Une cyberattaque est-elle un cas de force majeure ?
Depuis 2020, la jurisprudence française reconnaît certaines cyberattaques comme cas de force majeure — mais à des conditions strictes.
L'article 1218 du Code civil définit la force majeure par trois critères : extériorité, imprévisibilité, irrésistibilité. Une cyberattaque coche-t-elle ces cases ? Pas automatiquement.
Ce que disent les juges
Plusieurs décisions récentes (Cour d'appel de Paris, 2022 et 2024) ont retenu la qualification de force majeure pour des attaques par ransomware d'ampleur, dès lors que la victime démontrait :
- avoir mis en place des mesures de sécurité conformes à l'état de l'art (sauvegardes, MFA, segmentation réseau)
- l'impossibilité technique réelle de poursuivre l'exécution (pas seulement un coût accru)
- une notification rapide au cocontractant
Rédiger la clause aujourd'hui
Mentionnez explicitement les cyberattaques d'origine externe parmi les exemples de force majeure. Ajoutez une obligation symétrique de notification sous 48 h et de mise en œuvre des plans de continuité. Cela protège les deux parties sans tomber dans l'excès.
Le piège des assurances cyber
Certaines polices excluent la prise en charge si la victime invoque la force majeure pour suspendre ses obligations contractuelles. Vérifiez la cohérence entre votre contrat et votre contrat d'assurance avant de signer.