D'après les résultats de recherche du Dr. iur. Dr. rer. pol. Fabian Teichmann.

La transformation numérique a fondamentalement modifié l'économie – et avec elle, le profil de risque de chaque entreprise. Les attaques par rançongiciel paralysent les cliniques, les deepfakes poussent les services financiers à effectuer des virements de plusieurs millions, et les cyberattaques peuvent mener des entreprises entières à la faillite. Ce qui ressemble à un scénario futuriste dystopique est depuis longtemps une amère réalité pour les entrepreneurs.

Le Dr. Fabian Teichmann, avocat et expert en informatique légale basé en Suisse, a mené d'importants travaux de recherche ces dernières années : plus d'une centaine d'articles scientifiques, plusieurs monographies et de nombreuses contributions dans des revues spécialisées de premier plan dressent un tableau précis et fondé sur des preuves de l'état de la menace – et apportent aux entrepreneurs des réponses concrètes sur les mesures juridiques, organisationnelles et techniques à prendre. Cet article résume les conclusions centrales de ce corpus de recherche.

1. La nouvelle dimension de la menace : le rançongiciel comme risque d'entreprise

Aujourd'hui, le rançongiciel n'est plus un problème technique marginal – c'est un modèle commercial organisé de réseaux criminels. Teichmann décrit précisément cette évolution dans plusieurs contributions : des groupes de cybercriminels hautement professionnels travaillent de manière industrielle avec une répartition des tâches. Des courtiers d'accès initial (Initial Access Brokers) obtiennent d'abord un accès aux réseaux, revendent cet accès sur le Darknet, et c'est seulement ensuite qu'un opérateur de rançongiciel chiffre les données. Il s'agit de plus en plus de double extorsion (Double Extortion) : les auteurs exfiltrent des données confidentielles avant le chiffrement et menacent en outre de les publier (Teichmann, Ransomware-Erpressung: Umgang, Rechtsfragen und Cyberversicherung, ZBJV 2025, p. 553–578).

Particulièrement préoccupant : aucune entreprise n'est "trop petite" ou professionnellement "sans intérêt" pour les maîtres-chanteurs utilisant des rançongiciels. Le choix des victimes est souvent opportuniste – les attaquants scannent à grande échelle pour trouver des systèmes vulnérables. Les criminels professionnels calculent le montant de la rançon de manière à ce qu'il soit juste en dessous des coûts prévus d'une restauration des données, ce qui incite à payer (Teichmann, ZBJV 2025, p. 553–578).

La dimension des dommages est énorme. Teichmann documente l'attaque contre Change Healthcare en 2024, au cours de laquelle 6 téraoctets de données médicales sensibles ont été dérobés, impactant environ 100 millions de personnes (Teichmann, Ransomware-Bedrohung im Gesundheitswesen, Compliance Berater 2025, p. 227–233). En Europe, une attaque contre un prestataire de diagnostics londonien en 2023 a montré que des milliers d'opérations ont dû être annulées et des patients d'urgence redirigés – preuve évidente que les attaques par rançongiciel peuvent directement mettre des vies en danger (Teichmann, Compliance Berater 2025, p. 227–233).

Les petites et moyennes entreprises sont également touchées depuis longtemps. En guise de signal d'alarme pour les PME, Teichmann analyse le cas de Fasana (2025), où une cyberattaque a conduit directement à la faillite d'une entreprise (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, p. 6–13 ; idem, Vom Cyberangriff in die Insolvenz – Der Fall Fasana (2025) und Lehren für den Mittelstand, InTeR 2025, p. 167–171).

2. Quand l'intelligence artificielle devient une arme : Deepfakes et fraude au président

Outre les rançongiciels, les recherches de Teichmann identifient une seconde dimension de menace d'autant plus inquiétante : l'utilisation de l'intelligence artificielle générative pour des escroqueries.

Début 2024, une collaboratrice financière à Hong Kong a transféré 25 millions de dollars américains à des escrocs après avoir reçu des instructions lors d'une visioconférence de la part de prétendus supérieurs. Ce qu'elle ne soupçonnait pas, c'est que ni le directeur financier ni ses collègues n'étaient réellement connectés : des criminels avaient simulé leur apparence et leur voix grâce à un deepfake (Teichmann, KI-gestützte Betrugsmaschen – Deepfakes als neue Herausforderung für Fraud Detection, Jusletter, 30 juin 2025).

