Responsabilité du dirigeant en cas de cyberattaque 2026

Une cyberattaque réussie ne fait pas automatiquement du chef d'entreprise un coupable. En revanche, elle agit comme un révélateur : les enquêteurs, les assureurs, les clients et parfois les tribunaux vont examiner ce qui a été décidé, financé et contrôlé avant l'incident, puis comment l'entreprise a réagi. C'est sur ce terrain que se joue la responsabilité du dirigeant en cas de cyberattaque, bien plus que sur la sophistication technique de l'attaque subie.

Avec la directive NIS2, la cybersécurité devient explicitement une affaire de gouvernance et non plus une simple question technique déléguée à l'informatique. Cet article fait le point sur le cadre juridique français, les cas de mise en cause personnelle et les preuves de diligence à constituer dès aujourd'hui.

Une cyberattaque rend-elle le dirigeant automatiquement responsable

Non. Le risque zéro n'existe pas en matière de sécurité numérique, et la seule réussite d'une intrusion ne suffit pas à caractériser une faute du dirigeant. Les analyses juridiques convergent sur ce point, y compris celles publiées par les cabinets spécialisés en droit du numérique et les ressources officielles diffusées sur MesServicesCyber. Ce qui est examiné, c'est le comportement de l'entreprise et de sa direction avant, pendant et après l'incident.

Concrètement, plusieurs éléments sont susceptibles d'être passés au crible après une attaque par ransomware ou une exfiltration de données. Voici les principaux points qui reviennent le plus souvent dans les analyses de responsabilité.

• L'existence d'une analyse des risques et d'une cartographie du système d'information
• Les moyens financiers et humains réellement alloués à la cybersécurité
• La mise à jour des systèmes, la gestion des privilèges et le déploiement de l'authentification multifacteur
• L'existence de sauvegardes isolées, testées et restaurables
• La formation et la sensibilisation des collaborateurs
• La capacité à détecter, contenir et documenter l'incident
• Le respect des obligations de notification d'incident

Autrement dit, le dirigeant n'est pas mis en cause parce qu'une attaque a réussi, mais parce qu'il n'aurait pas organisé une cybersécurité adaptée à son niveau de risque, ni réagi correctement. Pour une PME de quinze salariés comme pour un cabinet d'architecture ou un cabinet comptable, la question n'est pas de disposer de l'outillage le plus coûteux du marché, mais de pouvoir démontrer des mesures raisonnables et proportionnées.

Dans quels cas la responsabilité personnelle du dirigeant peut être engagée

Il faut distinguer nettement la responsabilité de la société et la responsabilité personnelle de celui qui la dirige. La première est engagée beaucoup plus facilement que la seconde.

La responsabilité de l’entreprise en premier lieu

Lorsqu'un défaut de sécurité cause un dommage à des clients, à des salariés ou à des partenaires, c'est d'abord la société qui répond. L'article 1240 du Code civil, qui oblige à réparer le dommage causé par sa faute, sert alors de fondement classique à une action en réparation (voir aussi l'analyse d'In Extenso sur les dirigeants face à la cybercriminalité). Les manquements les plus fréquemment reprochés sont l'absence de mesures de sécurité raisonnables, la conservation excessive de données insuffisamment protégées, le non respect d'engagements contractuels de sécurité et le défaut d'information des personnes concernées.

La faute détachable des fonctions, clé de la mise en cause personnelle

En principe, les fautes commises par un dirigeant dans l'exercice normal de ses fonctions sont imputées à la société. Sa responsabilité civile personnelle envers les tiers suppose une faute détachable de ses fonctions, notion dégagée par la jurisprudence (Cass. com., 20 mai 2003, n° 99-17.092). Cette faute se caractérise généralement par une faute intentionnelle, d'une particulière gravité, incompatible avec l'exercice normal des fonctions de direction.

Une erreur de jugement ou une négligence ordinaire ne suffit donc pas. En revanche, le refus conscient et répété de financer des mesures jugées indispensables, la dissimulation volontaire d'un incident ou la violation délibérée d'une obligation légale de sécurité augmentent nettement le risque de mise en cause. Vis à vis de la société elle même et de ses associés, la faute de gestion reste par ailleurs un terrain d'action classique, notamment lorsque l'arrêt d'activité provoqué par l'attaque fragilise durablement l'entreprise.

La responsabilité pénale, réservée aux manquements graves

La responsabilité pénale personnelle suppose en général de démontrer une participation personnelle à l'infraction ou une faute répondant aux exigences du droit pénal. Selon la nature des faits, les autorités peuvent rechercher une violation manifestement délibérée d'une obligation particulière de prudence ou de sécurité, une faute caractérisée exposant autrui à un risque grave, une entrave ou une dissimulation après l'incident.

