En cas de cyberattaque, la responsabilité de l’entreprise ne suffit pas toujours à protéger le dirigeant : sa responsabilité personnelle peut être engagée en cas de faute de gestion avérée. Pour limiter cette exposition, mieux vaut documenter sa diligence, formaliser une gouvernance cyber et combiner une assurance cyber avec une couverture RC D&O. Chez Bien-Assuré, nous vous aidons à évaluer précisément ce risque et à choisir les garanties adaptées.
Les cyberattaques se multiplient en Suisse, touchant aussi bien les grandes entreprises que les PME et les indépendants. Le rapport semestriel de l’Office fédéral de la cybersécurité fait état d’une hausse de 28% des cyberincidents signalés pour l’année 2024. Face à cette réalité, un paradoxe s’installe : c’est l’entreprise qui subit l’attaque, mais c’est souvent le dirigeant qui doit en assumer les conséquences juridiques et financières.
Comment expliquer ce mécanisme ? Quelles sont les limites entre la responsabilité de la société et celle, personnelle, de son administrateur ou gérant ? Et surtout, comment s’en prémunir ? Voici un tour d’horizon entre cadre légal, articulation avec la RC D&O et solutions de couverture concrètes.
Pourquoi la responsabilité du dirigeant est engagée après une cyberattaque
En droit suisse, l’administrateur d’une société est soumis à un devoir de diligence strict. Le conseil d’administration doit veiller fidèlement aux intérêts de la société, conformément à l’article 717 du Code des obligations. Ce principe implique la mise en place de mesures organisationnelles raisonnables, y compris en matière de sécurité informatique.
La jurisprudence rappelle régulièrement cette notion : dans l’appréciation de la violation du devoir de diligence au sens de l’art. 717 CO, les tribunaux doivent faire preuve de retenue lorsqu’ils apprécient des décisions de gestion si les conditions de la business judgment rule sont remplies. Une décision de gestion prudente et documentée bénéficie ainsi d’une certaine protection. Un manquement caractérisé, en revanche, peut engager la responsabilité personnelle du dirigeant.
Il existe donc une distinction essentielle entre la responsabilité de la société, qui subit le préjudice économique direct, et celle du dirigeant, qui peut être recherchée individuellement en cas de faute de gestion. Parmi les manquements les plus fréquemment reprochés, on retrouve :
- L’absence de sauvegardes régulières et testées des données critiques
- Le défaut de formation et de sensibilisation du personnel aux risques cyber
- Le retard ou l’omission dans la notification d’une violation de données
- L’absence de plan de continuité d’activité en cas d’incident majeur
Ces manquements traduisent un défaut dans les obligations de diligence attendues d’un dirigeant averti, et constituent souvent le point de départ d’une action en responsabilité.
Les situations qui aggravent l’exposition du dirigeant
Certains contextes renforcent le risque de mise en cause personnelle. C’est le cas lorsque l’entreprise est en défaut de conformité avec la Loi sur la protection des données (LPD) et tarde à notifier un incident aux autorités compétentes.
Des décisions budgétaires ayant sciemment sous-investi la cybersécurité, alors même que les risques étaient identifiés, peuvent aussi être interprétées comme une négligence caractérisée. Dans ce type de dossier, l’analyse portera sur la manière dont le dirigeant a évalué et arbitré les risques auxquels son entreprise était exposée.
Cyber et RC D&O : deux couvertures qui doivent dialoguer
Mieux vaut distinguer le périmètre de ces deux assurances complémentaires mais différentes. L’assurance cyber couvre l’entreprise elle-même : frais de gestion de crise, pertes d’exploitation liées à l’interruption des systèmes, ou certains frais liés à une éventuelle rançon. La couverture D&O, elle, protège le patrimoine personnel du dirigeant lorsque sa responsabilité individuelle est recherchée.
Prenons un cas fréquent : à la suite d’une fuite de données, des actionnaires ou des clients estiment que le dirigeant a manqué à son devoir de surveillance. Ils engagent alors une action en responsabilité directement contre lui, indépendamment de l’indemnisation déjà versée par l’assurance cyber de l’entreprise. C’est précisément dans ce type de mise en cause individuelle que la RC D&O prend tout son sens.