Ces incidents ne sont pas des cas isolés. Teichmann fait référence à des prévisions selon lesquelles les pertes dues aux fraudes par IA générative pourraient passer de 12,3 milliards à 40 milliards de dollars américains d'ici 2027 aux États-Unis seulement – soit un taux de croissance annuel supérieur à 30 %. Les incidents de deepfake dans le secteur de la fintech ont augmenté de 700 % en 2023 (Teichmann, Jusletter, 30 juin 2025).

Le piège : les deepfakes n'ont pas besoin d'être parfaits pour tromper efficacement. Sur le plan psychologique, la tendance humaine à faire confiance à ce que l'on voit ou entend agit comme un amplificateur. Même s'il existe des incohérences subtiles, le contexte et la disposition naturelle à la confiance peuvent masquer les doutes restants (Teichmann, Jusletter, 30 juin 2025). Cela a des conséquences pratiques directes : le principe habituel consistant à « rappeler le supérieur en cas de doute » ne fonctionne pas si l'identification téléphonique par clonage de voix (Voice-Cloning) peut également être contournée.

Dans une autre contribution expérimentale, Teichmann étudie également de manière directe l'utilisation de l'IA générative dans le contexte de la fraude au président (Teichmann, CEO Fraud im Kontext (generativer) künstlicher Intelligenz – Eine experimentelle Untersuchung, ZWH 2024, p. 1–8). Résultat : les mécanismes de contrôle classiques tels que le principe du double contrôle (quatre yeux) échouent lorsque l'authenticité visuelle et acoustique de l'usurpateur est parfaitement simulée.

3. La dimension juridique : la responsabilité des dirigeants d’entreprise aujourd'hui

La responsabilité personnelle des dirigeants d'entreprise lors de cyberincidents est un thème central dans les recherches de Teichmann. Ce n'est pas un problème académique : il s'agit d'un enjeu d'une pertinence pratique immédiate pour tout gérant et membre de conseil d'administration.

La directive NIS 2 et ses conséquences pour la direction des entreprises

La directive européenne NIS 2 (UE 2022/2555), transposée en Allemagne par la loi d'application NIS 2 (NIS2UmsuCG), exige des instances dirigeantes non seulement qu’elles s'assurent de la mise en place de mesures techniques appropriées, mais également qu'elles participent activement à des formations. Teichmann analyse cette obligation en détail dans plusieurs contributions : les directions d'entreprise doivent connaître et gérer activement les risques de cybersécurité – l'ignorance ne protège pas contre la responsabilité (Teichmann, NIS2-Schulungspflicht der Geschäftsleitung, Computer und Recht 2025, p. 718–725 ; idem, Strafbare Non-Compliance: Persönliche Haftung von Geschäftsleitern und Organen bei Verstößen gegen die NIS2-Richtlinie, CyberStR 2026, p. 65–73).

Particulièrement contraignant : pour les entités essentielles, les violations des obligations NIS 2 peuvent être sanctionnées par des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Certaines lois nationales de transposition permettent en outre de suspendre temporairement la direction de ses fonctions (Teichmann, Auswirkungen der EU-NIS-2-Richtlinie auf Unternehmen, ZWH 2026, p. 6–11).

Cybercrise et insolvabilité : un lien sous-estimé

Teichmann révèle un lien de risque encore peu pris en compte en pratique : la liaison entre cyberattaque et obligation de déclaration d'insolvabilité. Lorsqu'une cyberattaque par rançongiciel provoque ou menace de provoquer l'insolvabilité d'une entreprise, les obligations du droit de l'insolvabilité s'appliquent (notamment l'article 15a de l'InsO en Allemagne). Les dirigeants incapables d'agir ou hésitants risquent non seulement une responsabilité civile, mais aussi des sanctions pénales (Teichmann, Cyberbedingte Insolvenzreife und § 15a InsO: Zur straf- und haftungsrechtlichen Verantwortlichkeit der Geschäftsführung, ZInsO 2025, p. 2193–2207 ; idem, Cyberkrise und Insolvenzverschleppung – Strafrechtliche Risiken bei verspäteter Reaktion auf Ransomware-Angriffe, ZRI 2025, p. 877–884).

L'approche préventive du régime NIS 2 vise précisément à cela : elle oblige les entreprises à identifier et à gérer les cyber-risques avant qu'ils ne menacent l'existence même de l'organisation (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, p. 3–10).

