Les cyberattaques se multiplient et leurs conséquences dépassent désormais largement les systèmes informatiques. Début octobre 2026, une cyberattaque touchant des systèmes de réfrigération du fabricant Danfoss a perturbé plusieurs centaines de supermarchés français, entraînant la destruction de marchandises et d’importantes pertes financières. Pour la seule enseigne Intermarché, les pertes ont été évaluées à plusieurs dizaines de millions d’euros, illustrant les conséquences économiques qu’une attaque informatique peut entraîner sur les activités des entreprises (1).

Les attaques ayant visé Octave en 2024 et Harvest en 2025 peuvent également illustrer les risques liés à cette dépendance aux fournisseurs de logiciels.

Ces incidents rappellent à quel point une cyberattaque peut compromettre directement l’activité d’une entreprise. Lorsqu’elle touche un éditeur de logiciels ou un prestataire informatique, ses conséquences peuvent notamment se répercuter sur l’ensemble de ses clients, parfois privés d’outils indispensables à leur activité.

Face à ces risques de dépendance, la directive européenne NIS 2 renforce les exigences en matière de continuité d’activité et de sécurité de la chaîne d’approvisionnement, invitant les organisations concernées à mieux anticiper les conséquences d’une défaillance de leurs prestataires technologiques.

Dans ce contexte, l’entiercement logiciel peut constituer l’un des moyens de répondre aux exigences de résilience portées par NIS 2, en contribuant à anticiper certaines situations de défaillance d’un fournisseur et à préserver, sous conditions, l’accès aux éléments nécessaires à l’utilisation et à la maintenance d’un logiciel.

Les points clés à retenir sur l’entiercement logiciel et la continuité d’activité

• Une cyberattaque contre un fournisseur de logiciels peut perturber l’activité de nombreux clients.
• La dépendance aux prestataires de logiciel représente un risque à intégrer dans les stratégies de continuité d’activité.
• La directive NIS 2 renforce les exigences relatives à la gestion des risques cyber et à la sécurité des fournisseurs.
• L’entiercement logiciel permet d’organiser la conservation des éléments techniques d’un logiciel auprès d’un tiers de confiance. Il complète les mesures de cybersécurité et les plans de continuité d’activité, sans s’y substituer.

 

1. Cyberattaques : quand la défaillance d’un fournisseur de logiciel affecte ses clients

La dépendance des entreprises aux solutions logicielles crée de nouveaux risques opérationnels. Lorsqu’un fournisseur subit une cyberattaque, les conséquences peuvent dépasser son propre système d’information et toucher directement les activités de ses clients. Plusieurs incidents récents illustrent les effets de cette interdépendance.

Octave et Harvest : deux exemples de cyberattaques aux conséquences étendues

En août 2024, Octave, fournisseur de solutions informatiques notamment utilisées dans le secteur de la distribution du livre, a subi une cyberattaque ayant perturbé les services de plusieurs de ses clients, dépendant de ses outils pour leurs opérations quotidiennes. (2)

Quelques mois plus tard, le 27 février 2025, Harvest, éditeur de logiciels destinés aux professionnels du patrimoine et de la finance, a été victime d’une attaque par rançongiciel. L’incident a entraîné des interruptions de services pour ses utilisateurs, avant une remise en fonctionnement progressive au cours du mois de mars. (3)

Ces événements mettent en évidence un risque commun : la compromission d’un fournisseur peut provoquer une interruption d’activité chez ses clients, même lorsque leurs propres systèmes d’information n’ont pas été directement attaqués.

Une dépendance logicielle à intégrer dans la gestion des risques

De nombreuses organisations s’appuient sur des logiciels métiers pour gérer leurs opérations, leurs données et leurs relations clients. Cette dépendance est particulièrement marquée lorsque les solutions sont fournies en mode SaaS (Software as a Service) et que leur fonctionnement repose sur des infrastructures administrées par un prestataire.

