Pour chiffrer le préjudice de votre entreprise après une cyberattaque, constituez un dossier poste par poste. Rapprochez les pertes de marge, les frais de remise en état et les surcoûts des pièces qui les justifient. Pour chaque somme, expliquez son lien avec l’attaque, la période concernée et la méthode de calcul. Le total des factures et du chiffre d’affaires manquant ne constitue pas, à lui seul, une indemnité acquise.
Votre demande doit permettre à un tiers de refaire le calcul. Un dossier lisible servira à votre avocat, à votre expert-comptable et, selon le recours engagé, à l’assureur ou au juge. Notre équipe en droit de la cybersécurité peut vous aider à organiser ces éléments.
Quels préjudices peut-on documenter après une cyberattaque ?
Commencez par distinguer les dépenses engagées, l’activité perdue et les conséquences encore incertaines. Le coût économique de l’incident, le préjudice juridiquement réparable et le montant couvert par une assurance peuvent différer. Les garanties, franchises et exclusions relèvent d’une analyse séparée, présentée dans notre article sur l’assurance cyber et les refus d’indemnisation.
En matière contractuelle, l’article 1231-2 du Code civil vise la perte subie et le gain manqué. Les articles 1231-3 et 1231-4 encadrent notamment la prévisibilité du dommage et son lien direct avec l’inexécution. L’attaque ne rend donc pas automatiquement votre prestataire responsable de toutes ses conséquences : ses obligations et les manquements invoqués doivent être examinés.
- Remise en état : interventions d’urgence, restauration des données, réinstallation des logiciels et remplacement nécessaire d’équipements. Demandez des factures détaillées qui permettent de séparer la restauration des améliorations durables du système.
- Interruption ou ralentissement : ventes définitivement perdues, production empêchée ou prestations annulées. Reconstituez la marge correspondante et vérifiez ce qui a été rattrapé après la reprise.
- Surcoûts de fonctionnement : location temporaire, sous-traitance exceptionnelle, heures supplémentaires effectivement payées ou frais de traitement manuel. Conservez la décision d’engagement et le justificatif du coût.
- Relations commerciales : pénalités réclamées par des clients, frais de communication ou annulations attribuées à l’incident. Leur inscription au dossier ne préjuge pas de leur caractère indemnisable.
Une réclamation reçue d’un client n’équivaut pas nécessairement à une dette certaine. Identifiez son fondement, les réserves formulées et les paiements intervenus. Si des personnes physiques demandent réparation pour leurs données personnelles, leur préjudice relève d’un dossier distinct de celui de l’entreprise. Notre article sur l’indemnisation après une fuite de données explique cette distinction.
Comment prouver le lien entre l’attaque et les pertes ?
Construisez une chronologie commune aux équipes techniques et financières. Notez la découverte de l’incident, les services indisponibles, les reprises partielles et le retour à une activité normale. Associez chaque période à des éléments datés : tickets d’intervention, journaux techniques, courriels de clients, commandes annulées ou relevés de production.
L’ANSSI souligne que l’analyse des journaux peut aider à comprendre le cheminement d’une attaque et son impact. Faites organiser leur conservation par les intervenants techniques, avant que les opérations de restauration ne fassent disparaître des traces. Conservez également les versions successives des rapports, avec leurs réserves ; un diagnostic provisoire ne doit pas devenir une certitude dans votre réclamation.
Votre chiffre d’affaires peut baisser pour plusieurs raisons. Une fermeture saisonnière, la perte antérieure d’un client ou une panne indépendante doivent apparaître dans l’analyse. Expliquez les ajustements retenus et gardez les données permettant de les discuter. La simultanéité entre une baisse des ventes et une cyberattaque ne prouve pas, à elle seule, que toute la baisse en résulte.
L’article 1353 du Code civil pose la règle générale de la charge de la preuve. Pour le chiffrage, un montant global sans pièces ni explication expose votre demande à la contestation.
Comment calculer la perte d’exploitation sans la confondre avec le chiffre d’affaires ?
Comparez la situation réellement constatée avec celle que l’entreprise aurait vraisemblablement connue sans l’incident. Le calcul dépend de votre activité, de vos coûts et de la période affectée. Faites valider ses hypothèses par votre expert-comptable.
Délimitez la période et les ventes réellement perdues
Identifiez les jours d’arrêt puis la période de fonctionnement dégradé. La remise en service d’un serveur peut précéder la reprise commerciale ; justifiez cet éventuel décalage. Utilisez les exercices antérieurs, le carnet de commandes et les ventes récentes, en tenant compte de la saisonnalité et des évolutions déjà engagées avant l’attaque.
Distinguez les commandes annulées des ventes simplement reportées. Si une commande a finalement été exécutée, son montant ne doit pas rester entièrement dans les ventes perdues. Un retard peut néanmoins générer un coût distinct, à documenter séparément.
Retirez les charges économisées et isolez les frais supplémentaires
Pour une interruption temporaire, une base de travail consiste à partir du chiffre d’affaires réellement perdu et à retirer les charges évitées du fait de cette perte. Ajoutez ensuite les surcoûts justifiés, s’ils ne figurent pas déjà dans le calcul. La qualification de chaque charge dépend de son comportement réel pendant l’incident.
