Dans la nuit du 11 au 12 octobre 2026, des centaines de supermarchés français ont été victimes d’une cyberattaque visant leurs systèmes de réfrigération. En prenant le contrôle des dispositifs de régulation du froid, les attaquants ont provoqué une hausse artificielle des températures, entraînant la destruction de plusieurs tonnes de denrées alimentaires.
Une attaque informatique aux conséquences bien matérielles, qui soulève une question essentielle : qui prend en charge les pertes lorsqu’une cyberattaque provoque des dommages physiques ?
Dans un article publié le 15 octobre 2026, intitulé « Cyberattaques de supermarchés : les trous dans la raquette de l’assurance », les journalistes Clément Daniez et Sandra Mathorel, de l’Opinion, ont interrogé Jocelyn Pitet, avocat associé et cofondateur du cabinet Entropy, pour décrypter les difficultés juridiques et assurantielles soulevées par cette attaque inédite.
Cyberassurance et dommages matériels : un risque à cheval entre deux contrats
Comme l’explique Jocelyn Pitet dans les colonnes de l’Opinion, le marché de l’assurance s’est historiquement structuré autour de deux grandes catégories de garanties : les assurances cyber, d’une part, et les assurances dommages aux biens, d’autre part.
Les premières couvrent généralement les atteintes aux systèmes informatiques, les pertes d’exploitation ou encore les frais de gestion de crise. Les secondes prennent en charge les dommages matériels, comme les incendies, les bris de machines ou la détérioration de marchandises.
Mais que se passe-t-il lorsqu’une attaque informatique entraîne la destruction de stocks alimentaires ?
C’est précisément là que les difficultés apparaissent. Les contrats cyber ne couvrent pas nécessairement les dommages physiques, tandis que les polices d’assurance dommages peuvent comporter des exclusions visant les événements d’origine informatique.
Une entreprise peut donc disposer de plusieurs assurances et découvrir, au moment du sinistre, que ses pertes ne sont pas intégralement couvertes.
L'indemnisation dépendra alors de la rédaction des clauses, des éventuelles exclusions, des franchises et de l'articulation entre les différentes garanties souscrites. Une analyse qui devra nécessairement être conduite au cas par cas.
La cyberguerre : une difficulté supplémentaire pour les assureurs et les entreprises
L’article aborde également une autre question, particulièrement sensible : comment qualifier une cyberattaque dont les auteurs ne sont pas identifiés ?
Les contrats d’assurance comportent traditionnellement des exclusions relatives aux faits de guerre. Or, les cyberattaques peuvent aujourd’hui être conduites par des groupes criminels, des organisations structurées ou des acteurs soutenus par des États.
Depuis plusieurs années, le marché international de l’assurance renforce d’ailleurs ses exclusions concernant certains risques de cyberguerre.
Comme le souligne Jocelyn Pitet, cette évolution soulève une difficulté majeure : comment distinguer une cyberattaque criminelle d’une opération informatique liée à un conflit international ?
L’attribution technique d’une cyberattaque peut nécessiter plusieurs mois d’investigations. Sa qualification juridique est parfois plus complexe encore. Et une opération soutenue par un État ne constitue pas automatiquement un acte de guerre.
Ces incertitudes peuvent avoir des conséquences importantes sur l’application des garanties et la charge de la preuve en cas de contentieux.
Une autre urgence : préserver son droit à indemnisation
Au-delà de l'étendue des garanties, les entreprises doivent également être attentives aux formalités imposées par la loi.
Depuis 2023, l’article L. 12-10-1 du Code des assurances subordonne certaines indemnisations contractuelles liées aux cyberattaques au dépôt d’une plainte dans un délai de 72 heures suivant la connaissance de l’atteinte informatique par la victime.
Cette obligation, qui concerne les situations visées par le texte, peut devenir particulièrement contraignante en pleine gestion de crise.
Car pendant qu’une entreprise tente de restaurer ses systèmes, de préserver ses stocks ou de reprendre son activité, des délais juridiques très courts peuvent courir en parallèle.
Face à une cyberattaque, il existe donc deux urgences : assurer la continuité de l’activité et préserver ses droits à indemnisation.
Anticiper le risque cyber, c’est aussi anticiper sa couverture assurantielle
Cette affaire rappelle que le risque cyber ne se limite pas aux données ou aux systèmes informatiques. Il peut affecter directement les équipements industriels, les chaînes logistiques et les installations physiques des entreprises.
Dans ce contexte, la souscription d’une assurance cyber ne suffit pas. Encore faut-il s’assurer que les garanties correspondent réellement aux risques auxquels l’entreprise est exposée.
Le cabinet Entropy accompagne les entreprises dans l’audit, la rédaction et la négociation de leurs polices d’assurance cyber, notamment pour identifier les risques insuffisamment couverts, sécuriser la rédaction des garanties et exclusions, et assurer leur articulation avec les contrats d’assurance dommages aux biens.
Le cabinet intervient également dans les litiges opposant les entreprises à leurs assureurs, notamment en cas de refus de garantie, de contestation de l'indemnisation ou de désaccord sur l'application d'une clause d'exclusion. Entropy accompagne ses clients dans la défense de leurs intérêts, tant dans le cadre de négociations amiables que devant les juridictions compétentes, afin d'obtenir la mobilisation des garanties et la juste indemnisation des préjudices subis.
Notre approche associe expertise juridique et compréhension technique des risques informatiques, afin d'accompagner les entreprises aussi bien dans l'anticipation de leurs risques assurantiels que dans la gestion des différends qui peuvent survenir après un sinistre.
Car, comme le montre cette cyberattaque, le risque peut être identifié, les dommages bien réels… sans que la garantie soit nécessairement au rendez-vous.
Retrouvez l'article complet de l'Opinion : « Cyberattaques de supermarchés : les trous dans la raquette de l’assurance », publié le 15 octobre 2026.