Assurances et responsabilité d'un éditeur de manuels papier et numériques

Rapport corrigé et complété le 12/10/2026 d'après Z25-verif.md.

Complété le 12/10/2026 d'après le lot navigateur Z26 (§ 1.45 : les versions du CCAG-FCS et du CCAG-TIC lues sur Légifrance n'ont aucun modificateur postérieur au décret n° 2024-606 du 26/06/2024, le stock LEGI du 13/07/2025 est donc à jour pour les deux ; § 1.46 : la page des formulaires DC de la DAJ a une nouvelle adresse et se lit au navigateur, mais la rubrique F du DC2 et la formule exacte n'y figurent pas ; § 3 : le DC2 et sa notice sont un téléchargement soumis à l'accord de PF).

Corrigé le 12/10/2026 d'après le relevé de la vague 7 (§ 3.3 et § 2 n° 13 : « presque tous du CCAG-FCS » devient environ trois quarts en FCS et un quart sans CCAG, et les 7,6 M€ et 12 M€ sont dits montants notifiés, maxima d'accords-cadres ; § 3.5 et § 2 n° 33 : l'écart entre les 1 600 € affichés par LUCY et les 1 648 € du contrôle est signalé ; § 4 point 1 : la borne basse de 900 € n'incluait pas la RC produits, le coût devient 873 € sans RC produits et 1 373 à 2 373 € avec, et la source de presse et l'estimation de France Assureurs sont qualifiées ; § 4 point 2 et § 2 n° 12 : la part numérique va d'un sur dix à un sur six selon le filtre, « aucun en 2026 » s'arrête au 12/10/2026, et le refus de garantie est une lecture du rapport ; § 3.4 : l'inassurabilité des sanctions de la CNIL est l'analyse du HCJP, pas une règle de droit ; § 4 points 5 et 6 : la cyber est celle du seul contrat lu, la résiliation sans assureur est une lecture du rapport, et l'art. 14.2 du CCAG-TIC vise les marchés de maintenance ; § 4 point 8 : les deux semaines à 0 visite à Nantes ne prouvent pas une coupure d'accès aux manuels).

Vague 7, mission Z25. Relevé du 12/10/2026. Fichiers téléchargés et scripts dans /home/paul/.cache/manuels-vague7/Z25/ (textes LEGI dans legi/, pages et PDF d'acteurs dans web/, extractions BOAMP dans boamp/, DECP dans decp/, scripts dans scripts/).

Le rapport part de ce que l'étude a établi : obligations sur les contenus de tiers (Y21), les enfants photographiés (Y22), la sécurité des produits (Y23), le CRA et la directive sur les produits défectueux (Y24 § 3.1.9), l'exploitation et la continuité (Y25), les données de santé (Y26), les pièces de marchés (W07) et l'UGAP (Y07). Il ne les refait pas : il établit comment un éditeur couvre leur manquement, ce que les acheteurs exigent, ce que les assureurs proposent et excluent, et à quel prix.

#1. Sujet, requêtes, jeux de données interrogés

Question. Quelles assurances les acheteurs exigent dans les marchés de manuels et de ressources numériques (candidature, notification, exécution) ; quelles garanties couvrent une erreur de contenu, une atteinte aux droits d'un tiers (texte, image, enfant photographié), une fuite de données d'élèves, une indisponibilité à la rentrée ; ce que les assureurs proposent aux éditeurs, ce qu'ils excluent, à quel coût indicatif ; comment la directive (UE) 2024/2853 change ces garanties pour les produits mis sur le marché après le 09/12/2026.

Choix de périmètre. France, marchés publics des collectivités et de l'État (le privé sous contrat n'apparaît pas comme acheteur dans les DECP, 09-vague4 § 6.2) ; offres d'assurance lues sur les pages publiques et documents d'information (IPID, conditions) des assureurs et courtiers, sans devis.

Pages essayées sans succès : economie.gouv.fr/daj (403 sans navigateur, formulaires DC1/DC2 et fiche DAJ ; lue au navigateur le 12/10/2026 à sa nouvelle adresse, Z26 § 1.46, voir § 5) ; actu-juridique.fr (403) ; hiscox.fr pages produits (404, documents PDF lus à la place) ; API WordPress de France Assureurs (401).

#2. Recensement

#3. Fiches détaillées et mesures

#3.1 Ce que disent les CCAG et les trois dossiers de consultation lus

L'obligation d'assurance naît à la notification, pas à la candidature, quand l'acheteur se réfère à un CCAG. Les trois CCAG de 2021 utiles à un éditeur (FCS, TIC, PI) portent le même art. 9 : « Le titulaire doit contracter les assurances permettant de garantir sa responsabilité à l'égard de l'acheteur et des tiers, victimes d'accidents ou de dommages causés par l'exécution des prestations » ; il justifie « dans un délai de quinze jours à compter de la notification du marché et avant tout début d'exécution […] au moyen d'une attestation établissant l'étendue de la responsabilité garantie », et doit la produire à tout moment sous quinze jours. Le défaut d'attestation est un cas de résiliation pour faute (FCS art. 41.1 f ; TIC art. 50.1 f), après mise en demeure (le cas f n'est pas parmi les exceptions g, i, m, n de l'art. 41.2). Le même article prévoit deux autres cas de résiliation pour faute qui touchent un éditeur de manuels numériques, eux aussi après mise en demeure : le titulaire ou le sous-traitant « ne respecte pas les obligations relatives à la confidentialité, à la protection des données à caractère personnel et à la sécurité, conformément à l'article 5 » (j), et, « dans le cas de prestations de maintenance, l'indisponibilité est constatée pendant trente jours consécutifs » (k) ; le CCAG-TIC porte les mêmes cas à son art. 50.1 j et k (LEGI LEGIARTI000043315394, LEGIARTI000043320064). Une résiliation n'est pas un dommage qu'une assurance de responsabilité indemnise (lecture du rapport). Le CCAG-FCS fixe enfin une garantie minimale d'un an à compter de l'admission : le titulaire remet en état ou remplace à ses frais la partie de la prestation reconnue défectueuse (art. 33, LEGIARTI000043315381). Le texte ne fixe ni montant, ni type de garantie, ni franchise. Le commentaire de l'art. 8 (FCS et TIC) permet à l'acheteur de prévoir un plafonnement des garanties « en cas de risque hors de proportion avec le montant du marché » ; un commentaire « n'a pas valeur contractuelle » (préambule).

Les CCAG reportent sur le titulaire la garantie des droits des tiers, droits de la personnalité compris. FCS art. 37.4.2 et TIC art. 46.4.2 : le titulaire garantit « qu'il est titulaire ou détient les droits cédés ou licenciés », « qu'il dispose des autorisations relatives aux droits de la personnalité et plus généralement […] de toutes les autorisations nécessaires », et « qu'il indemnise l'acheteur, en l'absence de faute qui lui serait directement imputable, sans bénéfice de discussion ni de division, contre toute action, réclamation, revendication ou opposition » ; poursuivi pour contrefaçon, l'acheteur l'informe, le titulaire l'assiste à ses frais, modifie ou remplace l'élément, obtient le droit d'usage, ou rembourse et indemnise, et prend à sa charge les dommages et intérêts (FCS art. 37.4.2, LEGIARTI000043315388, arrêté JORFTEXT000043310341 ; TIC art. 46.4.2, LEGIARTI000043320056, arrêté JORFTEXT000043310689). La photographie d'un enfant sans autorisation des deux parents (Y22 § 3.4, § 3.6) ou un extrait sans autorisation (Y21 § 3.1) entre dans ces deux clauses, lecture du rapport.