Les achats de marchandises non réalisés peuvent constituer une économie. À l’inverse, le loyer ou certains salaires peuvent continuer à être supportés malgré l’arrêt. Ne soustrayez donc pas mécaniquement toutes les charges habituelles. Si le taux de marge retenu tient déjà compte d’une charge, évitez de la retrancher une seconde fois ou de l’ajouter à nouveau comme dommage autonome.
La Cour de cassation, le 9 décembre 2020, n° 19-12.007, a censuré un calcul de perte d’exploitation qui déduisait deux fois des charges de personnel. Cette décision, rendue hors contexte cyber, rappelle l’exigence d’une réparation sans perte ni profit pour la victime.
Quelles pièces réunir dans le dossier de chiffrage ?
Créez un fichier de suivi avec une ligne par poste, un responsable et un numéro de pièce. Indiquez le montant demandé, sa base comptable, la période et son degré de certitude. Une colonne doit préciser si un remboursement ou un avoir a déjà été reçu. Le tableau ci-dessous sert de liste de collecte ; il ne constitue pas un barème d’indemnisation.
| Poste examiné | Pièces utiles | Point à expliquer |
|---|---|---|
| Activité interrompue | Comptes, ventes par période, commandes, annulations, rapports d’indisponibilité. | Période retenue, activité attendue, ventes rattrapées et charges évitées. |
| Restauration informatique | Devis, factures détaillées, rapports d’intervention et preuves de paiement. | Lien avec l’attaque et part éventuelle d’amélioration du système. |
| Travail supplémentaire | Relevés de temps datés, tâches décrites, paie ou factures de renfort. | Surcoût réel et absence de doublon avec les autres postes. |
| Conséquences commerciales | Contrats, échanges clients, réclamations, résiliations et avoirs. | Conséquence établie, montant discuté ou risque encore éventuel. |
Conservez les exports comptables d’origine et une version datée de chaque calcul. Rapprochez les factures des écritures et des paiements, puis faites préciser le traitement de la TVA selon sa récupérabilité. Une facture TTC ne traduit pas nécessairement une perte du même montant pour l’entreprise.
Pourquoi le temps passé et l’atteinte à la réputation sont-ils difficiles à chiffrer ?
La mobilisation du dirigeant et des salariés peut être considérable. Elle doit pourtant être traduite en un dommage démontré. Documentez les tâches, leur durée, leur coût et les conséquences sur l’activité habituelle. La seule multiplication d’un nombre d’heures estimé par un tarif décidé après l’incident ne suffit pas toujours.
Dans un arrêt du 28 avril 2026, RG n° 24/01502, la cour d’appel de Reims a retenu des pertes d’exploitation et des frais de remise en état justifiés. Elle a cependant écarté une demande relative au temps passé, étayée par un simple tableau interne, alors que la restauration faisait déjà l’objet d’une indemnisation. Elle a également rejeté un préjudice moral insuffisamment distinct des autres postes et retenu un partage de responsabilité. Ces conclusions dépendent des éléments de cette affaire.
Pour une atteinte à la réputation, rassemblez les résiliations motivées, échanges de partenaires ou dépenses de communication précisément liées à l’incident. Séparez ce qui est établi de ce qui reste à démontrer. Une perte future éventuelle ne doit pas être présentée comme un contrat définitivement perdu.
Quand faut-il faire intervenir un expert ?
L’expert technique examine les causes, les systèmes touchés et les opérations de remise en état. L’expert-comptable reconstitue l’activité et les coûts. L’avocat relie ces éléments aux obligations contractuelles, aux responsabilités discutées et aux demandes envisageables. Définissez la mission de chacun pour éviter des rapports qui ne répondent pas aux mêmes questions.
Si des preuves risquent de disparaître ou si les causes sont contestées, une mesure d’instruction avant procès peut être envisagée. L’article 145 du Code de procédure civile exige notamment un motif légitime et une mesure légalement admissible. Une expertise judiciaire n’est pas automatique et ne garantit pas l’indemnisation.
Préparez dès maintenant un état provisoire des pertes, quitte à le compléter. Le chiffrage ne doit pas retarder les démarches urgentes, la déclaration à l’assureur ni l’examen des délais de recours. Faites apparaître les sommes reçues et les postes qu’elles couvrent pour éviter de demander deux fois réparation du même dommage.
Vous disposez de factures et d’un rapport technique, mais le montant à réclamer reste discuté ? Contactez Hashtag Avocats avec votre chronologie, vos contrats informatiques et votre premier état des pertes. Nous pouvons examiner les justificatifs et organiser le dossier de réclamation avec vos conseils techniques et comptables.
Sources officielles
- Code civil, articles 1231 à 1231-4 : réparation de l’inexécution contractuelle.
- Code civil, article 1353, et Code de procédure civile, article 145, liés ci-dessus.
- Cour de cassation, chambre commerciale, 9 décembre 2020, n° 19-12.007, et cour d’appel de Reims, 28 avril 2026, RG n° 24/01502, décisions liées ci-dessus.
- ANSSI, recommandations de sécurité pour l’architecture d’un système de journalisation.
Sources vérifiées le 4 novembre 2026. Ces informations générales ne remplacent pas une consultation juridique. Chaque situation est particulière.
