Un éditeur de logiciels français, victime d'un ransomware, réclamait la garantie de son assureur pour indemniser ses clients. Le tribunal judiciaire de Lyon a rendu sa décision le 20 août, riche d'enseignements pour les professionnels de la cybersécurité.
C'est une affaire mêlant rançongiciel, exclusion de garantie et responsabilité civile professionnelle, sur fond d'assurance donc, que le tribunal judiciaire de Lyon a dû étudier pour rendre sa décision du 20 août 2026. En juin 2021, les serveurs d'un éditeur de logiciels de gestion furent paralysés par une attaque informatique ayant provoqué la perte de données chez quatorze de ses clients. Le problème, c'est que son assureur avait refusé de couvrir le sinistre, ce qui fut le vrai point de départ de ce litige. Un cas plus qu'intéressant de cyber-risque en entreprise, que vous dévoile Clubic.
Son entreprise est piratée, mais son assurance refuse la garantie
En mai 2020, la société Galaxity* souscrit auprès de la Caisse régionale d'assurances mutuelles agricoles Rhône-Alpes Auvergne (la structure juridique officielle de Groupama dans la région) un contrat de responsabilité civile pour ses activités informatiques. Ce contrat couvre notamment sa filiale Software, dont le métier consiste à accompagner ses clients dans le déploiement de logiciels de gestion, qu'il s'agisse de suivi client, de commerce ou de comptabilité, avec un hébergement des solutions selon différentes formules.
Puis vient la nuit du 24 au 25 juin 2021. Les serveurs de Software, qui hébergent les plateformes permettant à ses clients d'accéder à leurs logiciels de gestion, sont frappés par un ransomware, ou rançongiciel en français. Le programme malveillant chiffre les fichiers présents sur les serveurs, les rend illisibles, et exige une rançon en échange de la clé permettant de les déverrouiller. Si l'accès aux plateformes elles-mêmes finit par être rétabli, les données que quatorze clients y avaient enregistrées, elles, restent perdues Il leur est impossible de les déchiffrer sans payer, et aucune copie de secours n'existait pour les récupérer autrement. Le sinistre est déclaré à l'assureur dès le 29 juin 2021.
Coup de théâtre, deux mois plus tard, par lettre du 23 août 2021, la Caisse régionale d'assurances mutuelles agricoles Rhône-Alpes Auvergne refuse purement et simplement de prendre en charge le sinistre. Elle se base sur une clause du contrat, en disant que celui-ci obligeait la société Software à réaliser une sauvegarde externalisée de toutes les données de ses clients, c'est-à-dire une copie de secours conservée sur un autre site que les serveurs piratés, le principe même qui aurait permis de tout récupérer sans céder au chantage des pirates. Or, cette sauvegarde n'existait pas pour les données perdues, ce qui active, selon l'assureur, une clause d'exclusion. En clair, il dit être ici sur un cas où le contrat prévoit explicitement qu'il ne couvre pas le sinistre. Pendant ce temps, plusieurs clients lésés assignent directement l'éditeur de logiciels devant le tribunal de commerce de Lyon pour obtenir réparation. Un scénario de plus en plus fréquent, puisqu'on rappelle que la France figurait au premier semestre 2026 dans le top 6 mondial des pays les plus ciblés par les rançongiciels.
Pourquoi l'éditeur de logiciels et son assureur ne s'entendent toujours pas
Pour les entreprises Galaxity et Software, la position de leur assureur est infondée. Elles l'assignent à leur tour en novembre 2022, mais cette fois devant le tribunal judiciaire de Lyon, juridiction distincte de celle où les clients les poursuivent. Leur addition dépasse 155 000 euros, d'après le dossier. D'abord, elles réclament 34 718,09 euros, correspondant à ce qu'elles ont déjà été condamnées à verser à l'un de leurs clients devant le tribunal de commerce ; une somme encore incertaine, puisque cette première décision fait l'objet d'un appel dont le résultat définitif n'est pas connu. Ensuite, il y a 120 555 euros de frais engagés pour reconstituer manuellement les données perdues. Les deux sociétés demandent aussi que l'assureur s'engage à couvrir, à l'avenir, toutes les autres actions similaires intentées par leurs autres clients, dans la limite des 5 millions d'euros que le contrat garantit chaque année. Mais l'assureur conteste ces chiffres et propose, en repli, de ramener l'indemnisation à… 4 107,60 euros seulement.