Une indisponibilité prolongée peut alors compromettre l’accès aux applications, retarder certaines opérations ou empêcher l’exécution d’obligations contractuelles.

La gestion des risques cyber ne peut donc se limiter à la protection des infrastructures internes. Elle doit également intégrer les conséquences d’une interruption chez un fournisseur.

Une question se pose alors : comment une organisation peut-elle maintenir ses activités lorsqu’un prestataire logiciel ne peut plus assurer son service ou sa maintenance ?

 

2. NIS 2 : anticiper les risques fournisseurs pour renforcer la continuité d’activité

La multiplication des cyberattaques visant les prestataires numériques souligne la nécessité d’intégrer les dépendances technologiques dans les stratégies de cybersécurité. Une interruption chez un fournisseur peut compromettre le fonctionnement de plusieurs organisations, indépendamment de la sécurité de leurs propres infrastructures.

C’est notamment pour répondre à ces risques que la directive européenne NIS 2 (4) renforce les exigences en matière de gestion des risques cyber, en accordant une attention particulière à la continuité d’activité et à la sécurité de la chaîne d’approvisionnement.

La continuité d’activité, une exigence de la directive NIS 2

La directive NIS 2 vise à renforcer le niveau de cybersécurité des organisations relevant de son champ d’application et leur capacité à faire face aux incidents susceptibles de perturber leurs activités.

Son article 21(4) prévoit notamment la mise en œuvre de mesures techniques, opérationnelles et organisationnelles adaptées aux risques identifiés.

Parmi ces mesures figurent la continuité d’activité, la gestion des sauvegardes, la reprise après sinistre et la gestion de crise.

L’objectif est de permettre aux organisations concernées de mieux anticiper les interruptions, d’en limiter les conséquences et de préparer la reprise de leurs opérations.

Cette démarche suppose notamment d’identifier les logiciels indispensables au fonctionnement de l’entreprise et d’évaluer les conséquences de leur indisponibilité prolongée.

La sécurité des fournisseurs, un enjeu majeur de NIS 2

Au-delà des mesures de sécurité internes, la directive accorde une attention particulière à la sécurité de la chaîne d’approvisionnement, c’est-à-dire aux risques associés aux fournisseurs et prestataires dont dépend une organisation.

L’article 21, paragraphe 2, point d), de la directive NIS 2 (5) prévoit expressément la prise en compte des aspects de sécurité concernant les relations avec les fournisseurs et prestataires directs.

Une cyberattaque affectant un éditeur de logiciels peut ainsi devenir un risque opérationnel pour ses clients, même lorsque ces derniers disposent de mesures de cybersécurité adaptées.

La gestion des risques doit donc intégrer les dépendances technologiques et les scénarios de défaillance des fournisseurs.

Pour les organisations concernées par NIS 2, cela implique notamment de s’interroger sur leur capacité à maintenir leurs activités lorsqu’un prestataire ne peut plus assurer la disponibilité ou la maintenance d’un logiciel.

 

3. L’entiercement logiciel : un dispositif pour anticiper la défaillance d’un fournisseur

Face aux risques de dépendance technologique, les organisations peuvent mettre en place différents dispositifs destinés à préserver leur continuité d’activité. Parmi eux, l’entiercement logiciel permet d’anticiper certaines situations dans lesquelles un fournisseur ne serait plus en mesure d’assurer ses engagements.

En organisant contractuellement l’accès aux éléments techniques d’un logiciel, il contribue à limiter les conséquences d’une défaillance prolongée.

Organiser un accès aux éléments nécessaires à la maintenance du logiciel

L’entiercement logiciel consiste, pour un éditeur ou fournisseur, à confier à un tiers de confiance des éléments techniques relatifs à sa solution, au bénéfice d’un ou plusieurs clients désignés.

Ces éléments peuvent comprendre le code source, la documentation technique, les dépendances logicielles et les informations nécessaires à l’installation, à la configuration ou à la maintenance.