Responsabilité des mandataires sociaux (D&O) : quand la cybercriminalité touche personnellement les dirigeants

Teichmann analyse l'augmentation de la responsabilité civile des mandataires sociaux (RC Directors & Officers) en tant que conséquence interdisciplinaire de la cybercriminalité, de la réglementation et de l'IA. Les membres du directoire et les gérants qui négligent les obligations fondamentales de sécurité informatique sont de plus en plus tenus personnellement responsables – tant envers l'entreprise qu'envers les tiers (Teichmann, Steigende D&O-Haftungsrisiken durch Cyberkriminalität, Regulierung und KI, Compliance Berater 2026, p. 117–122).

4. Le Cyber Resilience Act : la cybersécurité devient une obligation de produit

L'une des évolutions les plus marquantes du droit européen est le Cyber Resilience Act (CRA), adopté en octobre 2024, qui sera obligatoire pour les nouveaux produits à partir du 11 décembre 2027. Teichmann a analysé de manière approfondie cet acte juridique.

Le CRA marque un changement de paradigme : la cybersécurité est élevée – au même titre que la sécurité électrique – au rang de propriété contraignante des produits (Teichmann, Cybersicherheit als Produkteigenschaft – Der Cyber Resilience Act der Europäischen Union, NJW 2025, p. 2577–2582). Qu'est-ce que cela implique pour les entreprises ?

Les fabricants de produits connectés – qu'il s'agisse d'appareils de domotique, de systèmes de contrôle industriels ou de logiciels – devront à l'avenir :

• Minimiser les failles de sécurité lors de la mise sur le marché (aucune vulnérabilité connue non corrigée lors de la livraison)

• Implémenter des configurations par défaut sécurisées (pas de mots de passe par défaut)

• Fournir des mises à jour de sécurité pendant au moins cinq ans

• Établir une nomenclature logicielle (Software Bill of Materials - SBOM) – une liste de tous les composants logiciels utilisés

• Signaler les incidents de sécurité dans un délai de 24 heures

(Teichmann, NJW 2025, p. 2577–2582 ; idem, Der EU Cyber Resilience Act – Anforderungen aus strafrechtlicher, Compliance-, produktsicherheitsrechtlicher und Governance-Perspektive, RIW 2025, p. 777–785)

Les entreprises utilisant des produits connectés doivent également en comprendre les implications. L'obligation de diligence relative à la chaîne d'approvisionnement signifie que celui qui intègre des composants tiers non sécurisés partage la responsabilité. Teichmann souligne que même les composants apparemment simples ne doivent pas être négligés, car les attaquants exploitent souvent des chaînes de vulnérabilités pour s'introduire dans de grands systèmes par de petites portes d'entrée (Teichmann, The EU Cyber Resilience Act: Hybrid governance, compliance, and cybersecurity regulation in the digital ecosystem, Computer Law & Security Review 2025, p. 106209).

5. Infrastructures critiques : quand la cyberattaque devient un danger public

La recherche de Teichmann se consacre intensément à la vulnérabilité particulière des infrastructures critiques – hôpitaux, fournisseurs d'énergie, municipalités, institutions financières – et aux conséquences juridiques pour leurs exploitants.

Secteur de la santé

Les attaques par rançongiciel contre les cliniques ne sont pas seulement dévastatrices sur le plan économique, elles peuvent également mettre directement des vies en danger. En 2020, la clinique universitaire de Düsseldorf a dû suspendre temporairement les soins d'urgence suite à une attaque par rançongiciel ; le ministère public a alors examiné la possibilité d'engager des poursuites pour homicide par négligence (Teichmann, Ransomware-Angriffe auf Krankenhäuser – Strafrechtliche, Medizinrechtliche und Datenschutzrechtliche Herausforderungen, Zeitschrift für Lebensrecht 2025, p. 349–366).

Teichmann analyse également les obligations de droit pénal liées à la sécurité informatique dans les hôpitaux selon la loi allemande sur la sécurité informatique 2.0 (IT-Sicherheitsgesetz 2.0), la loi-cadre KRITIS et l'article 391 du SGB V (Teichmann, IT-Sicherheit im Krankenhaus – Neue Pflichten durch IT-SiG 2.0, KRITIS-Dachgesetz und § 391 SGB V, MedR 2025, p. 959–968). Le message central : la sécurité informatique relève de la responsabilité de la direction – les dirigeants d'hôpitaux ne peuvent pas se cacher derrière la complexité technique.

