NUMERO D’INSCRIPTION AU REPERTOIRE GENERAL : 2025 002286

TRIBUNAL DE COMMERCE DE BREST

ORDONNANCE DE REFERE DU 19 NOVEMBRE 2025

DEMANDEUR:

Société TRACE (SARL),

[Adresse 1]

Inscrite sous le n°533 899 167 au R.C.S. de, [Localité 1]

REPRESENTANT : Maître EDOU Victor

Avocat plaidant, avocat au barreau de Paris

Maître CAHOURS

Avocat correspondant, avocat au barreau de Brest

DEFENDEUR : Société, [I], [J] (SAS),

[Adresse 2]

Inscrite sous le n°323 789 990 au R.C.S. de, [Localité 1]

REPRESENTANT : Maître Emmanuel CUIEC

Avocat au barreau de Brest

DEBATS A L’AUDIENCE PUBLIQUE DU 22/10/2025

JUGE DES REFERES:

Monsieur Jean-Yves LE DREFF

GREFFIER : Maître Béatrice APPERE-BONDER

LES FAITS ET LA PROCEDURE :

La société TRACE est une société d’architecture inscrite à l’ordre des architectes de Bretagne. Elle exerce sur deux sites :, [Localité 1] et, [Localité 2]. Afin de rénover son parc informatique et assurer la protection et le support de ses donnée et équipements, elle a fait appel en remplacement de son fournisseur ALSYONE à la société, [I], [J], en qualité de prestataire informatique en régularisant trois contrats :

* Fournitures, infrastructures et postes

* Prestation de protection antivirus

* Contrat de support.

Ces contrats, signés en août et septembre 2023, prévoyaient un calendrier allant du 4 octobre 2023 pour l’installation en réseau des équipements jusqu’à la mise en œuvre des sauvegardes externalisées le 20 octobre 2023.

Le 2 novembre 2023, la Société TRACE constatant qu’elle n’avait plus accès ni aux serveurs ni à ses données, signalait immédiatement le problème à la société, [I], [J] et découvrait avoir subi une cyberattaque sur ses serveurs. Le 4 novembre la société TRACE déposait plainte auprès du commissariat de, [Localité 1].

La société, [I], [J], après échanges avec la société TRACE, lui indiquait qu’elle n’était pas en mesure de rétablir l’accès aux données et que les sauvegardes externalisées n’avaient pas fonctionné.

Par lettre recommandée du 9 novembre 2023, la société TRACE mettait en demeure, [I], [J] de :

* Remettre en service l’ensemble de ses serveurs

* Adresser une copie de l’ensemble de ses données afin qu’elle puisse reprendre une activité normale.

Par courrier recommandé du 16 novembre 2023, la société, [I], [J] indiquait être dans l’incapacité de communiquer les sauvegardes qui étaient censées avoir été réalisées.

Dans ce contexte, la société TRACE a fait appel à la société CYBEX qui a procédé à l’analyse de l’incident. Celle-ci a remis un rapport le 19 novembre 2023 confirmant que : Une intrusion était intervenue dans les systèmes dès le 24 octobre 2023 et qu’il avait été compromis dans la nuit du 31 octobre au 1 er novembre 2023 L’intrusion avait été facilitée par l’absence de mise à jour et d’antivirus

L’échec du système de sauvegarde ne permettait pas de récupérer les données.

La société TRACE a également fait appel à la société DATABACK pour tenter de récupérer ses données. Par mail du 23 novembre 2023, la société DATABACK indiquait qu’aucune donnée n’était récupérable.

Par lettre recommandée du 30 novembre 2023, la société TRACE rappelait avoir perdu ses archives, ses données administratives et dossiers en cours et invitait la société, [I], [J] à lui adresser les coordonnées de son assureur.

Aucune réponse satisfaisante n’ayant été apportée à cette demande, la société TRACE a saisi, par acte extrajudiciaire en date du 17 janvier 2024, le tribunal de commerce de Nantes aux fins principalement de désigner un expert informatique.

Par ordonnance en date du 7 janvier 2025, le tribunal de commerce de Nantes, statuant sur l’exception d’incompétence soulevée par la société, [I], [J], se dessaisissait du dossier au profit du juge des référés du tribunal de commerce de Brest en y renvoyant la cause et les parties.

La société TRACE a repris ses réclamations devant le juge des référés du tribunal de commerce de Brest, et déposé des conclusions à la suite du renvoi de l’affaire par la juridiction nantaise.

