, est de plus en plus fréquent.

Votre responsabilité peut donc s’étendre bien au-delà de votre relation contractuelle directe, contaminant financièrement l’écosystème de votre client.

Pourquoi vos gros clients exigent-ils votre attestation RC Pro avant de signer ?

Vos gros clients exigent votre attestation RC Pro car elle constitue pour eux une garantie de solvabilité et de professionnalisme. Ce n’est pas une simple formalité administrative, mais un élément clé de leur propre gestion du risque. En vous faisant intervenir sur leur système d’information, ils vous donnent accès à des actifs critiques. Ils sont conscients que vous pouvez, intentionnellement ou non, devenir le vecteur d’une crise majeure. L’attestation d’assurance leur prouve qu’en cas de sinistre causé par votre faute, un assureur solvable sera en mesure de les indemniser.

C’est une forme de « due diligence » de leur part. Ils évaluent leurs fournisseurs non seulement sur leurs compétences techniques, mais aussi sur leur capacité à assumer les conséquences de leurs erreurs. Un prestataire sans RC Pro représente un risque inacceptable : s’il commet une erreur coûteuse, il pourrait ne pas avoir les fonds pour réparer le préjudice, voire déposer le bilan, laissant le client seul avec les dégâts. Dans un contexte où près de 47% des entreprises ont subi au moins une cyberattaque significative en 2024, la paranoïa des donneurs d’ordre est légitime. Ils cherchent à sécuriser chaque maillon de leur chaîne d’approvisionnement, et vous en êtes un.

Dans la pratique, l’attestation d’assurance vous sera souvent demandée.

– Reassurez-moi, Guide RC Pro informatique

En somme, refuser de fournir une attestation RC Pro ou présenter un contrat avec des garanties faibles revient à envoyer un signal très négatif : celui que vous n’avez pas pris la mesure des risques que vous faites courir à vos clients, ou que vous n’êtes pas prêt à en assumer la responsabilité. C’est souvent un motif de rupture immédiate des négociations.

Vous comprenez désormais que votre rôle de prestataire IT vous place dans une position de grande responsabilité. Chaque action peut avoir des répercussions en chaîne. Protéger votre entreprise n’est pas une option, mais une nécessité pour garantir votre pérennité et maintenir la confiance de vos clients. Pour évaluer précisément les risques auxquels vous êtes exposé et trouver l’antidote contractuel le plus adapté, l’étape suivante consiste à obtenir une analyse personnalisée de votre situation.