Énergie et municipalités

Les installations d'énergies renouvelables sont elles aussi de plus en plus la cible d'attaques. Teichmann étudie les cyber-risques spécifiques pour les parcs éoliens, les centrales solaires et d'autres infrastructures, et développe des options de régulation (Teichmann, Cyberangriffe auf Erneuerbare-Energien-Anlagen – Risikoanalyse und Regulierungsoptionen, REE 2025, p. 143–150). Pour les services techniques municipaux et les fournisseurs d'énergie locaux, il analyse les impacts de la directive NIS 2, y compris pour les petites et moyennes entreprises qui n'ont, dans de nombreux cas, pas encore mis en œuvre de mesures de protection suffisantes (Teichmann, NIS-2 und die Anwendung auf kleine und mittlere Stadtwerke, EnWZ 2025, p. 400–407).

Les administrations municipales font face à des défis particuliers : parcs informatiques hétérogènes, systèmes hérités (legacy), pénurie chronique de personnel qualifié. Teichmann montre que les cyber-risques y sont souvent perçus comme des problèmes isolés et ponctuels, alors que les déficits structurels de gouvernance constituent la véritable vulnérabilité (Teichmann, Cyberangriffe auf kommunale IT-Infrastrukturen, CyberStR 2025, p. 23–32 ; idem, Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf, ZRP 2025, p. 184–187).

Secteur financier

Dans le domaine financier, Teichmann analyse le règlement sur la résilience opérationnelle numérique (DORA), qui impose depuis janvier 2025 des règles de sécurité informatique uniformes dans toute l'UE pour les institutions financières. DORA va au-delà des exigences classiques en matière de cybersécurité : il exige une gestion des risques liés aux TIC, des tests de résilience, un contrôle des tiers prestataires et une responsabilité claire de la gouvernance jusqu'au niveau du conseil d'administration (Teichmann, Digital Operational Resilience Act (DORA) – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, p. 2760–2770 ; idem, DORA – Teil 3: Governance-Verantwortung und Compliance-Risiken, ZRFC 2025, p. 279–283).

6. Whistleblowing, conformité et culture d'entreprise

La recherche de Teichmann sur la conformité (Compliance) et l'alerte professionnelle (Whistleblowing) offre aux entrepreneurs des repères essentiels pour l'élaboration de leurs structures internes.

La loi allemande sur la protection des lanceurs d'alerte (HinSchG), entrée en vigueur en 2023, pose de nouveaux défis organisationnels et juridiques aux entreprises. Teichmann n'analyse pas seulement les obligations de protection des lanceurs d'alerte, mais aussi les risques d'abus : l'IA générative pourrait être utilisée pour générer de fausses alertes à grande échelle et surcharger les systèmes de conformité (Teichmann, Das Hinweisgeberschutzgesetz im Kontext generativer künstlicher Intelligenz, NZWiSt 2023, p. 289–296).

Son analyse du renversement de la charge de la preuve selon l'article 36 de la HinSchG est également importante : dans les procédures de contestation de licenciement, c'est à l'employeur de prouver que le licenciement n'était pas lié à un signalement. Cela a des conséquences pratiques majeures pour les décisions relatives au personnel consécutives à un signalement interne (Teichmann, Beweislastumkehr des § 36 HinSchG im Kündigungsschutzverfahren und ihr Konflikt mit Verschwiegenheitspflichten, ZIP 2025, p. 2477–2482).

Sur le thème des incitations à la conformité – comment les entreprises peuvent-elles promouvoir des cultures de conformité internes ? – Teichmann a présenté des travaux de recherche approfondis montrant que les incitations financières ne suffisent pas à elles seules : la réalité sociale et psychologique du milieu de l'entreprise façonne de manière décisive la perception des règles de conformité (Teichmann & Wittmann, Psychology and White Collar Crime – Compliance Recommendations Based on the Social and Psychological Reality Dictating Perception, Journal of Financial Crime 2024, p. 408–415).

7. Recommandation d'actions concrètes pour les entrepreneurs

L’analyse globale des travaux de recherche de Teichmann permet de tirer les conclusions pratiques suivantes pour les dirigeants d'entreprise :

Besoins d'action immédiats

Faire de la cybersécurité une priorité absolue de la direction. La directive NIS 2 exige que les dirigeants d'entreprise soient activement impliqués dans les sujets liés à la cybersécurité – y compris par des formations personnalisées. Il ne s'agit pas d'une simple recommandation, mais d'une obligation légale entraînant des conséquences en matière de responsabilité (Teichmann, Cybersicherheit als Führungsaufgabe: Die BSI-Handreichung zur NIS-2-Schulungspflicht, BB 2026, p. 74–77).

