Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Nous sommes le 19 mai 2025, tôt le matin. Dans la fabrique de papier Fasana GmbH à Euskirchen, en Rhénanie-du-Nord-Westphalie, toutes les imprimantes réseau impriment soudainement le même document en même temps : une demande de rançon. L'ensemble des systèmes informatiques est crypté. Aucun ordinateur ne fonctionne, aucune machine à commande numérique n'est accessible, la production est à l'arrêt. En l'espace de deux semaines, les pertes de chiffre d'affaires s'élèvent à environ deux millions d'euros. Les salaires de mai des 240 employés ne peuvent pas être versés à temps. Le 1er juin 2025 – moins de deux semaines après l'attaque – la direction dépose le bilan.

Le cas de Fasana n'est pas exceptionnel. C'est un avant-goût de ce que Teichmann décrit dans plusieurs articles scientifiques comme l'une des questions juridiques les plus urgentes de notre époque : qu'advient-il de la direction générale lorsqu'une attaque par ransomware pousse l'entreprise à la faillite – et à quelle vitesse la victime d'un crime se retrouve-t-elle poursuivie au pénal ?

Le cas Fasana : une entreprise traditionnelle qui n'avait aucune chance

Teichmann analyse le cas Fasana comme un tournant dans la perception des cyberrisques en droit des sociétés. Fasana, une entreprise de l'industrie papetière de plus de 100 ans, venait d'être reprise par un nouvel investisseur quelques semaines seulement avant l'attaque et ne disposait pas de réserves financières suffisantes pour absorber un tel choc (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, p. 6–13).

L'ampleur de la dévastation était énorme. L'administrateur judiciaire provisoire a rapporté qu'après l'attaque, l'entreprise ne pouvait même plus imprimer un bon de livraison. Environ 190 ordinateurs et ordinateurs portables ont dû faire l'objet d'un nettoyage informatique légal et être réinstallés. Trois semaines après l'attaque, l'informatique n'était toujours pas complètement rétablie ; dans certains départements, tous les collaborateurs travaillaient sur un seul ordinateur, tandis qu'ailleurs, on recourait au papier et au crayon (Teichmann, ZRI 2026, p. 6–13).

Fasana n'est pas un cas isolé. Le fabricant de vélos Prophete a dû déposer le bilan fin 2022 après qu'une cyberattaque a fait basculer sa situation déjà tendue. Le constructeur de machines de précision Schumag, basé à Aix-la-Chapelle, a suivi à l'automne 2024. La liste s'allonge (Teichmann, Vom Cyberangriff in die Insolvenz – Der Fall Fasana und Lehren für den Mittelstand, InTeR 2025, p. 167–171).

Le lien sous-estimé : Ransomware et droit de la faillite

Ce que beaucoup de dirigeants ignorent : une attaque par ransomware n'est pas seulement un problème informatique. Elle peut déclencher en quelques jours des obligations en matière de droit de la faillite – avec des conséquences pénales si ces obligations ne sont pas respectées.

Lorsqu'une cyberattaque paralyse la production, les coûts fixes continuent de courir : loyers, salaires, dettes fournisseurs. Sans chiffre d'affaires, la liquidité s'effondre rapidement. Dès qu'une entreprise n'est plus en mesure d'honorer ses dettes exigibles à hauteur d'au moins 90 pour cent dans un délai de trois semaines, il y a cessation de paiement au sens du § 17 InsO (loi allemande sur l'insolvabilité). À ce moment-là, l'une des obligations les plus strictes du droit allemand des sociétés entre en vigueur : l'obligation de déposer le bilan selon le § 15a InsO (Teichmann, Cyberbedingte Insolvenzreife und § 15a InsO: Zur straf- und haftungsrechtlichen Verantwortlichkeit der Geschäftsführung, ZInsO 2025, p. 2193–2207).

§ 15a InsO : Le délai qui ne connaît aucune exception

Le § 15a InsO est sans compromis. En cas de cessation de paiements, la demande d'ouverture de la procédure d'insolvabilité doit être déposée sans retard coupable, au plus tard dans un délai de trois semaines. En cas de surendettement, le délai est de six semaines. Ces délais ne peuvent être pleinement épuisés que s'il existe une réelle perspective de restructuration durable. S'il est établi d'emblée qu'il n'y a plus d'issue possible, il faut agir immédiatement.

Une cyberattaque comme cause d'insolvabilité ne change absolument rien à cette obligation. La loi ne fait pas de distinction entre une faillite causée par des erreurs de gestion et celle déclenchée par une attaque criminelle. L'obligation de dépôt de bilan est uniquement liée à la survenue objective de la cessation de paiements ou du surendettement – indépendamment de qui en est responsable (Teichmann, Cyberkrise und Insolvenzverschleppung, ZRI 2025, p. 877–884).