Le CCAG-TIC chiffre l'indisponibilité et la violation de données ; le CCAG-FCS ne le fait pas. TIC art. 14.2.3 : un logiciel est indisponible quand son usage est impossible ; le titulaire rend l'usage « au terme d'un délai de vingt-quatre heures » ou met à disposition une solution équivalente ; « La rémunération du droit d'utilisation des logiciels indisponibles est suspendue ». L'art. 14.2 est intitulé « Pénalités pour indisponibilité dans les marchés de maintenance » : son application à une licence de manuel sans maintenance dépend du CCAP (lecture du rapport). TIC art. 14.3 : 0,5 % du montant exécuté du marché pour une « violation des mesures de sécurité ou de l'obligation de confidentialité énoncées à l'article 5.1 » sans données personnelles, 2 % avec, cumulables par fait générateur ; la pénalité sanctionne donc un manquement du titulaire aux règles de l'art. 5.1, et non toute fuite qu'il subirait (LEGI LEGIARTI000043320095). TIC art. 5.2.3 renvoie aux documents particuliers les mesures de sécurité, la notification des violations et « les pénalités applicables […] en cas de méconnaissance de la réglementation ». Les pénalités de retard sont plafonnées à 10 % du montant du marché, de la tranche ou du bon de commande (TIC art. 14.1.2). À l'UGAP, les pénalités d'indisponibilité se fixent commande par commande, plafonnées à 50 % du montant HT de la commande (Y25 § 3.3).

Les trois CCAP de manuels lus (communes, 2026-2027) reprennent l'art. 9 sans rien ajouter. Armentières (2026-40, art. 13) et Lognes (2026-20, art. 16) recopient l'art. 9 du CCAG-FCS en y ajoutant « mandataire et cotraitants inclus ». Saint-Médard-en- Jalles (CCAP « 2027AO01 v2 », art. 8) demande une attestation « au titre de la responsabilité civile découlant des articles 1382 à 1384 du Code civil », à jour des cotisations, avec des garanties « en rapport avec l'importance de la prestation » ; ces articles sont, depuis le 01/10/2016, aux art. 1240 à 1242 (LEGI : art. 1240 et 1241 en vigueur depuis 2016) : le CCAP cite l'ancienne numérotation. Aucun des trois ne fixe de montant. Les règlements de consultation d'Armentières et de Lognes ne demandent à la candidature que DC1, DC2 ou DUME, la déclaration sur l'honneur, le chiffre d'affaires et les références (Lognes : effectifs en plus) : aucune attestation d'assurance. Pour Saint-Médard-en-Jalles, le dossier téléchargé par W07 ne contient pas de règlement de consultation (acte d'engagement, BPU-DQE, CCAP, CCTP et points de livraison seulement) : ce qu'il demande à la candidature n'est pas connu. Les autres clauses qui engagent la responsabilité : Lognes (art. 2) fait du titulaire le sous-traitant RGPD de l'acheteur, dont la responsabilité peut être engagée « dans les conditions et limites propres à cette qualité » ; garantie d'un an des prestations (art. 13, renvoi à l'art. 33 du CCAG-FCS) ; pénalité de retard de 1/1 000 par jour, non plafonnée, sans exonération ni mise en demeure (art. 15.1). Armentières : pénalité de 5 % du montant du bon de commande par jour de retard (art. 12) ; garantie de trois mois contre « tout vice de fabrication ou défaut de matière » (CCTP art. 10). Saint-Médard : 1/1 000 par jour, sans mise en demeure ni exonération (art. 6.1), exécution aux frais et risques du titulaire. Ces trois marchés ont pour titulaires des revendeurs (W07 § 3.2) : c'est le libraire qui produit l'attestation ; l'éditeur ne la produit que quand il est candidat direct.

Le GAR et l'UGAP n'exigent pas d'assurance, mais transfèrent la responsabilité. Le contrat GAR v2026 : « En tant qu'éditeur, le fournisseur de ressources engage sa responsabilité sur les contenus proposés et la garantie d'une jouissance paisible » ; la distribution technique comprend « toute la responsabilité de l'exploitation technique et de la disponibilité » (p. 21, annexe 2, extrait du référentiel technique fonctionnel et de sécurité). Annexe 4, § 3 « Responsabilité et Garantie » : le sous-traitant garantit le responsable de traitement « contre toute action ou réclamation […] pour non-respect de la règlementation Informatique et Libertés » et l'indemnise des frais de défense, dommages et intérêts, condamnations et honoraires. Le mot « assurance » n'apparaît pas dans le contrat. Les CGE UGAP n° 772 226 (art. 7.5) font garantir par le prestataire l'acheteur « contre toute revendication et/ou procédure […] engagée par tout tiers invoquant un droit quelconque, notamment un droit de propriété intellectuelle », avec intervention à ses frais « y compris en référé » ; le mot « assurance » n'y apparaît pas non plus. En amont, l'éditeur peut se retourner contre l'auteur, qui « doit garantir à l'éditeur l'exercice paisible […] du droit cédé » (CPI L132-8) ; contre l'auteur d'un extrait reproduit sans autorisation par l'équipe éditoriale, ce recours n'existe pas (lecture du rapport).

#3.2 La candidature : ce que mesurent les avis du BOAMP

Le code permet à l'acheteur d'exiger « un niveau approprié d'assurance des risques professionnels » au titre de la capacité économique et financière (R2142-12). L'annexe du code issue de l'arrêté du 22/03/2019 (art. 2) en fait une « déclaration appropriée de banques ou, le cas échéant, preuve d'une assurance des risques professionnels pertinents », renseignée à la rubrique F du DC2 (reproductions marche-public.fr et code-commande-publique.com ; le texte de l'annexe n'est pas dans le fonds LEGI, et la page des formulaires de la DAJ, lue au navigateur le 12/10/2026, ne porte ni la rubrique F ni la formule, qui sont dans le DC2 et sa notice, Z26 § 1.46). Pour les travaux seuls, la preuve de l'assurance décennale (C. assur. L241-1) est demandée avant attribution (même source).

Mesure. Sur 1 318 avis de marché rapatriés de l'API BOAMP (objet contenant « manuels scolaires », « manuels numériques », « manuel scolaire » ou « ressources numériques »), le premier filtre local sur l'objet en retenait 518 (486 manuels, 32 ressources). Ce filtre ne neutralisait pas les accents : un objet en capitales sans accents (« COLLEGES ») échappait au motif « collège ». Il écartait ainsi les deux avis du Val-d'Oise sur les ressources numériques des collèges, 18-105768 et 19-149702, qui exigent tous deux une attestation de RC professionnelle. La contre-vérification a refait la mesure avec un filtre normalisé (accents et capitales neutralisés ; « manuel(s) » avec un contexte scolaire, hors travaux et activités manuels, ou « ressources numériques » avec un contexte scolaire, hors enseignement supérieur) : 541 avis (508 manuels, 33 ressources), de 2015 à 2026. L'exigence d'assurance est cherchée dans le champ donnees (« preuve d'une assurance » ou « d'assurance », « attestation d'assurance », « assurance responsabilité », « assurance pour, des ou couvrant les risques », « police » ou « contrat d'assurance », « assurance professionnelle », « responsabilité civile » ; une adresse de « service assurances » n'est pas comptée). Script Z25-verif/scripts/boamp2.py relancé le 12/10/2026 sur Z25-verif/raw/boamp/avis.json : chiffres reproduits.