Mettre en place des plans de réponse aux incidents (Incident Response). Une attaque par rançongiciel n'est pas une question de « si », mais de « quand ». Les entreprises qui n'ont pas de plans d'urgence seront contraintes de prendre des décisions improvisées sous une pression maximale en cas de crise – avec les risques de responsabilité afférents (Teichmann & Boticiu, The Importance of Cybersecurity Incident Response Plans for Law Firms, Jusletter, 3 avril 2023).

Connaître et respecter les obligations de déclaration. Selon NIS 2, une obligation de déclaration de 24 heures auprès de l'autorité compétente s'applique en cas de cyberincident majeur. Tout retard dans le signalement expose à des amendes considérables (Teichmann, Die neue 24-Stunden-Meldepflicht für Cyberangriffe nach ISG, Jusletter, 29 septembre 2025).

Mesures à moyen terme

Contrôler la sécurité de la chaîne d'approvisionnement. Les cyberattaques se font de plus en plus par le biais de fournisseurs tiers et de sous-traitants. Les entreprises doivent répondre non seulement de leurs propres failles de sécurité, mais aussi des vulnérabilités présentes dans les composants tiers intégrés (Teichmann, IT-Sicherheit in der Lieferkette, Der Betriebswirt 2024, p. 251–265).

Établir des mesures de prévention contre les deepfakes. Les méthodes d'authentification classiques ne suffisent plus. Les entreprises ont besoin de mesures techniques et organisationnelles efficaces face aux scénarios de deepfake très convaincants – par exemple, la définition de mots de code pour les demandes de virement inhabituelles ou le principe de double contrôle avec rappel indépendant via des numéros connus (Teichmann, Deepfake-Imitation und Betrug durch KI-generierte Medien, Kriminalistik 2026, p. 194–200).

Examiner attentivement la cyber-assurance. Souscrire à une cyber-assurance peut s'avérer utile – mais uniquement si les conditions de couverture correspondent aux risques réels et, en particulier, si des violations de sanctions n'entraînent pas une exclusion de garantie (Teichmann, ZBJV 2025, p. 553–578).

Perspective stratégique

Anticiper les évolutions réglementaires. Le Cyber Resilience Act entrera en vigueur en 2027 – commencer dès à présent à en intégrer les exigences permet d'éviter des conflits de ressources de dernière minute (Teichmann, The cyber resilience act as a new paradigm for product security: a compliance roadmap, International Cybersecurity Law Review 2025, p. 1–17).

Aborder la conformité comme un avantage concurrentiel. Les entreprises démontrant des normes élevées de cybersécurité bénéficient d'atouts dans l'acquisition de clients, dans le secteur des assurances et lors d'appels d'offres publics. La conformité n'est pas une simple dépense, c'est un actif stratégique (Teichmann & Wittmann, Compliance Cultures and the Role of Financial Incentives, Journal of Financial Crime 2024, p. 226–232).

Conclusion : La cybersécurité relève de la direction – preuve scientifique à l’appui

Les travaux de recherche du Dr. Fabian Teichmann dressent un constat cohérent : la menace de la cybercriminalité n’est pas un danger abstrait concernant uniquement les autres, mais un risque concret et croissant pour chaque entreprise. En parallèle, le législateur a réagi – avec les directives NIS 2, DORA, le Cyber Resilience Act et les lois de transposition nationales qui engagent personnellement la responsabilité des dirigeants d’entreprise.

Ce qui rend les recherches de Teichmann particulièrement précieuses, c'est l'association d'analyses juridico-techniques avec la réalité empirique de cyberattaques concrètes. Des deepfakes d'une valeur de 25 millions de dollars américains, des faillites causées par des rançongiciels, des hôpitaux coupés de leurs services d'urgence – ce ne sont pas des scénarios d'anticipation, mais bien une réalité documentée d'aujourd'hui.

Pour les entrepreneurs, cela implique que celui qui connaît ses obligations réglementaires, comprend la nature des menaces et agit de manière préventive peut non seulement limiter les risques de responsabilité, mais également faire de la cybersécurité un véritable avantage concurrentiel. Les fondements scientifiques sont posés.

Toutes les sources citées dans cet article se réfèrent à des publications universitaires du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Sa bibliographie complète est consultable dans son répertoire des publications (à jour en mai 2026).