Selon Software et Galaxity, rien dans le contrat de responsabilité civile principal n'exclut explicitement les cyberattaques, et l'annexe « cybersécurité » que l'assureur brandit pour justifier son refus ne devrait pas entrer en jeu ici, puisqu'elle a vocation à s'ajouter aux garanties existantes, pas à les restreindre, dès lors que le sinistre relève de leur responsabilité professionnelle classique. Ensuite, à titre de repli, elles reprochent à l'assureur de ne pas les avoir suffisamment conseillées lors de la signature du contrat, et notamment de ne pas leur avoir suggéré un plafond de garantie plus élevé pour cette fameuse annexe cyber. Elles évoquent un manquement à son devoir de conseil prévu par le code des assurances. Enfin, si cette annexe devait malgré tout s'appliquer, elles demandent purement et simplement qu'un juge la déclare nulle, au motif qu'elle viderait alors le contrat principal de sa substance, en rendant la garantie de responsabilité civile pratiquement inutile face à ce type de risque. Mais alors, que dit la partie adverse ?
L'assureur a une tout autre lecture du contrat. Son premier argument, celui déjà avancé dans la lettre de refus, s'appuie sur l'annexe cybersécurité. Selon la Caisse régionale d'assurances mutuelles agricoles, celle-ci imposait à Software une obligation de sauvegarde externalisée que l'entreprise n'aurait pas respectée, ce qui suffirait à lui seul à écarter la garantie. L'assureur ajoute que l'article 3 des conditions générales (le socle commun applicable à tous les assurés de ce type de contrat) précise que les dommages causés par un programme informatique malveillant ne sont couverts que dans les limites, justement, de cette même annexe cyber. Il invoque enfin d'autres exclusions, propres cette fois au contrat signé spécifiquement par Galaxity. Sur l'accusation de mauvais conseil, il répond avoir bien alerté le courtier de la société sur les clauses de l'annexe cyber au moment de la signature. Et sur le plan financier, il conteste tout simplement que la facture de 120 555 euros reflète vraiment le préjudice subi par Software. Bref, personne n'est d'accord, c'est donc au tribunal de trancher.
Le tribunal a fini par donner raison à l'assureur après la cyberattaque
Avant même d'entrer dans le fond, les juges lyonnais élucident un point de procédure. L'assureur avait tenté de faire déclarer les demandes irrecevables, mais il l'a fait à l'aide de ses conclusions habituelles, adressées au tribunal, alors que ce type de question relevait exclusivement du juge de la mise en état, qui est un magistrat chargé, en amont du procès, d'instruire ce genre de points, à condition d'être saisi par des conclusions spécifiques et distinctes. Du coup, faute d'avoir emprunté le bon canal, l'argument tombe à l'eau sans même être examiné sur le fond. Un rappel utile des subtilités procédurales du code de procédure civile. Mais poursuivons.
Sur le fond maintenant, la clé de la décision du tribunal se trouve dans un document fourni... par les demanderesses elles-mêmes. En épluchant les conditions générales de leur propre contrat, les juges ont relevé une clause écrite en gras et en majuscules, qui exclut de la garantie « les conséquences provenant de fraudes y compris informatiques », sauf lorsque l'assuré est lui-même responsable des actes de ses propres salariés, ce qui n'est pas le cas ici. Or, une cyberattaque menée par un pirate extérieur à l'entreprise correspond, selon les juges, exactement à ce type de fraude informatique. Cette clause suffit ainsi à elle seule à écarter la garantie, ce qui rend inutile tout le débat sur la sauvegarde externalisée. Le tribunal en profite d'ailleurs pour préciser que la fameuse annexe cybersécurité, brandie par l'assureur depuis le début, vous vous souvenez, ne couvrait de toute façon qu'un tout autre cas de figure, à savoir le piratage des données personnelles des clients, sans lien avec le sinistre jugé ici.
Les juges ont aussi rejeté le manquement au devoir de conseil. Pour le tribunal, la société étant passée par un courtier pour souscrire son contrat, c'est avant tout à ce professionnel qu'incombait la mission de vérifier que l'offre correspondait bien à ses besoins. Certes, l'assureur garde malgré tout une obligation minimale d'information, mais celle-ci était remplie, puisque l'exclusion litigieuse figurait noir sur blanc dans le contrat. Galaxity et Software perdent donc sur toute la ligne, et en plus d'être déboutées de toutes leurs demandes, elles devront payer les frais de la procédure (les fameux « dépens »), ainsi que 2 000 euros à l'assureur pour compenser ses propres frais de défense, sans attendre un éventuel appel, la décision étant immédiatement applicable. Voilà une décision qui rappelle, une fois de plus, l'importance de lire ses clauses d'exclusion avant de signer.
*certains noms ont été modifiés, pour respecter la partielle anonymisation de la décision du tribunal.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.