Par année de parution (filtre normalisé), les avis avec exigence vont de 8 (2023, 2024, 2025) à 19 (2019) ; aucun en 2026 au 12/10/2026. L'ordre de grandeur, un quart des avis, tient quel que soit le filtre ; la part des avis numériques passe de un sur dix à un sur six. La formule majoritaire est une alternative (banques ou assurance), qui ne rend pas l'assurance obligatoire à la candidature. Les cas les plus exigeants sont ceux qui demandent une attestation précise : le Val-d'Oise (avis 18-105768, abonnements de ressources numériques pour les collèges publics ; 18-157077, abonnements de ressources numériques de soutien scolaire en ligne pour les collèges ; 19-149702, ressources numériques pour les collèges, cinq lots) exige « une attestation d'assurance en responsabilité civile professionnelle signée, mentionnant : la période de validité, la nature des activités garanties, le nom de la compagnie et le n° de contrat » ; Gonesse (24-106987, manuels et ouvrages scolaires, documents sonores, audiovisuels et numériques ; avis retenu par le filtre normalisé, hors des 518 du premier filtre) des attestations de RC « en cours de validité et garantissant les prestations objet du présent accord-cadre » ; Vendôme et Périgueux (2015-2023) une attestation de RC en cours de validité. Le Département des Alpes-de-Haute-Provence (23-11186, licences de manuels numériques pour les collèges) et le Calvados (18-74447, plateforme de soutien scolaire) emploient la formule du DC2. Aucun avis retenu ne fixe un montant de garantie dans les extraits lus. Limite : les avis ne reproduisent pas toujours le règlement de consultation, et un acheteur peut demander l'attestation dans le seul RC (non lu ici hors des DCE de W07).

Les grands marchés régionaux, vus par TED. L'API de recherche TED v3 (FT~"manuels scolaires" AND buyer-country=FRA) renvoie 970 avis français (compte relu en direct le 12/10/2026). Le marché de la Région Normandie en CCAG-TIC (§ 3.3) y figure en trois avis : avis de marché 53770-2026 (22/01/2026), rectificatif 162896-2026 (05/03/2026, report de la remise des offres au 16/03/2026) et avis d'attribution 328937-2026 (05/05/2026, Librairie EMLS, 7 600 000 € au maximum, accord-cadre). Le mot « assurance » n'apparaît dans aucun des trois XML, et la source des critères de sélection est codée epo-procurement-document : la sélection renvoie aux documents de la consultation, accessibles sur marches-publics.info avec un compte (copies Z25-verif/raw/ted53770.xml, ted162896-2026.xml, ted328937-2026.xml).

#3.3 Le CCAG déclaré dans les DECP

Le champ ccag est vide pour les 182 marchés de manuels retenus du format v3 (decp-v3-marches-valides, 1 086 lignes rapatriées, filtre local sur l'objet ; 211 lignes, toutes vides, avec le filtre de la contre-vérification). Dans le format 2022 (decp-2022-marches-valides, 1 607 lignes, 212 retenues), il vaut « Fournitures courantes et services » pour 162 marchés, « Pas de CCAG » pour 48, « Techniques de l'information et de la communication » pour 1, « Travaux » pour 1 (marché de livres et fournitures scolaires de l'acheteur de SIREN 200066124, notifié le 04/11/2024, valeur déclarée manifestement erronée). Sur les 21 marchés à objet numérique : 15 FCS, 5 sans CCAG, 1 TIC. Les totaux dépendent du filtre sur l'objet et des doublons par titulaire : la contre-vérification (export decp-2022-marches-valides, 1 493 lignes pour search(objet,"manuel") OR search(objet,"manuels")) retient 267 lignes (233 identifiants distincts), dont 197 FCS, 59 sans CCAG et 1 TIC. La répartition, environ trois quarts en FCS et environ un quart sans CCAG, et le cas unique du TIC tiennent dans les deux mesures. Le seul marché de manuels en CCAG-TIC est celui de la Région Normandie (SIREN 200053403, SIRET 20005340300057) notifié le 05/05/2026 : « Fourniture d'une plateforme unique d'acquisition de ressources et de manuels scolaires numériques, et prestations complémentaires », 7 600 000 € ; celui de la Région Occitanie (SIREN 200053791), « Fourniture de manuels numériques pour les lycées », 12 000 000 €, notifié le 12/02/2024, est déclaré sans CCAG. Ces deux montants sont des montants notifiés, maxima d'accords-cadres, et non des dépenses exécutées. Environ trois quarts des marchés de manuels déclarés relèvent du CCAG-FCS, qui n'a ni pénalité d'indisponibilité de logiciel ni pénalité de violation de données, et environ un quart ne se réfère à aucun CCAG : dans les deux cas, ces pénalités n'arrivent que par le CCAP, et le CCAG-TIC ne joue que pour le marché de la Normandie (lecture du rapport à partir du § 3.1).

#3.4 Ce que les assureurs proposent aux éditeurs

Une RC « médias » couvre l'essentiel des risques de contenu, sous des exclusions qui touchent les données et les obligations contractuelles. Le contrat Hiscox « RC Pro Tous risques Médias et industries culturelles » vise les « professionnels de l'édition et de la diffusion ». Garanties systématiques (IPID) : manquements contractuels « (y compris lié à un événement Cyber) », faute professionnelle et négligence, faute des préposés, divulgation d'informations confidentielles, dénigrement et diffamation, atteinte à la vie privée, concurrence déloyale, atteinte aux droits de propriété intellectuelle, dommages aux biens et documents confiés, « produits non conformes ou défectueux » ; plafonds « jusqu'à trente millions d'euros ». Le module MED0119 précise : vie privée « y compris au nom, à l'image, à la voix » ; contrefaçon de droits d'auteur « (droit moral et droit patrimonial) », de marques, dessins et modèles, droit sui generis des bases de données ; biens confiés, données comprises, « sous réserve […] de procédures effectives de sauvegarde […] selon une fréquence de 24 heures ou inférieure » ; frais de notification d'une violation de données personnelles quand l'assuré est responsable du traitement et que la violation déclenche une obligation de notification ; frais correctifs engagés, avec accord préalable écrit, « pour éviter la survenance ou diminuer l'importance d'un sinistre ». Exclusions du module : atteintes aux bonnes mœurs ou à l'ordre public, « crimes et/ou délits commis par voie de presse […] au sens des dispositions de la loi du 29 juillet 1881 » ; accès frauduleux aux systèmes de l'assuré ; « activités exercées sans […] les autorisations requises par la loi » ; « collecte et/ou […] traitement de données personnelles […] en violation des dispositions légales ». Exclusions générales de l'IPID : « aggravation contractuelle de responsabilité », « passé connu », « sanctions pécuniaires », « collecte et traitement illégale de données personnelles », « Guerre, Opération Cyber, perturbation d'un service essentiel », « Presse ». Deux lectures bornent ces libellés. L'exclusion 1 du module écarte les délits de la loi du 29/07/1881, alors que la diffamation, garantie au n° 6 du même module (« allégations ou imputations de faits portant atteinte à l'honneur ou à la considération »), est un délit de cette loi : la portée réelle de la garantie diffamation et injure d'un manuel n'est donc pas lisible dans les documents publics et se pose à l'assureur (démarche 4.6, § 5). La « perturbation d'un service essentiel » figure sous le même intitulé que dans l'IPID CyberClear, dont les conditions générales (CC0721, exclusion 17.3) en font une exclusion de cyberguerre : une opération cyber menée par ou pour un État qui désorganise un service essentiel d'un État, c'est-à-dire le service d'un opérateur de services essentiels ou d'importance vitale ; ce n'est pas une exclusion des pannes de service. Hors champ : chiffre d'affaires supérieur à un milliard d'euros, preneur hors EEE. Territoire : monde entier hors juridictions des États-Unis et du Canada, sauf extension. Le questionnaire « Édition & journalisme » ne propose aucune catégorie d'édition scolaire ou éducative (le scolaire se déclare en « Autre ») et demande si l'assuré s'assure « du respect de la chaîne des droits de propriété intellectuelle », s'il a « une procédure standard écrite de vérification » avant publication, des procédures de « gestion des réclamations de tiers et de retrait de contenu », et des recours contre ses contributeurs.

