La responsabilité contractuelle en cas d’incident

Le mécanisme

Après un incident, l’organisation se remet en ordre là où elle est compétente : outillage, détection, gouvernance, sensibilisation. Ce sont des chantiers visibles, mesurables, et qui rassurent le comité de direction.

La question contractuelle, elle, appartient à un autre calendrier : celui du contrat de service, signé avant l’incident, souvent par une autre équipe, et qui ne se rouvre pas spontanément. Le résultat est un écart durable entre ce que l’entreprise croit avoir acheté et ce qui est réellement opposable.

Dans la plupart des contrats de service que j’ai eu à écrire ou à défendre, l’engagement de restauration porte sur un effort, pas sur un délai ; la pénalité est plafonnée bien en deçà du coût d’un arrêt ; et l’arrêt d’activité lui-même n’est pas couvert.

Quatre questions à vous poser

Si vous avez une réponse écrite et datée aux quatre, ce sujet n’est pas le vôtre, et je vous le dirai.

1. Quel délai de restauration votre prestataire vous doit-il, par écrit, et à partir de quel événement ce délai court-il ?
2. Que vaut la pénalité prévue, rapportée au coût d’une journée d’arrêt de votre activité ?
3. Votre plan de reprise a-t-il été testé avec votre prestataire, ou seulement rédigé avec lui ?
4. Si votre prestataire principal devenait indisponible, votre stratégie de sortie est-elle documentée et chiffrée ?

Pourquoi c’est réparable, et pourquoi par 4C Partners

La contrainte externe fait le travail d’ouverture : DORA impose des tests de résilience et des stratégies de sortie documentées, NIS 2 étend les obligations à l’industrie, et la continuité de production est un sujet de comité de direction en santé comme en industrie. Vous êtes déjà tenu de produire ces éléments ; il s’agit d’en tirer un engagement opposable plutôt qu’un classeur de conformité.

Ce que vous obtenez

• L’écart entre ce que vous croyez acquis et ce qui est opposablenote d’analyse contractuelle
• Le chiffrage de l’exposition réelle, en euros et en heuresmodèle de calcul remis et commenté
• Les clauses à obtenir, rédigées en langage de négociationargumentaire par clause
• La préparation de l’entretien avec votre prestatairesession de travail

Limites et prérequis

Énoncés ici plutôt qu’en fin de négociation.

• Je ne suis ni expert en cybersécurité technique ni juriste. Je travaille l’engagement de service et le rapport de force ; votre RSSI et votre conseil juridique gardent leur terrain.
• Le transfert de risque assurantiel n’est pas mon métier et ne fait pas partie de la mission.
• Après un incident vécu, il vaut mieux laisser passer un délai : trop tôt, le sujet est encore émotionnel et la conversation n’est pas contractuelle.

Si rien n’est fait

Rien ne se passe, jusqu’au jour où le système s’arrête. Ce jour-là, la négociation se fait dans l’urgence, sans levier, et le coût de l’arrêt reste chez vous.