MOYENS ET PRETENTIONS DES PARTIES :

POUR LA SOCIETE TRACE

La société TRACE écarte la fin de non-recevoir soulevée par la société, [I], [J] relative au fait que la procédure de conciliation prévue aux conditions générales de vente de ladite société n’a pas été respectée ; ce qui rendrait la société TRACE irrecevable en ses prétentions. Elle rappelle la clause de conciliation ne fait pas obstacle à l’introduction en justice sur le fondement de l’article 145 du code de procédure civile.

Elle invoque l’existence d’un litige justifiant la mesure d’instruction sollicitée. Ainsi, il appartenait selon elle à la société, [I], [J] d’assurer la protection de ses données et de son réseau et elle a donc manqué à ses obligations telles que décrites dans les trois contrats signés entre les parties. Il en résulterait que l’existence de faits rendant plausible le bien-fondé de l’action en justice est établie.

C’est pourquoi la société TRACE considère qu’elle est bien fondée à solliciter une mesure d’instruction permettant d’établir la cause de la cyberattaque, de déterminer les conditions dans lesquelles cette attaque a pu intervenir ou être facilitée et de déterminer l’étendue des atteintes à son matériel et à ses données ainsi que le préjudice subi.

C’est dans ce contexte que la société TRACE sollicite la désignation de deux experts, informatique et financier.

Par ailleurs, la société TRACE a retiré sa demande de communication de l’attestation d’assurance responsabilité civile de la société, [I], [J] lors de l’audience de référé du 22 octobre 2025.

Enfin s’agissant de la demande reconventionnelle de la société, [I], [J] de payer des factures échues, elle en conteste la validité et le caractère exigible.

La société TRACE sollicite au visa des dispositions de l’article 145 du Code de procédure civile, de :

* Juger l’action de la société TRACE recevable

* Désigner tel expert informatique qu’il plaira avec pour mission de :

* Procéder à l’analyse l’ensemble des fichiers, réseaux, serveurs et NAS appartenant à la société TRACE

* Donner son avis sur la cause de la cyberattaque intervenue dans la nuit du 31 octobre au 1 er novembre 2023

* Donner son avis sur le niveau de protection mis en œuvre par la société, [I]

* Donner son avis sur le caractère récupérable ou non des données censées avoir été sauvegardées par la société, [I]

* Donner son avis sur les manquements de la société, [I] à sa mission telle qu’elle résulte des trois contrats régularisés

* Désigner tel expert financier qu’il plaira ayant pour mission de donner son avis sur le préjudice financier subi par la société TRACE du fait de la cyberattaque intervenue et des manquements de la société, [I]

* Fixer la provision à valoir sur les honoraires des Experts.

* Ordonner la communication sous astreinte de l’attestation d’assurance de responsabilité civile professionnelle de la société, [I], [J] pour les années 2023 et 2024, sous astreinte d’un montant de 100 euros par jour commençant à courir à compter de la signification de l’ordonnance à intervenir.

* Juger que la demande reconventionnelle de la société, [I], [J] se heurte à une contestation sérieuse

* Débouter la société, [I], [J] de sa demande de provision

* Condamner la société, [I], [J] à régler à la société TRACE la somme de 3.000 euros au titre de l’article 700 du CPC, ainsi qu’aux entiers dépens

POUR LA SOCIETE, [I], [J] :

La saisine par la société TRACE du juge des référés du tribunal de commerce de Brest a été faite selon la société, [I], [J] sans respecter les stipulations contractuelles faisant la loi des parties qui prévoient le recours à une procédure amiable obligatoire de conciliation. La demande de la société TRACE serait donc irrecevable.

Par ailleurs, la société TRACE ne disposerait pas de motif légitime à agir. La cyberattaque dont elle a fait l’objet serait intervenue avant la mise en production des contrats régularisés entre les parties; les procès-verbaux de mise en production étant daté du 4 décembre 2023, i.e. postérieurement à l’intrusion constatée dans les système et réseau de la société TRACE.

Les prétentions de la société TRACE ne seraient donc pas fondées et la demande d’expertise formulée par la demanderesse, en ce qu’elle est présentée à l’encontre de la société, [I], [J] serait injustifiée.

Enfin la société, [I], [J] présente une demande reconventionnelle en paiement des factures demeurées impayées par la société TRACE, quand bien même elle en serait incontestablement redevable.