Les courtiers en ligne affichent un prix d'appel et un champ qui ne nomme pas le scolaire. Orus : RC Pro édition « à partir de 19 € par mois », « pas de franchise », protection juridique « jusqu'à 50 0000€ de frais de défense » (chiffre écrit ainsi sur la page ; 50 000 € selon la recherche qui y a mené, non confirmé), garanties propriété intellectuelle, manquements contractuels, fautes ou négligences, remboursement des prestations, biens confiés ; activités assurées listées (fictions, presse, magazines et livres spécialisés, « Logiciels et progiciels (on-premise ou en mode SaaS) », applications) sans édition scolaire. Le tarif dépend de l'activité, de la forme juridique, du chiffre d'affaires, des garanties et des plafonds. Assurup (page mise à jour le 19/03/2026) écrit que « même lorsqu'un texte est rédigé par un auteur, la maison d'édition peut être mise en cause » (diffamation, injure, vie privée, propriété intellectuelle), cite « la citation d'un texte au-delà de ce qu'autorise le droit de courte citation, l'utilisation d'une photographie sans autorisation », et précise que « la perte de données ou une cyberattaque relèvent souvent de garanties spécifiques » hors multirisque. Aucun contrat de groupe négocié par le SNE pour ses adhérents n'est trouvé.

La cyber-assurance couvre les pertes propres et les réclamations nées d'une violation de données, pas les pénalités du marché ni la panne du produit. Hiscox CyberClear (IPID) : assistance (expert IT, avocat, communication de crise, récupération de données), « Enquêtes et sanctions : Frais de défense, Amendes et pénalités » ; en option cyber-extorsion, notification et centre d'appel, perte d'exploitation « (dont cyberattaques et erreur humaine) », « Défaillance de vos prestataires de services informatiques », responsabilité envers les tiers (données personnelles, médias, virus). Exclusions de l'IPID : « Responsabilité civile contractuelle », « Décision de l'autorité publique », « Guerre, Opération cyber, Perturbation d'un service essentiel », « Les frais de reconstitution des données en l'absence de procédure de sauvegarde mensuelle au minimum », « Le paiement direct d'une rançon préalablement à toute déclaration de sinistre », « Collecte et traitement illégal de données personnelles ». Les conditions générales CC0721, publiques, bornent ces libellés :

• RC contractuelle (exclusion 23). Elle écarte les sinistres nés d'un manquement aux obligations contractuelles, « sauf dans le cas où votre responsabilité aurait été engagée dans les mêmes termes et limites en l'absence de contrat », et « ne s'applique pas aux garanties "Atteinte à la sécurité et/ou la confidentialité de données personnelles", "Atteinte aux données confidentielles de tiers" et "Transmissions de virus et cyber-attaques" ». La première de ces garanties couvre les réclamations des « personnes physiques identifiées ou identifiables » dont l'assuré n'a pas assuré la sécurité ou la confidentialité des données, « en violation de votre obligation au titre de la règlementation en vigueur, ou d'engagements contractuels que vous avez souscrits » ; la deuxième, les réclamations des tiers dont un cyber-pirate a divulgué les données confidentielles détenues par l'assuré. Une fuite de données d'élèves reste donc couverte même quand elle viole le contrat : pour les réclamations des élèves et des familles nommément, et pour celles d'un acheteur dans la mesure où ses données confidentielles ont été divulguées par un cyber-pirate (lecture des garanties, Section V).
• Pénalités (exclusion 13). Sont exclues « les amendes, impositions, taxes, pénalités et/ou toutes autres sanctions pécuniaires, mises à votre charge par toute législation, toute réglementation, tout contrat […] en ce compris les astreintes […] et clauses pénales », sauf pour la garantie « Enquêtes et sanctions », « dès lors que les sommes sont légalement assurables ». Les pénalités d'un marché (CCAG-TIC 14.2 et 14.3, CCAP, UGAP) en sortent en toutes lettres.
• Produits et services fournis (exclusion 24). Sont exclues « les réclamations résultant de la fourniture par vos soins de produits ou services », sauf pour la garantie « Transmission de virus ». L'exclusion 25 écarte en outre tout « remboursement, restitution ou réfaction du prix » des prestations. Une panne du manuel numérique lui-même, et le remboursement des licences qui s'ensuit, sortent donc de la cyber.
• « Perturbation d'un service essentiel » (exclusion 17.3). Elle fait partie de l'exclusion « Guerres et opérations cyber » et ne vise qu'une « opération cyber » (utilisation d'un système informatique « par ou pour le compte d'un État » contre un autre État) qui perturbe « le fonctionnement d'un État consécutivement à la désorganisation […] d'un service essentiel dans cet État » ; le « service essentiel » est celui d'un opérateur de services essentiels (directive 2016/1148, décret 2018-384) ou d'importance vitale (C. défense R1132-1), et le paragraphe 3 « ne s'applique pas aux sinistres relatifs à un système informatique contaminé ». Une indisponibilité à la rentrée n'est pas exclue à ce titre.
• Reconstitution des données (exclusion 26). Exclue au-delà de la récupération depuis les supports « lorsque des sauvegardes desdites données ne sont pas réalisées au minimum de façon mensuelle ».

Les amendes de la CNIL ne sont pas « légalement assurables » selon l'analyse d'un comité de place, qui n'est ni une loi ni une décision de justice : le rapport du Haut Comité juridique de la place financière de Paris du 28/01/2022, saisi par la direction générale du Trésor, conclut « au caractère inassurable des amendes administratives et de toute sanction pécuniaire », et range les sanctions pécuniaires et astreintes de la CNIL (RGPD art. 83, loi de 1978 art. 20 et 21) parmi celles « qui sont par nature inassurables » ; certaines mesures correctrices (RGPD art. 58 § 2) « pourraient être légalement assurables dans certains cas » (rapport, executive summary, p. 7 ; résumé concordant de Le Monde du Droit, 23/02/2022 : il « répond de façon négative […] s'agissant des sanctions administratives de nature pécuniaires »). Le rapport proposait d'inscrire l'interdiction dans un paragraphe V de l'art. 21 de la loi de 1978 ; l'article en vigueur (version du 21/02/2024, LEGI LEGIARTI000049164448) ne contient aucune disposition sur l'assurance. La garantie « Amendes et pénalités » de CyberClear se limite d'ailleurs aux sommes « légalement assurables au regard du droit applicable » (CC0721, Section III, B).

