Cyberattaque : le volet social de la crise
La France ne cesse d'être la cible de cyberattaques. Cet été, la Direction générale des Finances publiques a subi une série d'intrusions d'ampleur, avec à la clé la violation des données fiscales de 700 000 contribuables.
Les entreprises ne sont pas épargnées.
Une cyberattaque paralyse un système d'information. Elle prive l'entreprise de sa mémoire opérationnelle, celle sur laquelle elle repose au quotidien, et touche tous les services, de la production aux fonctions support.
La question technique occupe naturellement le devant de la scène. La question sociale la suit de très près, et elle se pose dans l'urgence.
Nous avons accompagné cet été un client confronté à une cyberattaque. Nous souhaitons partager quelques mesures pouvant être envisagées sur le volet social .
- Envisager une réduction ou une suspension d’activité
Une cyberattaque constitue une circonstance de caractère exceptionnel au sens de l'article R. 5122-1 du Code du travail. Elle peut donc justifier un placement en activité partielle, à condition de démontrer le lien direct entre l'attaque et l'impossibilité de maintenir l'activité.
Documenter ce lien de causalité dès le dépôt du dossier reste déterminant. Dépôt de plainte, attestation du prestataire informatique décrivant l'incident, attestation de l'assureur, éléments chiffrant la baisse d'activité, ces pièces conditionnent la solidité de la demande.
La décision est unilatérale mais suppose la consultation du CSE dans les entreprises de cinquante salariés et plus.
Ce cas de recours présente toutefois un avantage : il permet de placer les salariés en activité partielle dès le constat de l'impossibilité de travailler, sans attendre la décision de l'administration. L'avis du CSE peut également être transmis postérieurement à la demande, dans un délai de deux mois, et la prise en charge peut être rétroactive dans la limite de 30 jours.
- Réorganiser le travail
La cyberattaque touche les services de façon inégale, certains s'arrêtant faute d'accès aux outils quand d'autres, l'IT en tête, ont au contraire besoin de renfort. L'employeur est alors tenté de réorganiser le travail au plus vite. Le droit fixe pourtant des limites et des voies distinctes selon les situations.
Le passage d'un salarié d'une organisation du travail à une autre, et/ou l'évolution de ses tâches, y compris pour des raisons exceptionnelles et temporaires, peut constituer une modification de son contrat de travail. Elle suppose son accord, formalisé par avenant. Un refus ne peut pas être surmonté par une décision unilatérale de l'employeur.
L'imposition de congés payés reste, en revanche, possible dans ce contexte. La fixation et la modification des dates relèvent du pouvoir de direction, sous réserve d'un délai de prévenance qui peut être réduit en cas de circonstances exceptionnelles. Cette solution demeure toutefois limitée par le solde de congés disponible de chaque salarié.
Les entreprises disposant d'un accord organisant le temps de travail peuvent également envisager le recours à la modulation "basse", sous réserve d'informer et de consulter le CSE et de respecter les modalités, notamment les délais de prévenance, prévus par l'accord.
- Faire travailler une équipe IT le week-end
La résolution technique d'une cyberattaque nécessite parfois de faire intervenir les équipes IT le week-end, alors même que l'entreprise ne bénéficie d'aucune dérogation habituelle au repos hebdomadaire pour ce service.
L'article R. 3132-5 du Code du travail ouvre une dérogation permanente de droit pour les entreprises et services de maintenance, y compris pour les travaux informatiques nécessitant, pour des raisons techniques, la mise hors exploitation des installations ou devant être réalisés de façon urgente.
Un service informatique interne n'est pas, en tant que tel, un service de maintenance. Il peut néanmoins s'en prévaloir lorsque les opérations qu'il effectue répondent aux conditions posées par ce texte.
Deux conditions doivent alors être réunies. Les travaux doivent nécessiter la mise hors exploitation des installations ou une réalisation urgente.
Le recours à cette dérogation constitue toutefois une modification du contrat de travail pour les salariés concernés. Elle ne peut donc pas être imposée et repose sur le volontariat.
- Le cas du salarié négligent
Une cyberattaque trouve parfois son origine dans une erreur individuelle, un clic sur un lien frauduleux, un mot de passe partagé. La tentation de sanctionner immédiatement le salarié concerné est compréhensible. Elle doit néanmoins rester encadrée par les principes classiques du droit disciplinaire, qui s'appliquent ici comme ailleurs.
Toute sanction suppose une faute caractérisée, proportionnée aux faits et à leur contexte. La qualification de la faute peut être contestée lorsque le salarié n'a reçu aucune formation à la sécurité informatique, ou s'est trouvé confronté à une attaque particulièrement sophistiquée. L'absence de formation, notamment, fragilise la position de l'employeur et peut priver la sanction de sa justification.
Aucune entreprise ne peut aujourd'hui faire l'impasse sur ce risque. Toutes, ou presque, l'ont déjà intégré en renforçant leur sécurité informatique. Lorsqu'elles y sont confrontées malgré tout, la réflexion sur les leviers sociaux mobilisables devient déterminante.
Ces différents outils ne sont pas de simples options techniques. Ils préservent l'entreprise et sont parfois indispensables pour lui permettre de surmonter la crise.
Aguera Avocats Aguera Avocats accompagne ses clients sur ces questions.
Article rédigé par Me Audrey Nigon
Historique
-
Cyberattaque : le volet social de la crise
Publié le : 03/09/2026 03 septembre sept. 09 2026Article
La France ne cesse d'être la cible de cyberattaques. Cet été, la Direction générale des Finances publiques a subi une série d'intrusions d'ampleur, avec à la clé la violation de...
-
Passeport de prévention pour les salariés : une preuve incontournable
Publié le : 27/08/2026 27 août août 08 2026Article
Le respect de l’obligation d’information et de formation à la sécurité des salariés qui pèse sur les employeurs est bien souvent au cœur des contentieux en matière d’accident du... -
Canicule au travail : les retours d'expérience qui doivent alerter les employeurs
Publié le : 30/07/2026 30 juillet juil. 07 2026Article
Risque mortel par « coup de chaud » : les cas de décès pour « coup de chaud » recenses lors des fortes chaleurs, concernent des salaries (alcooliques, alcoolises ou en etat de s... -
Le « préjudice nécessaire » : la fin d’un concept général aussi subjectif qu’abstrait ?
Publié le : 23/07/2026 23 juillet juil. 07 2026Article
« Attendu que cause nécessairement un préjudice au salarié » etc. Telle est la formule bien pratique permettant d'allouer des dommages et intérêts, souvent disproportionné... -
Résiliation anticipée d’un contrat de prestation à durée déterminée : pas de paiement du prix sans contrepartie
Publié le : 15/07/2026 15 juillet juil. 07 2026ArticleCass. com., 13 mai 2026, n° 24-21.473 Par un arrêt publié au bulletin, la chambre commerciale de la Cour de cassation est venue préciser les conséquences financières de la ré...
-
Ce que les DRH font (vraiment) pendant leurs vacances.
Publié le : 10/07/2026 10 juillet juil. 07 2026ArticleIls posent leur téléphone. Enfin, presque. Jour 1 : ils désactivent les notifications. Sauf celle des mails. "Juste pour surveiller." Ils activent le message d'absence automa...