Il est sollicite au visa des articles 122, 124, 700, 872, 873 du Code de Procédure Civile, des articles 1103, 1104, 1193 du Code Civil, des pièces versées aux débats, de la jurisprudence, de l’ordonnance de référé de monsieur le président du tribunal de commerce de Nantes du 7 janvier 2025,

* Dire et juger irrecevables les demandes de la société TRACE, faute de mise en œuvre de la procédure de conciliation préalable,

* Dire et juger non-fondées les demandes de la société TRACE comme ne reposant pas sur un motif légitime,

* Débouter la société TRACE de toutes ses demandes, fins et conclusions,

* Constater que la société, [I], [J] a déféré à la demande de communication de ses attestations d’assurance de responsabilité civile professionnelle, et Débouter la société TRACE de sa demande à ce titre,

* Faire droit à la demande reconventionnelle de la société, [I], [J],

* Condamner la société TRACE à verser à la société, [I], [J] une provision d’un montant de 25.000 € à valoir sur les sommes dues à la concluante,

* Condamner la société TRACE à verser à la société, [I], [J] la somme de 3.000 € sur le fondement des dispositions de l’article 700 du code de procédure civile,

* La condamner aux entiers dépens.

APRES AVOIR ENTENDU LES PARTIES A L’AUDIENCE DU 22 OCTOBRE 2025, NOUS, JUGE DES REFERES, AVONS PRIS NOTRE ORDONNANCE EN CES, [Localité 3] :

Sur le recours à la procédure amiable de conciliation et la recevabilité de la demande de la société TRACE :

Il résulte de l’article 145 du code de procédure civile que : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé ».

La clause de conciliation des conditions générales de vente de la société, [I], [J] ne faisant pas obstacle à l’introduction en justice sur le fondement de l’article 145 du code de procédure civile, la demande de la société TRACE sera jugée recevable.

Sur le bien-fondé des demandes de la société TRACE :

Les sociétés TRACE et, [I], [J] s’opposent au sujet de la responsabilité des conditions de la cyberattaque constatée le 2 novembre 2023 et de ses conséquences.

La société TRACE n’a pas réussi à récupérer l’intégralité de ses données informatique, elle est susceptible de rechercher la responsabilité de la société, [I], [J] notamment au titre des conséquences de cette cyberattaque intervenue pendant la période de mise en place de la nouvelle solution informatique proposée par la société, [I], [J].

La société TRACE justifie d’un intérêt légitime à la mise en œuvre d’une expertise judiciaire pour déterminer les causes et conséquences de la cyberattaque, avant le cas échéant de mettre en cause la responsabilité de la société, [I], [J] sur le fond.

Nous ferons droit à la demande d’expertise.

Sur la demande de désignation d’un expert informatique et d’un expert financier :

La société TRACE a perdu l’accès à des données archivées et administratives. Elle a également connu des difficultés de fonctionnement ayant pu entrainer des pertes financières.

Nous ferons donc droit à la demande de nomination d’un expert informatique d’une part et financier d’autre part avec la mission suivante :

* Procéder à l’analyse de l’ensemble des fichiers, réseaux, serveurs et NAS appartenant à la société TRACE

* Donner son avis sur la cause de la cyberattaque intervenue dans la nuit du 31 octobre au 1 er novembre 2023

* Donner son avis sur le niveau de protection qui incombait la société, [I] en vertu des dispositions contractuelles résultant des trois contrats signés entre les parties.

* Donner son avis sur le caractère récupérable ou non des données perdues.

* Donner son avis sur le préjudice financier subi par la société TRACE du fait de la cyberattaque intervenue et de ses conséquences pour ladite société.

Sur la fixation de la provision à valoir sur les honoraires des experts :

La société TRACE fera l’avance des frais d’expertise

Sur la demande formulée par la société TRACE à la société, [I], [J] de communiquer ses attestations d’assurance de responsabilité civile professionnelle :

La communication de ces documents étant intervenue, la société TRACE a renoncé à sa demande lors de l’audience du 22 octobre 2025.

Il n’y a plus lieu de statuer sur cette demande.

Sur la demande reconventionnelle de la société, [I], [J] :

La société, [I], [J] produit en support de sa demande reconventionnelle un grand livre comptable qui reprend une liste de factures qui n’auraient pas été réglées par la société TRACE. La seule facture produite en support de sa demande est celle datée du 30 novembre 2023 relative à « Remédiation attaque cyber – Facture au réalisé », dont le bien-fondé est contesté par la société TRACE. Pour les autres sommes reprises dans le grand livre daté du 28 août 2025, la société, [I], [J] ne produit aucune facture ni justificatif de demande de recouvrement ou mise en demeure de payer.

Nous rejetterons donc la demande reconventionnelle de la société, [I], [J] de condamner la société TRACE à lui verser la somme de 25 000 euros à valoir sur les sommes qui lui seraient dues.