France Assureurs (brochure 2026) conseille de vérifier plafonds, franchises, exclusions, couverture des pertes d'exploitation, « obligations de cybersécurité à respecter (sauvegardes régulières, mises à jour, etc.) », et rappelle la plainte sous 72 heures et la notification à la CNIL sous 72 heures. La plainte sous 72 heures conditionne le versement de l'indemnité prévue par une clause qui indemnise l'assuré « des pertes et dommages » causés par une atteinte à un système de traitement automatisé de données (C. pén. 323-1 à 323-3-1), c'est-à-dire ses pertes propres ; l'article ne s'applique qu'aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle (C. assur. L12-10-1, issu de la loi n° 2023-22, LEGI LEGIARTI000047048152).

Le droit des assurances fixe deux limites communes. L'assureur ne répond jamais de la faute intentionnelle ou dolosive de l'assuré, et les exclusions doivent être « formelles et limitées » (L113-1). En garantie « base réclamation », le sinistre est couvert si la première réclamation arrive pendant le contrat ou un délai subséquent d'au moins cinq ans, mais pas si l'assuré connaissait le fait dommageable à la souscription (L124-5) : c'est l'exclusion « passé connu » des deux IPID.

#3.5 Le coût indicatif

Le marché cyber est en baisse de prix : primes totales de 328 M€ (2023) à 306 M€ (2025), taux de prime des micro-entreprises en baisse de 23 % en 2025, sinistres indemnisés de 54,5 à 83,2 M€ (LUCY 2026, p. 7 à 10). La prime d'une RC média pour une maison d'édition n'est publiée par aucun assureur lu : Hiscox applique « une prime forfaitaire » (mémo produit) sans la chiffrer.

#3.6 La directive sur les produits défectueux et l'assurance

Ce qui change pour les produits mis sur le marché ou mis en service après le 09/12/2026 (art. 2 § 1, art. 21) : le logiciel est un produit (art. 4, 1), quel que soit son mode de fourniture, SaaS compris (considérant 13) ; l'application de lecture et le manuel web y entrent (Y24 § 3.1.9). « Les informations ne doivent pas être considérées comme un produit » et le régime ne s'applique pas « au contenu des fichiers numériques, tels que […] les livres électroniques » (considérant 13) : une erreur de contenu reste hors du régime, sur le terrain de la faute (C. civ. 1240, 1241) et du contrat. Dommages réparables (art. 6) : mort et lésions corporelles, « y compris l'atteinte médicalement reconnue à la santé psychologique » ; dommage aux biens, hors biens « utilisés exclusivement à des fins professionnelles » ; « destruction ou […] corruption de données qui ne sont pas utilisées à des fins professionnelles » ; le considérant 22 exclut les données utilisées « même de manière non-exclusive » à des fins professionnelles. Le seuil de 500 € du régime actuel (C. civ. 1245-1, décret 2005-113) disparaît (rapport du Barreau de Paris, p. 3, note 5). Seule une personne physique est indemnisée (art. 5) : ni l'établissement ni la collectivité.

Ce qui pèse sur la garantie d'assurance. La responsabilité ne peut être « limitée ou exclue à l'égard de la personne lésée par une disposition contractuelle » (art. 15 ; régime actuel : C. civ. 1245-14, déjà). Le délai de forclusion de dix ans court de la mise sur le marché ou, pour un produit substantiellement modifié, de sa remise sur le marché après modification (art. 17 § 1 b), vingt-cinq ans pour une lésion corporelle latente (art. 17 § 2) ; la prescription reste de trois ans (art. 16). La défectuosité est présumée si le défendeur ne divulgue pas les éléments de preuve, si le produit méconnaît une exigence obligatoire de sécurité ou en cas de « dysfonctionnement manifeste » (art. 10 § 2), et le défaut lié à « une absence de mises à jour […] nécessaires au maintien de la sécurité » n'exonère pas (art. 11 § 2, Y24). La responsabilité n'est pas réduite quand un tiers (un attaquant) a concouru au dommage (art. 13 § 1). Un fabricant qui intègre le composant logiciel d'une micro ou petite entreprise peut renoncer par contrat à son recours contre elle (art. 12 § 2, considérant 54). La directive n'impose aucune assurance ; la Commission évaluera au plus tard le 09/12/2030 « la disponibilité d'une assurance de responsabilité du fait des produits » (art. 20).

La transposition. Aucun projet de loi ni ordonnance de transposition n'est trouvé au 12/10/2026 (Assemblée, Sénat, recherches web) ; le rapport du Sénat sur le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne de 2026 (senat.fr, rapport l25-347) ne contient ni « 2024/2853 » ni « produits défectueux » (copie Z25-verif/raw/senat347.html). La réponse ministérielle du 12/05/2026 annonce des consultations au premier trimestre 2026 et un « texte dédié » (Y24 § 3.1.9 ; France Épargne : groupe de travail interministériel piloté par la DACS). Fait nouveau par rapport à Y24 : la DACS a soumis le 27/01/2026 au bâtonnier de Paris « le projet de tableau de transposition », qui « modifie les articles 1245 à 1245-17 du code civil » ; selon le rapport du Barreau du 20/02/2026, ce projet « ne reprend pas explicitement la notion d'"atteinte médicalement reconnue à la santé psychologique" ni la réparation de la destruction/corruption de données non professionnelles, alors que la directive l'exige ». Directive d'harmonisation maximale (art. 1er, considérant 7, selon le même rapport) : en cas d'écart, la lettre de la directive guidera le juge (lecture du Barreau). Le texte définitif n'est pas connu.

#3.7 L'indisponibilité à la rentrée : le risque mesuré dans le secteur

L'ANSSI a traité 1 366 incidents en 2025, dont 34 % dans l'éducation et la recherche (Panorama 2025, p. 7). L'ANSSI encadre elle-même ce chiffre : la concentration sur quatre secteurs « peut être expliquée par le nombre important d'entités – notamment publiques – présentes dans ces différents secteurs », ses chiffres « ne sont pas nécessairement représentatifs de l'ensemble des événements de sécurité » (p. 7), et ceux de l'éducation et de la recherche sont « à mettre en perspective avec le nombre important d'entités publiques dans ces secteurs, plus enclines à contacter l'ANSSI en cas d'incident, même de faible criticité » (encadré « Ciblage des secteurs de la recherche et de l'éducation », p. 22). La part de 34 % mesure donc les incidents signalés à l'ANSSI, pas une fréquence d'attaque comparée entre secteurs. « Fait notable, les établissements scolaires, notamment d'enseignement primaire et secondaire, ont été particulièrement touchés en 2025 » par les rançongiciels, avec « un mode de fonctionnement dégradé pendant plusieurs semaines » (p. 11) ; l'ANSSI a traité « plusieurs attaques contre des établissements d'enseignement secondaire, menées par des attaquants d'un niveau technique limité » (p. 22). Cybermalveillance.gouv.fr relève la « multiplication des attaques ciblant les ENT », à laquelle le ministère de l'Éducation nationale, le ministère de l'Intérieur, Cybermalveillance.gouv.fr, la CNIL et la juridiction nationale de lutte contre la cybercriminalité ont répondu par l'opération Cactus : une campagne de sensibilisation, et non une attaque, au cours de laquelle 2,5 millions d'élèves de 4 700 établissements ont reçu du 19 au 21/03/2025 un faux message d'hameçonnage menant à une vidéo pédagogique (RA 2025). À la rentrée 2026, les cyberattaques ont coupé ENT, ÉduConnect et base élèves dans plusieurs académies ; dans l'académie de Nantes, le service « manuel numérique » a compté 0 visite les semaines du 24/08 et du 31/08/2026, contre 21 et 642 en 2025 (X32 § 3.6). Une indisponibilité de cette origine n'est pas celle de l'éditeur : les CGV des distributeurs excluent leur responsabilité pour l'indisponibilité de l'ENT (Y25 § 3.4), et l'éditeur n'a rien à indemniser ; c'est sa perte propre (licences non utilisées, support) qui reste sans couverture, une garantie « défaillance des prestataires » visant les prestataires de l'assuré, pas l'ENT de l'acheteur (lecture du rapport).