En clair, cela signifie : une direction qui, après une attaque par ransomware, espère que les systèmes informatiques seront bientôt rétablis et attend de ce fait pour déposer le bilan court un risque pénal considérable.

La sanction pour avoir attendu trop longtemps

Les conséquences pénales d'un dépôt de bilan tardif (retard de faillite) sont graves. Quiconque agit délibérément trop tard risque une peine d'emprisonnement allant jusqu'à trois ans ou une amende. Quiconque agit par négligence – c'est-à-dire qui aurait dû reconnaître l'état d'insolvabilité, mais ne l'a pas fait – risque tout de même une peine d'emprisonnement allant jusqu'à un an ou une amende (Teichmann, ZInsO 2025, p. 2193–2207).

Il est décisif qu'il s'agisse d'un délit d'omission : l'infraction réside déjà dans le fait de ne pas agir dans le délai imparti – et non pas seulement dans une intervention active. L'obligation incombe à tous les membres des organes de direction, c'est-à-dire à tous les gérants d'une GmbH ou à tous les membres du directoire d'une AG, y compris ceux qui exercent de fait – sans statut formel d'organe – la direction de l'entreprise.

L'interdiction de paiement : un autre piège après la survenue de l'état d'insolvabilité

Outre l'obligation de déposer le bilan, le § 15b InsO stipule une interdiction stricte de paiement à partir du moment où l'état d'insolvabilité est avéré. À partir de cette date, la direction ne peut plus effectuer de paiements sur le patrimoine de l'entreprise – à moins qu'ils ne soient absolument indispensables pour éviter des dommages encore plus importants.

Ce que cela signifie en pratique : quiconque, après la survenue de la cessation de paiements, verse encore des rançons à des maîtres-chanteurs de ransomware, paie des factures de fournisseurs ou vire des salaires, peut se rendre coupable non seulement de retard de faillite, mais aussi de banqueroute ou de favoritisme envers les créanciers. Les bonnes intentions ne protègent pas sur le plan pénal (Teichmann, ZInsO 2025, p. 2193–2207).

Le problème central : la connaissance de l'état d'insolvabilité lors de la panne du système informatique

Une question constitue un défi particulier : un dirigeant peut-il se décharger de sa responsabilité en faisant valoir qu'en raison de la panne informatique, il ne pouvait pas savoir du tout que l'état d'insolvabilité était survenu ?

La réponse du droit est d'une clarté déconcertante : non, pas vraiment. Certes, la jurisprudence reconnaît qu'une attaque par ransomware complique considérablement la saisie des données de gestion – les systèmes de comptabilité sont cryptés, les aperçus de trésorerie sont inaccessibles. Néanmoins, il incombe à la direction de se faire une idée de la situation par d'autres moyens : par des calculs manuels de trésorerie, l'analyse des soldes des comptes bancaires, l'estimation des coûts courants, la consultation des postes ouverts à partir des sauvegardes (Teichmann, ZRI 2025, p. 877–884).

Si l'arrêt de l'informatique empêche tout chiffre d'affaires et que les coûts courants ne peuvent plus être couverts, la direction ne peut pas simplement espérer une solution technique rapide sans analyser parallèlement l'état d'insolvabilité. Les tribunaux pénaux évaluent la question ex post – sur la base de la situation financière objective. La bonne intention de sauver l'entreprise ne protège guère des enquêtes s'il ressort des dossiers que l'entreprise était déjà en cessation de paiements depuis longtemps (Teichmann, ZRI 2025, p. 877–884).

Possibilités d'exonération : ce qui peut protéger les dirigeants

Teichmann examine également les possibilités d'exonération qui s'offrent aux dirigeants d'entreprise lors d'une cybercrise.

La meilleure exonération possible est d'obtenir rapidement un conseil externe professionnel. Quiconque fait appel, immédiatement après l'attaque, à un avocat spécialisé en droit de la faillite pour évaluer et documenter la situation agit conformément à ses devoirs. Si ce conseiller, après un examen minutieux, parvient à la conclusion que l'état d'insolvabilité n'est pas encore survenu et qu'une restructuration est réaliste, la direction peut s'appuyer sur cette expertise – à condition que les faits essentiels aient été communiqués de manière complète et conforme à la vérité.

Une deuxième possibilité d'exonération réside dans la documentation. Celui qui enregistre sans faille toutes les étapes de la gestion de crise – quelles mesures ont été prises et quand, quelles informations étaient disponibles et quand, quelles décisions ont été prises pour quelles raisons – crée une base permettant de prouver, en cas de doute, qu'il a agi sans négligence (Teichmann, ZRI 2025, p. 877–884).

Ce qui ne protège pas : le simple espoir d'un rétablissement de l'informatique. Attendre simplement après une cyberattaque sans vérifier systématiquement l'état d'insolvabilité constitue une négligence.