Sur les dépens et l’article 700 du code de procédure civile :

La société, [I], [J] succombant en sa demande reconventionnelle sera condamnée aux dépens, ainsi qu’au paiement des frais non compris dans les dépens soit une indemnité de 1 000 euros.

PAR CES MOTIFS,

Statuant par ordonnance, en premier ressort et contradictoire, remise à disposition au greffe à la date communiquée aux parties, après avoir délibéré conformément à la loi,

* Déclarons l’action de la société TRACE recevable.

* Constatons que la société, [I], [J] a déféré à la demande de communication de ses attestations d’assurance de responsabilité civile professionnelle et que la société TRACE en a donné acte en audience.

* Faisons droit à la demande d’expertise tous droits et moyens des parties restant réservés quant au fond.

* Désignons Monsieur, [S], [T], expert judiciaire en ingénierie des projets informatiques (E-01.04) près la cour d’appel de Rennes Sis :, [Adresse 3], mèl :, [Courriel 1]

Avec la mission suivante :

* Procéder à l’analyse de l’ensemble des fichiers, réseaux, serveurs et NAS appartenant à la société TRACE.

* Donner son avis sur la cause de la cyberattaque intervenue dans la nuit du 31 octobre au 1 er novembre 2023.

* Donner son avis sur le niveau de protection qui incombait la société, [I] en vertu des dispositions contractuelles résultant des trois contrats signés entre les parties.

* Donner son avis sur le caractère récupérable ou non des données perdues.

* Désignons Madame, [A], [N], expert judiciaire en comptabilité générale notamment (D-01.01) près la cour d’appel de Rennes,

* Sis :, [Adresse 4]

* Mèl :, [Courriel 2]

Avec la mission de :

* Donner son avis sur le préjudice financier subi par la société TRACE du fait de la cyberattaque intervenue et de ses conséquences pour ladite société.

* Disons que les experts accompliront leur mission en présence des parties ou celles-ci dûment convoquées.

* Disons que ces expertises se dérouleront dans les formes et conditions prescrites, conformément aux articles 232 et suivants du code de procédure civile sous le contrôle de M., [L], [B] juge chargé du contrôle des expertises judiciaires, auquel les experts feront connaître la date de chacune de leurs opérations et qu’ils tiendront informé de l’avancement de leurs travaux ou des difficultés qui feraient obstacle à l’accomplissement de leur mission dans le délai prescrit.

* Disons que les experts pourront s’adjoindre tout sapiteur de leur choix dans une spécialité autre que la leur en application de l’article 278-1 du Code de Procédure Civile.

* Disons qu’en cas d’empêchement ou s’il existe une cause de récusation, il sera pourvu au remplacement des experts commis par ordonnance du juge délégué.

* Disons qu’après la première réunion d’expertise, ou en tout état de cause dans les plus brefs délais, les experts devront donner leur avis sur la nécessité d’appeler en cause tous intervenants dont la responsabilité serait susceptible d’être engagée dans la survenance des problèmes constatés.

* Fixons à six mille euros (6 000 €) le montant de la provision à valoir sur la rémunération de l’expert informatique et à cinq mille euros (5 000 €) le montant de la provision à valoir sur la rémunération de l’expert financier sauf à compléter par les requêtes des experts.

* En ordonnons la consignation au greffe de notre tribunal.

* Disons qu’en cas de refus ou de défaut de consignation par la société TRACE à la date du 19 décembre 2025, la mission sera caduque et privée de tout effet conformément aux dispositions de l’article 271 du Code de Procédure Civile.

* Disons que les experts établiront un devis estimatif de leur mission qui sera adressé à M.,

[B] et aux parties.

* Disons que les experts déposeront leur rapport au greffe pour le 19 juin 2026 sauf demande de prorogation de délai motivée par voie de requête de l’un ou l’autre des experts.

* Disons que le dépôt par les experts de leur rapport sera accompagné de leur demande de rémunération dont ils adresseront aux parties un exemplaire par tout moyen permettant d’en établir la réception en les avisant de ce qu’elles disposent d’un délai de 15 jours pour faire part aux experts et au juge chargé du contrôle des expertises de leurs observations écrites sur la demande de rémunération.

* Déboutons la société, [I], [J] de sa demande reconventionnelle de paiement par la société TRACE d’une provision d’un montant de 25.000 €.

* Condamnons la société, [I], [J] aux dépens et au paiement au profit de la société TRACE d’une indemnité de mille euros (1 000 €) sur le fondement de l’article 700 du code de procédure civile.

* Liquidons au titre des dépens les frais de greffe à la somme de 57.72 €TTC.

Le greffier.