#4. Ce que ce sujet apprend pour une solution qui édite des manuels et les met à disposition

1. Le poste « assurance » manque au coût de production (10-vague5 § 8) et se chiffre, au démarrage, à environ 900 € par an pour la RC Pro et la cyber, et à environ 1 400 à 2 400 € par an avec une RC produits. Une RC Pro édition s'affiche à partir de 228 € par an (Orus, prix d'appel) ; une cyber-assurance de micro-entreprise coûte en moyenne 645 € par an pour 627 000 € de capacité et 1 076 € de franchise (LUCY 2026) ; une RC produits de petite structure 500 à 1 500 € par an selon une seule source de presse, sans méthode, qui n'est pas un prix de marché. Ensemble : 228 + 645 = 873 € sans RC produits, soit le prix d'environ 100 licences à 8,53 € HT ; 228 + 645 + 500 = 1 373 € à 228 + 645 + 1 500 = 2 373 € avec la RC produits, soit environ 160 à 280 licences (calcul illustratif sur prix d'appel, moyennes et une source de presse, à remplacer par devis, § 5). Rapporté à une collection de 75 000 à 230 000 € par manuel (10-vague5 § 8.6), le poste est marginal ; le coût évité ne l'est pas : 30 000 à 600 000 € pour une cyberattaque de TPE/PME selon une estimation de France Assureurs, dont les renvois n'ont pas de source lisible, et non une mesure. Sources : § 3.5.
2. Pour candidater, il faut l'attestation avant la notification, pas forcément dans le pli. Le CCAG fait produire l'attestation dans les quinze jours de la notification, sous peine de résiliation pour faute après mise en demeure (CCAG-FCS art. 9 et 41.1 f ; TIC art. 9 et 50.1 f) ; un quart des avis de manuels (135 sur 541, 25,0 %) demandent en plus une preuve d'assurance à la candidature, le plus souvent en alternative à une déclaration de banque (106 en formule du DC2), et un sur six pour les avis de licences et ressources numériques (12 sur 75 avec le filtre normalisé ; un sur dix avec le premier filtre, 7 sur 69). Ces parts ne comptent que les avis publiés au BOAMP qui passent le filtre, pas tous les achats de manuels. Aucun avis ni CCAP lu ne fixe de montant : l'éditeur choisit son plafond, mais l'attestation doit nommer « la nature des activités garanties » (Val-d'Oise, trois avis de ressources numériques pour les collèges, 2018-2019) ou garantir « les prestations objet » du marché (Gonesse). Les avis TED de la Région Normandie (2026) ne portent aucun critère d'assurance et renvoient aux documents de la consultation. Une police dont l'activité déclarée ne dit pas « édition scolaire » ou « diffusion de licences numériques » expose à un refus de garantie (lecture du rapport, aucun refus ni clause d'assureur lu sur ce point) ; aucun des formulaires lus ne propose la catégorie (Hiscox : « Autre » ; Orus : absente). Sources : § 3.1, § 3.2, § 3.4.
3. La garantie des droits de tiers est le risque que l'acheteur transfère explicitement, et la RC média le couvre. CCAG-FCS 37.4.2 et TIC 46.4.2, CGE UGAP 7.5 et contrat GAR mettent à la charge de l'éditeur l'indemnisation de l'acheteur contre toute action d'un tiers, « droits de la personnalité » compris. La RC média couvre la contrefaçon (droit moral et patrimonial), la vie privée et l'image, et les frais de défense ; la diffamation est garantie (MED0119, n° 6), mais le même module exclut les délits de la loi du 29/07/1881 (exclusion 1), dont la diffamation fait partie : sa portée réelle se demande à l'assureur. Avec 76 à 298 sources sous droits par manuel (Y21 § 3.8), l'assureur demandera la chaîne des droits et la procédure de vérification avant publication (questionnaire Hiscox) : le registre des autorisations de Y21 et Y22 devient une pièce de souscription. Deux points restent hors garantie par construction : l'enfant engagé sans l'autorisation préfectorale de L. 7124-1 (Y22 § 3.1) tombe sous l'exclusion « activités exercées sans autorisation » (MED0119, exclusion 8, lecture du rapport), et le recours contre l'auteur (CPI L132-8) ne joue pas pour un extrait choisi par l'équipe. Sources : § 3.1, § 3.4.
4. L'erreur de contenu relève de la RC professionnelle, jamais de la responsabilité du fait des produits. La directive exclut l'information et le contenu des livres électroniques (considérant 13) ; aucun organe public ne valide les manuels et l'éditeur est « l'unique responsable » (09-vague4 § 7.2). Une erreur qui cause un dommage relève de la faute (C. civ. 1240, 1241) et de la garantie « faute professionnelle / négligence » ; la réimpression ou la correction à ses frais n'est prise en charge que comme « frais correctifs » pour éviter un sinistre, avec accord préalable (MED0119). Sources : § 3.4, § 3.6.
5. La fuite de données d'élèves se couvre par la cyber-assurance, pas par la RC média, et le GAR rend l'éditeur garant du ministère. L'annexe 4 du contrat GAR fait indemniser le ministère de toute réclamation fondée sur la réglementation Informatique et Libertés ; les CCAP font de l'éditeur un sous-traitant responsable (Lognes) ; le CCAG-TIC ajoute 2 % du montant exécuté par violation des mesures de sécurité ou de confidentialité de son art. 5.1 impliquant des données personnelles, et le manquement aux obligations de protection des données est un cas de résiliation pour faute (CCAG-FCS 41.1 j, TIC 50.1 j). La RC média exclut la collecte ou le traitement illégal de données et ne paie la notification que si l'assuré est responsable du traitement. La cyber lue, seul contrat dont les conditions générales sont lues (Hiscox CyberClear), couvre les réclamations des élèves et des familles dont les données ont fuité, même quand la fuite viole un engagement contractuel (CC0721, exclusion 23 et sa dérogation), et celles des tiers dont un cyber-pirate a divulgué les données confidentielles ; elle exclut les pénalités et clauses pénales de « tout contrat » (exclusion 13), donc les pénalités du marché, et ne paie les « amendes et pénalités » d'enquête que si elles sont « légalement assurables », ce que les sanctions pécuniaires de la CNIL ne sont pas selon le HCJP (2022). La résiliation pour faute reste un risque sans assureur (lecture du rapport : une résiliation n'est pas un dommage qu'une assurance de responsabilité indemnise). Les deux contrats exigent des sauvegardes (24 heures pour les données confiées, mensuelles pour la reconstitution), et l'indemnité des pertes propres d'une cyberattaque suppose une plainte sous 72 heures (L12-10-1). Sources : § 3.1, § 3.4.
6. L'indisponibilité à la rentrée se partage entre deux couvertures qui laissent un trou : les pénalités. La perte propre (perte d'exploitation, défaillance des prestataires informatiques de l'éditeur) relève de la cyber ; la réclamation de l'acheteur pour manquement contractuel relève de la RC média (« y compris lié à un événement Cyber »). La cyber lue (Hiscox, seul contrat dont les conditions générales sont lues), elle, écarte la panne du manuel numérique lui-même, ce qui se déduit de ses exclusions : réclamations nées de « la fourniture par vos soins de produits ou services » (CC0721, exclusion 24) et remboursement ou réfaction du prix (exclusion 25). Les pénalités d'indisponibilité du CCAG-TIC (art. 14.2, intitulé « marchés de maintenance », dont l'application à une licence sans maintenance dépend du CCAP), de l'UGAP (plafond 50 %, Y25 § 3.3) ou d'un CCAP sont exclues de la cyber en toutes lettres (« pénalités […] tout contrat […] clauses pénales », exclusion 13) ; dans la RC média, elles tombent sous les « sanctions pécuniaires » ou l'« aggravation contractuelle de responsabilité » de l'IPID (lecture des exclusions, non confirmée par l'assureur). La résiliation pour faute après trente jours d'indisponibilité dans une prestation de maintenance (CCAG-FCS 41.1 k, TIC 50.1 k) n'est couverte par aucun des deux (lecture du rapport : une résiliation n'est pas un dommage garanti). La « perturbation d'un service essentiel » exclue par les deux IPID, sous le même intitulé, n'est pas une panne : les conditions générales de la cyber en font une opération cyber menée par ou pour un État contre le service d'un opérateur essentiel ou d'importance vitale (CC0721, exclusion 17.3) ; une indisponibilité à la rentrée n'est pas exclue à ce titre. Le niveau de service qu'un éditeur écrit dans son offre (Y25 § 4) est donc à caler sur ce qu'il peut payer sans assureur. Quand la panne vient de l'ENT, d'ÉduConnect ou du GAR (rentrée 2026), personne n'indemnise l'éditeur. Sources : § 3.1, § 3.4, § 3.7.
7. Le 09/12/2026 allonge et durcit l'exposition du lecteur et du manuel web, ce que la police doit suivre. Après cette date, l'application et le manuel web sont des produits ; la perte des annotations ou travaux d'un élève (données non professionnelles) est réparable, ceux de l'enseignant non (art. 6 § 1 c, considérant 22) ; aucune clause des CGV ne limite cette responsabilité envers l'élève (art. 15), alors que les CGV lues la limitent au prix payé (Y25 § 4) ; chaque modification substantielle relance le délai de dix ans (art. 17 § 1 b). La garantie « produits non conformes ou défectueux » de la RC média vise les livrables ; qu'elle couvre une application de lecture au titre de la directive, avec un délai subséquent compatible avec dix ans d'exposition (L124-5 : cinq ans au minimum), se demande à l'assureur. Le projet français de janvier 2026 omettait la perte de données non professionnelles : le texte final peut changer l'étendue du risque à assurer. Sources : § 3.6.
8. Le risque d'indisponibilité dans le secteur est documenté, ce qui pèse sur la souscription cyber. Éducation et recherche font 34 % des incidents traités par l'ANSSI en 2025, part que l'ANSSI met elle-même « en perspective avec le nombre important d'entités publiques dans ces secteurs, plus enclines à contacter l'ANSSI en cas d'incident, même de faible criticité » : le chiffre mesure les signalements, pas une fréquence d'attaque supérieure aux autres secteurs. Les écoles et établissements du second degré ont été « particulièrement touchés » par les rançongiciels en 2025. À la rentrée 2026, dans l'académie de Nantes, le service « manuel numérique » a compté 0 visite les semaines du 24/08 et du 31/08/2026, contre 21 et 642 en 2025 (panel DNMA repris de X32, non remesuré) : c'est une seule académie et deux semaines de pré-rentrée et de rentrée, dont la première est peu fréquentée même en année normale ; que l'accès aux manuels y ait été coupé est une déduction, pas une mesure. Un service hors connexion (exigé par les Alpes-de-Haute-Provence, Y25 § 4) réduit le sinistre que l'assureur aurait à payer. Sources : § 3.7.