Obligations de protection préventives : le régime NIS 2 comme système d'alerte précoce

Teichmann montre clairement que les cyberrisques en droit des sociétés ne deviennent pas pertinents seulement après que l'attaque a eu lieu. Le régime NIS 2 poursuit une logique préventive : il oblige les entreprises à identifier et à gérer systématiquement les cyberrisques avant qu'ils ne menacent l'existence même de l'entreprise (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, p. 3–10).

Cela signifie que quiconque prend au sérieux les exigences de la directive NIS 2 – analyses de risques, plans de réponse aux incidents, sauvegardes hors ligne, segmentation du réseau, formations régulières – protège non seulement l'entreprise d'une attaque, mais s'épargne également une responsabilité pénale personnelle. En revanche, celui qui réduit systématiquement les budgets de sécurité informatique, laisse des failles connues sans correction et ne dispose pas de plans d'urgence s'expose, en cas de crise, à l'accusation d'avoir contribué à la faillite par une négligence grave de ses obligations d'organisation.

La dimension du droit des sociétés : responsabilité des dirigeants indépendamment de l'insolvabilité

Outre le droit pénal de l'insolvabilité, il existe une autre dimension de responsabilité : la responsabilité interne des dirigeants vis-à-vis de leur propre entreprise en vertu du droit des sociétés.

Le § 43 GmbHG (loi sur les SARL) et le § 93 AktG (loi sur les SA) obligent les gérants et les membres du directoire à agir avec la diligence d'un dirigeant d'entreprise ordonné et consciencieux. Aujourd'hui, cela inclut également une gestion appropriée de la sécurité informatique. S'il est prouvé qu'un dirigeant a agi de manière gravement négligente – par exemple en n'installant pas de sauvegardes malgré les avertissements, en n'appliquant pas les mises à jour de sécurité nécessaires ou en ignorant les normes de protection disponibles –, il est personnellement responsable envers l'entreprise des dommages qui en découlent (Teichmann, Steigende D&O-Haftungsrisiken durch Cyberkriminalität, Regulierung und KI, Compliance Berater 2026, p. 117–122).

Cette action en responsabilité peut également être exercée ultérieurement par l'administrateur judiciaire – dans l'intérêt des créanciers. Un dirigeant dont l'entreprise a fait faillite après une cyberattaque peut donc non seulement faire l'objet de poursuites pénales, mais aussi voir sa responsabilité civile engagée pour le préjudice subi.

Ce que les directeurs et les membres de conseils d'administration devraient faire concrètement aujourd'hui

Des recommandations d'action claires peuvent être déduites des recherches de Teichmann.

Premièrement : se préparer au pire avant qu'il n'arrive. Un plan d'urgence, qui définit quelle personne vérifie l'état d'insolvabilité à partir de quel moment et quel avocat doit être immédiatement impliqué, fait aujourd'hui partie de toute organisation d'entreprise. Ce plan doit exister par écrit et être connu – pas seulement être présent dans les esprits.

Deuxièmement : en cas d'urgence, agir immédiatement et de front. La crise informatique et l'éventuel état d'insolvabilité doivent être traités simultanément, et non l'un après l'autre. Pendant que l'équipe informatique rétablit les systèmes, la direction doit parallèlement analyser la situation financière et faire appel à un avocat spécialisé en faillites. Chaque jour qui passe sans que la question de l'insolvabilité ne soit examinée augmente le risque pénal.

Troisièmement : tout documenter. Quelles mesures ont été prises et quand ? Quelles informations étaient disponibles et quand ? Quelles décisions ont été prises pour quelles raisons ? Cette documentation est le moyen de preuve le plus important en cas de litige.

Quatrièmement : investir de manière préventive dans la sécurité informatique. Une entreprise qui dispose de sauvegardes hors ligne immédiatement prêtes à l'emploi après une attaque par ransomware se trouve dans une situation de départ totalement différente de celle d'une entreprise qui perd l'intégralité de ses données. Celui qui segmente les systèmes limite les dégâts. Ces investissements protègent l'entreprise – et en cas d'urgence, la personne physique du dirigeant (Teichmann, Cyberrisiken und Insolvenzgefahr, InsA 2026, p. 3–10).

Conclusion : être une victime ne protège pas de la sanction

Le cas Fasana montre de manière amère qu'une entreprise en Allemagne peut aujourd'hui être poussée en deux semaines d'une exploitation rentable à la faillite – par un seul acte criminel que la direction n'a ni voulu ni provoqué.

Pourtant, la loi ne prévoit aucune exception en faveur des victimes. Le dépôt de bilan doit être effectué à temps, quelle que soit la cause de la cessation de paiements. Celui qui attend trop longtemps en espérant le rétablissement de l'informatique s'expose personnellement à des poursuites pénales.

La seule réponse efficace est la prévention – une préparation technique, organisationnelle et juridique bien avant l'impression de la première lettre de chantage.

Toutes les sources citées se réfèrent à des publications scientifiques du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (en date de mai 2026).