L'infraction la plus directement liée au sujet est l'article 226-17 du Code pénal, qui réprime le fait de traiter des données personnelles sans mettre en œuvre les mesures de sécurité prévues par le RGPD : jusqu'à cinq ans d'emprisonnement et 300 000 euros d'amende. Les poursuites sur ce fondement restent rares, mais le texte existe. Le délit de mise en danger de la vie d'autrui (article 223-1 du Code pénal), parfois évoqué, est beaucoup plus marginal : il suppose un risque immédiat de mort ou de blessures graves, ce qui ne concerne en pratique que quelques secteurs très particuliers.

Les différents niveaux de responsabilité en cas de cyberattaque

Type de responsabilité	Qui est visé	Condition principale	Exemple de manquement
Civile de la société	L'entreprise	Faute causant un dommage, article 1240 du Code civil	Absence de mesures de sécurité raisonnables
Civile personnelle	Le dirigeant	Faute détachable des fonctions	Dissimulation volontaire d'un incident
Pénale	Le dirigeant	Participation personnelle ou faute caractérisée	Violation délibérée d'une obligation de sécurité
Administrative RGPD	Le responsable de traitement	Manquement à la sécurité ou à la notification	Absence de notification à la CNIL dans les délais
Gouvernance NIS2	L'organe de direction	Défaut d'approbation ou de supervision des mesures	Aucune revue des risques cyber par la direction

Ce que la directive NIS2 change pour les dirigeants

Obligations de gouvernance et sanctions prévues par NIS2

La directive NIS2 déplace clairement le curseur. Pour les entités essentielles et les entités importantes qui entrent dans son champ, les organes de direction doivent approuver les mesures de gestion des risques cyber, superviser leur mise en œuvre et suivre une formation adaptée. L'ANSSI et les ressources publiées sur cyber.gouv.fr insistent sur ce rôle de pilotage, qui ne peut plus être intégralement délégué à un responsable technique.

La directive prévoit des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant chaque fois retenu. Les autorités de contrôle peuvent également exiger des mesures correctives et, dans les cas les plus graves, suspendre temporairement des fonctions dirigeantes au sein des entités essentielles. Là encore, la sanction ne découle pas de l'existence d'une attaque, mais d'un défaut de gouvernance, de supervision ou de notification.

Où en est la transposition en droit français

Une directive ne s'applique pas directement aux entreprises : elle doit être transposée par une loi nationale. En France, c'est l'objet du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Adopté par le Sénat en mars 2025 et examiné en commission spéciale à l'Assemblée nationale en septembre 2025, il n'était toujours pas définitivement voté à la date de publication de cet article (octobre 2026), alors que le délai de transposition a expiré le 17 octobre 2024. Les décrets qui fixeront précisément les entités concernées et leurs obligations ne sont donc pas encore parus. L'ANSSI est désignée comme autorité de contrôle et publie déjà ses recommandations sur MesServicesCyber.

Attendre le texte définitif pour s'organiser serait pourtant une erreur : les principes de gouvernance de la directive sont connus, et les donneurs d'ordre les appliquent déjà.

NIS2 ne concerne pas toutes les entreprises françaises. Le périmètre dépend du secteur d'activité, de la taille et du rôle dans la chaîne d'approvisionnement. Beaucoup de PME ne sont pas directement assujetties, mais elles subissent l'effet de ruissellement, car leurs donneurs d'ordre leur imposent contractuellement des exigences de sécurité pour sécuriser leur propre conformité. C'est une demande que nous voyons de plus en plus souvent chez nos clients d'Île-de-France et du Centre-Val de Loire.

À retenir

NIS2 ne crée pas une responsabilité automatique du dirigeant en cas d'attaque, elle crée une obligation de gouvernance documentée. Ce qui est sanctionné, c'est l'absence de pilotage, pas l'échec d'une défense correctement organisée.

Les obligations concrètes du dirigeant avant l’incident

Organiser concrètement la sécurité numérique

La première obligation est une obligation d'organisation. Le dirigeant doit s'assurer qu'une personne ou une équipe est clairement chargée du pilotage de la sécurité numérique, que les rôles en cas d'incident sont répartis et que les risques cyber sont présentés périodiquement en réunion de direction ou lors d'un point dédié avec votre prestataire. Dans une PME de quinze à quarante salariés, cette fonction est le plus souvent portée par un prestataire d'infogérance, ce qui est parfaitement admis à condition que le contrat précise le périmètre, les engagements et les livrables.

Vient ensuite l'identification des risques. Une cartographie du système d'information, une liste des actifs critiques, un inventaire des données sensibles et une évaluation des dépendances fournisseurs constituent le socle minimal. Un cabinet d'architecture dont les maquettes Revit ou ArchiCAD représentent des mois de travail ne traite pas le même risque qu'un cabinet comptable soumis au secret professionnel et aux pics de charge fiscaux, mais la démarche d'analyse reste la même. Un audit informatique formalisé permet de poser cette base et de dater les constats, ce que nous réalisons chez SysProject dans le cadre de nos missions d'audit.