#5. Ce que la recherche n'a pas pu établir

• Le prix réel des garanties pour un éditeur scolaire (RC média avec propriété intellectuelle et image, RC produits et après livraison pour le papier et les kits, cyber avec perte d'exploitation, extension « produits défectueux » pour le logiciel après le 09/12/2026) : aucun assureur ne publie de prime pour l'édition ; les montants du § 3.5 sont des prix d'appel, des moyennes de marché ou une source de presse. Démarche externe (devis), à ajouter à docs/demarches/08-demarches-vague6.md § 4 comme ligne 4.6 :

  N°	Destinataire et coordonnées	Prestation	Ce qu'elle établirait	Rapport
  4.6	Un courtier spécialisé médias (par exemple via Hiscox France, succursale 38 avenue de l'Opéra, 75002 Paris, qui ne vend que par courtiers pour ce produit) ; Orus (hello@orus.eu ; 20 bis rue La Fayette, 75009 Paris ; Orias 26000343) ; un assureur ou courtier cyber du panel LUCY (Stoïk, Dattak, Verlingue, Verspieren…)	Devis pour une société d'édition scolaire de moins de 2 M€ de CA, papier et licences numériques (GAR et vente aux familles) : RC média avec contrefaçon, image et voix d'enfants, plafond 1 et 3 M€ ; RC produits et après livraison (manuels, fichiers à autocollants, kits) ; cyber avec perte d'exploitation et responsabilité RGPD ; question écrite sur la couverture des pénalités contractuelles par la RC média (CCAG-TIC 14.2 et 14.3, UGAP 11.2), sur la portée de la garantie diffamation et injure face à l'exclusion des délits de la loi du 29/07/1881 (MED0119, exclusion 1), sur la garantie d'une application de lecture au titre de la directive 2024/2853, sur le délai subséquent, et sur l'activité à déclarer	Prime, franchise, exclusions réelles du poste « assurance » d'un budget de production ; ce qui reste à la charge de l'éditeur	Z25

• La couverture des pénalités contractuelles par la RC média (indisponibilité, violation de données) : établie seulement par lecture des exclusions de l'IPID (« sanctions pécuniaires », « aggravation contractuelle ») ; les conditions générales du contrat RC Pro auquel s'adjoint le module MED0119 (sa « Partie 3 » d'exclusions générales) n'ont pas été trouvées à une adresse publique (le document en vigueur, PSC0623, est listé sur la page de documentation courtage de Hiscox, servie par script ; les conditions générales « Responsabilité Civile by Hiscox » n° RC0621, lues sur ffmbe.fr, ne portent pas l'exclusion « service essentiel » et ne sont donc pas la version de l'IPID 2023). Pour la cyber, la question est tranchée par l'exclusion 13 des conditions générales CC0721 (même démarche 4.6 pour la RC média).