Cette complémentarité est souvent sous-estimée : une cyberattaque bien gérée sur le plan opérationnel n’empêche pas une action en responsabilité contre le dirigeant, dès lors que la faute de gestion peut être démontrée. C’est pourquoi nous recommandons systématiquement d’examiner l’assurance RC D&O pour dirigeants de PME en parallèle de toute réflexion sur la couverture cyber de l’entreprise.
Ce que les tribunaux et régulateurs examinent en cas de manquement
Lorsqu’une procédure est engagée, plusieurs critères entrent en jeu. Les autorités et les tribunaux cherchent à savoir si l’entreprise avait correctement procédé à une évaluation du cyber-risque auquel elle était exposée, et si une politique de sécurité documentée existait réellement au sein de la structure.
Le cadre réglementaire suisse s’est par ailleurs considérablement durci. La nouvelle LPD prévoit désormais des sanctions pénales substantielles : le montant maximal de l’amende passe de 10 000 CHF à 250 000 CHF. Ces sanctions concernent chaque collaboratrice ou collaborateur, surtout ceux exerçant des fonctions dirigeantes, qui enfreint intentionnellement la loi. Elles ne visent donc pas l’entreprise en tant que telle, mais les personnes physiques responsables du manquement.
Pour approfondir ce volet réglementaire souvent méconnu, consultez notre article dédié aux sanctions RGPD et responsabilité de l’entreprise.
La traçabilité des décisions prises par le dirigeant constitue un élément déterminant dans l’appréciation de sa diligence. Un dossier documenté, des comptes rendus de comité de direction évoquant les investissements en sécurité, ou des rapports d’audit régulièrement commandés, sont autant de preuves qui peuvent faire basculer une procédure en faveur du dirigeant. Savoir évaluer le cyber-risque de son entreprise en amont sert autant la sécurité opérationnelle que la solidité juridique du dossier en cas de litige.
Comment le dirigeant peut se protéger en amont
Plusieurs leviers permettent de réduire concrètement l’exposition personnelle du dirigeant. Nous recommandons d’agir sur trois axes :
- Formaliser une véritable gouvernance cyber : politique de sécurité écrite, plan de réponse aux incidents testé régulièrement, formation continue des collaborateurs
- Documenter systématiquement les décisions et les investissements en cybersécurité, pour pouvoir démontrer sa diligence en cas de contrôle ou de litige
- Souscrire une couverture cyber adaptée à la taille et au secteur d’activité de l’entreprise, complétée par une RC D&O
Au-delà de ces mesures préventives, la rapidité et la qualité de la réaction en cas d’incident jouent un rôle déterminant dans la limitation du risque personnel du dirigeant.
Les premières heures après l’attaque sont déterminantes
Notification aux autorités, mesures de containment technique, communication transparente envers les parties prenantes : ces réflexes, mis en œuvre rapidement, réduisent le risque de mise en cause ultérieure du dirigeant. Ils démontrent une réaction proportionnée et diligente, à l’opposé d’une négligence caractérisée.
Pour vous accompagner dans cette phase critique, nous avons élaboré un guide pratique expliquant comment bien réagir dans les 24 heures suivant une cyberattaque.
Chez Bien-Assuré, une approche combinée cyber + D&O
Chez Bien-Assuré, nous accompagnons les dirigeants d’indépendants et de PME dans l’identification de leur exposition réelle, selon leur secteur d’activité et la taille de leur structure. Notre approche repose sur une comparaison objective des offres cyber et RC D&O disponibles sur le marché suisse, pour vous proposer des solutions sur mesure, sans jargon commercial superflu.
Notre objectif est simple : garantir une véritable protection du dirigeant, en articulant les garanties de l’entreprise et celles de la personne physique qui la dirige. Consultez également les recommandations officielles du Centre national pour la cybersécurité, qui complètent utilement toute démarche de prévention.
Si vous souhaitez faire le point sur votre situation actuelle, nous vous proposons un audit sans engagement de vos solutions d’assurance cyber pour entreprises, afin de vérifier que votre couverture correspond réellement à votre niveau de risque et à votre exposition personnelle en tant que dirigeant.