Un contrat définit les conditions dans lesquelles le bénéficiaire peut demander l’accès aux éléments déposés : cessation d’activité du fournisseur, arrêt de la maintenance ou encore panne bloquante ou indisponibilité prolongée du logiciel, notamment à la suite d’une cyberattaque, lorsque ces situations ont été expressément prévues au contrat et que les conditions d’accès sont réunies.

L’objectif est de permettre au client, dans les conditions contractuelles définies, de poursuivre l’utilisation et de faire assurer la maintenance du logiciel, notamment par ses propres équipes ou un prestataire tiers.

Un dispositif complémentaire aux mesures de cybersécurité

Dans le contexte d’une cyberattaque, l’entiercement présente un intérêt particulier lorsqu’un incident entraîne une incapacité durable du fournisseur à remplir ses engagements.

Toutefois, une cyberattaque ne déclenche pas automatiquement l’accès aux éléments entiercés. Celui-ci dépend des conditions prévues au contrat.

De même, la disponibilité du code source ne suffit pas nécessairement à remettre un service en fonctionnement. La reprise peut nécessiter des infrastructures, des données sauvegardées, des compétences techniques et un environnement d’exploitation adapté.

L’efficacité du dispositif repose donc sur plusieurs précautions : définir précisément les événements ouvrant droit à l’accès, prévoir des mises à jour régulières du dépôt et s’assurer que les éléments conservés permettent une exploitation effective du logiciel.

L’entiercement ne constitue pas une obligation imposée par NIS 2, mais peut contribuer à une stratégie plus large de continuité d’activité et de maîtrise des risques fournisseurs.

L’APP, tiers de confiance au service de la continuité logicielle

L’Agence pour la Protection des Programmes (APP) accompagne les éditeurs et leurs clients dans la mise en place de dispositifs d’entiercement adaptés à leurs besoins.

En assurant la conservation des éléments déposés et en encadrant contractuellement les conditions de leur accès, l’APP contribue à sécuriser les relations entre fournisseurs et utilisateurs de logiciels.

Selon les besoins, différents niveaux de dépôt permettent également de renforcer les vérifications portant sur les éléments confiés.

Pour les organisations dépendantes de solutions logicielles indispensables à leur activité, l’entiercement constitue ainsi un levier de préparation à la défaillance d’un fournisseur, à intégrer aux côtés des sauvegardes, des plans de reprise et des autres mesures de résilience.

 

Anticiper les défaillances pour mieux préserver la continuité d’activité

Les cyberattaques visant les fournisseurs de logiciels rappellent que la résilience d’une organisation dépend également de celle de ses partenaires technologiques.

En renforçant les exigences relatives à la continuité d’activité et à la sécurité de la chaîne d’approvisionnement, NIS 2 encourage les organisations à mieux identifier et anticiper leurs dépendances technologiques.

Dans cette démarche, l’entiercement logiciel proposé par l’APP contribue à organiser, en amont, les conditions d’accès aux éléments nécessaires à la poursuite de l’utilisation et de la maintenance d’un logiciel en cas de défaillance du fournisseur.

Un dispositif complémentaire pour renforcer la maîtrise des risques et mieux préparer les organisations aux conséquences d’une interruption prolongée de leurs services numériques.

 

Sources

1. Cyberattaque des systèmes frigorifiques (2026) :
   Associated Press – French cybersecurity authority warns attack may be ongoing as stores scramble to restock.
2. Cyberattaque Octave (2024) :
   LeMagIT – Les clients d’Octave victimes des effets d’une cyberattaque.
3. Cyberattaque Harvest (2025) :
   ANACOFI – Cyberattaque Harvest.
4. Directive NIS 2 :
   Directive (UE) 2022/2555, article 21.
5. Directive NIS 2 :
   Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, article 21, § 2, d).

Cyberattaque Danfoss (2026) :
Le Parisien – Cyberattaque contre les réfrigérateurs : le patron des magasins U fait un premier bilan.