Le troisième volet est le financement de mesures proportionnées. Authentification multifacteur, gestion stricte des privilèges, sauvegardes isolées et testées selon la règle 3-2-1, protection des postes et serveurs, supervision des journaux, gestion des correctifs, chiffrement et sensibilisation des collaborateurs forment un ensemble cohérent. La question juridique n'est pas de savoir si l'entreprise avait acheté la solution la plus chère, mais si elle avait pris des mesures raisonnables au regard de son exposition. Nos offres d'infogérance au forfait et nos prestations de cybersécurité détaillent cette approche.

Enfin, un plan de réponse à incident doit exister sur le papier avant d'être utile. Il précise qui décide d'isoler les systèmes, qui contacte les autorités, qui informe les clients, qui conserve les preuves, qui pilote la communication et comment l'activité est restaurée.

Que faire dans les heures qui suivent une cyberattaque

La qualité de la réaction pèse lourd dans l'appréciation de la diligence du dirigeant. Voici la séquence d'actions à engager sans attendre.

• Isoler les équipements compromis et désactiver les comptes suspects, sans éteindre brutalement les machines afin de préserver les éléments techniques
• Conserver les journaux, les images disque et toute trace exploitable, puis documenter la chronologie des décisions
• Évaluer l'impact, en identifiant les systèmes indisponibles, les données consultées ou exfiltrées et la présence éventuelle de données personnelles
• Notifier la CNIL dans les 72 heures en cas de violation de données personnelles, conformément au RGPD, et informer les personnes concernées lorsque le risque est élevé
• Déclencher les notifications sectorielles applicables, notamment l'alerte précoce sous 24 heures puis la notification sous 72 heures prévues par la directive NIS2 pour les entités concernées
• Déposer plainte dans les 72 heures suivant la découverte de l'attaque : depuis la loi LOPMI, c'est une condition pour être indemnisé par votre assureur (article L. 12-10-1 du Code des assurances)
• Prévenir l'assureur cyber, mobiliser un prestataire de réponse à incident et, en cas de doute sur les premiers gestes, contacter le 17Cyber via Cybermalveillance.gouv.fr, dispositif sur lequel SysProject est référencé

Un retard injustifié, une communication incomplète ou une dissimulation aggravent presque toujours les conséquences juridiques et réputationnelles. À l'inverse, une gestion de crise documentée constitue souvent le meilleur élément de défense du dirigeant.

Comment prouver sa diligence en matière de cybersécurité

La traçabilité des décisions est le cœur du sujet. Un dirigeant se défend avec des documents datés, pas avec des intentions. Politique de sécurité, analyse des risques, procès verbaux de réunions de direction évoquant le sujet cyber, arbitrages budgétaires, rapports d'audit, preuves de déploiement des correctifs, registres de formation, contrats avec les prestataires, comptes rendus de tests de restauration et exercices de crise constituent un faisceau d'éléments cohérent.

Cette documentation sert trois publics différents. Elle rassure les donneurs d'ordre qui exigent une preuve de sécurité dans leurs appels d'offres, elle facilite l'indemnisation par l'assureur et elle démontre, en cas de contentieux, que la direction a organisé, financé, suivi et contrôlé la démarche. C'est aussi ce qui distingue une informatique pilotée d'une informatique subie.

Bon à savoir

Une assurance cyber couvre généralement les frais de remédiation, les pertes d'exploitation et la responsabilité civile de l'entreprise, mais les garanties applicables au dirigeant relèvent le plus souvent d'un contrat distinct de type responsabilité des dirigeants. Les fautes intentionnelles restent exclues dans tous les cas.

Anticiper la responsabilité du dirigeant dès aujourd’hui

La responsabilité du dirigeant en cas de cyberattaque ne se décide pas le jour de l'attaque, elle se construit dans les mois qui précèdent. Analyse des risques, mesures proportionnées, gouvernance documentée, plan de réponse à incident et réaction rapide forment un ensemble qui protège l'entreprise et, par ricochet, celui qui la dirige.

La bonne nouvelle, c'est que ces éléments sont accessibles à une PME de quinze à quarante personnes dès lors qu'ils sont pilotés par un prestataire qui parle en jours d'arrêt et en euros plutôt qu'en acronymes. Si vous souhaitez faire le point sur votre niveau de préparation, notre diagnostic gratuit est disponible.

Cet article donne des repères généraux et ne remplace pas l'avis d'un avocat. Pour une situation précise, faites-vous accompagner par un conseil en droit du numérique.