• Le texte de l'annexe du CCP issue de l'arrêté du 22/03/2019 (art. 2) et le formulaire DC2 : lus sur deux reproductions ; l'annexe n'est pas dans le fonds LEGI. La page de la DAJ, qui répondait 403 sans navigateur, a été lue au navigateur le 12/10/2026 à son adresse actuelle (https://www.economie.gouv.fr/daj/les-formulaires-de-declaration-du-candidat, par redirection) : elle liste DC1 (DOC 118 Ko, notice PDF 132 Ko), DC2 (DOC 576 Ko, notice PDF 380 Ko), DC4 applicable depuis le 01/01/2024 (DOC 274,4 Ko, notice 2023) et les archives avant 2016 et 2016-2019, mais la rubrique F du DC2 et la formule exacte ne sont pas sur la page HTML (Z26 § 1.46). Elles sont dans le formulaire DC2 (DOC) et sa notice : téléchargement soumis à l'accord de PF (Z26 § 3).

• La version du CCAG-PI après le 13/07/2025 : les versions du CCAG-FCS et du CCAG-TIC ont été lues sur Légifrance au navigateur le 12/10/2026 (Z26 § 1.45) ; leurs seuls modificateurs sont les arrêtés du 21/04/2021, du 30/09/2021 et du 29/12/2022 et le décret n° 2024-606 du 26/06/2024 (art. 20), le TIC est « en vigueur au 12 octobre 2026 », et aucun modificateur n'est postérieur au 13/07/2025 : le stock LEGI lu est à jour pour ces deux CCAG, dont le rapport tire ses clauses. Le CCAG-PI (JORFTEXT000043310613, art. 9 seul cité) n'a pas fait l'objet de ce contrôle.

• L'état de la transposition de la directive 2024/2853 après le 20/02/2026 : aucun projet de loi ni ordonnance trouvé au 12/10/2026, ni dans le projet de loi d'adaptation au droit de l'Union de 2026 (rapport du Sénat l25-347) ; le tableau de transposition de la DACS cité par le Barreau (annexe de son rapport) n'est pas publié avec lui. À suivre sur les dossiers législatifs de l'Assemblée et du Sénat ; la DACS (ministère de la Justice, 13 place Vendôme, 75001 Paris) pourrait communiquer le projet sur demande (CRPA L. 311-1, document préparatoire probablement non communicable avant adoption).

• Les clauses d'assurance des CCAP des grands marchés régionaux (Normandie 2026 en CCAG-TIC, Occitanie, Grand Est, Région Sud) : les DCE ne sont lisibles qu'avec un compte sur les profils d'acheteurs (08-demarches-vague6 § 5, déjà rédigé). Seule source ouverte : les avis TED, qui pour la Normandie (53770-2026, 162896-2026, 328937-2026) ne portent aucun critère d'assurance et renvoient aux documents de la consultation (§ 3.2).

• Les pièces de candidature demandées par Saint-Médard-en-Jalles (2027AO01) : le dossier W07 ne contient pas de règlement de consultation.

• Les sinistres réels d'éditeurs scolaires (réclamations pour contrefaçon, image, données) : aucune statistique publiée ; la jurisprudence relevée par X11 et Y22 reste le seul indice.

• Une offre d'assurance groupe pour les éditeurs (SNE, Les éditeurs d'éducation) : non trouvée sur les pages publiques.

• La page France Épargne ne donne pas sa source pour la fourchette de 500 à 1 500 € ; aucune seconde source ne la confirme.

#6. Sources

Textes (fonds LEGI de la DILA, stock du 13/07/2025, extraits le 12/10/2026 dans /home/paul/.cache/manuels-vague7/Z25/legi/) :

• Arrêté du 30/03/2021, CCAG-FCS (JORFTEXT000043310341) : art. 8 (LEGIARTI000043315354), 9 (LEGIARTI000043315355), 10.1.3, 18.3, 33 (LEGIARTI000043315381), 37.4.2 (LEGIARTI000043315388), 41.1 f, j, k et 41.2 (LEGIARTI000043315394).
• Arrêté du 30/03/2021, CCAG-TIC (JORFTEXT000043310689) : art. 5 (LEGIARTI000044172915), 8 (LEGIARTI000043320089), 9 (LEGIARTI000043320091), 14 (LEGIARTI000043320095), 36, 46.4.2 (LEGIARTI000043320056), 50.1 f, j, k (LEGIARTI000043320064).
• Loi n° 78-17 du 06/01/1978, art. 21 en vigueur (LEGIARTI000049164448), extrait le 12/10/2026 dans /home/paul/.cache/manuels-vague7/Z25-integ/legi/.
• Sénat, rapport l25-347 sur le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (copie Z25-verif/raw/senat347.html).
• Arrêté du 30/03/2021, CCAG-PI (JORFTEXT000043310613) : art. 9 (LEGIARTI000043319754).
• Code de la commande publique, R2142-12 (LEGIARTI000037730669).
• Code des assurances, L12-10-1 (LEGIARTI000047048152), L113-1 (LEGIARTI000006791984), L124-5 (LEGIARTI000006792609).
• Code de la propriété intellectuelle, L132-8 (LEGIARTI000029755790).
• Code civil, 1240 (LEGIARTI000032041571), 1241 (LEGIARTI000032041565), 1245 (LEGIARTI000032041540), 1245-1, 1245-14, 1245-15, 1245-16.
• Directive (UE) 2024/2853 : http://publications.europa.eu/resource/celex/32024L2853 ; https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024L2853
• Question écrite n° 11448 et réponse (JO du 12/05/2026, p. 4170) : https://questions.assemblee-nationale.fr/q17/17-11448QE.htm
• Ordre des avocats de Paris, rapport du 20/02/2026 : https://www.avocatparis.org/sites/bdp/files/2026-03/RAPPORT%20DIRECTIVE%20PRODUITS%20DEFECTUEUX.pdf
• Reproductions du CCP (annexe « renseignements et documents », DC2) : https://www.marche-public.fr/Marches-publics/Definitions/Entrees/Candidature-renseignements-declarations-appropriees-banques-assurance.htm ; https://www.code-commande-publique.com/assurances-exigibles-du-candidat/

Données ouvertes (12/10/2026) :

• BOAMP : https://boamp-datadila.opendatasoft.com/api/explore/v2.1/catalog/datasets/boamp/records (fichiers boamp/avis.json, boamp/mesure2.txt) ; export complet de la contre-vérification https://boamp-datadila.opendatasoft.com/api/explore/v2.1/catalog/datasets/boamp/exports/json (Z25-verif/raw/boamp/avis.json, script Z25-verif/scripts/boamp2.py) ; avis cités 18-105768, 18-157077, 19-149702, 18-74447, 23-11186, 24-106987, 21-47886.
• DECP : https://data.economie.gouv.fr/api/explore/v2.1/catalog/datasets/decp-v3-marches-valides/records ; https://data.economie.gouv.fr/api/explore/v2.1/catalog/datasets/decp-2022-marches-valides/records (fichiers decp/*.manuels.json) ; export de la contre-vérification https://data.economie.gouv.fr/api/explore/v2.1/catalog/datasets/decp-2022-marches-valides/exports/json (Z25-verif/raw/decp/).
• TED : https://api.ted.europa.eu/v3/notices/search (POST, FT~"manuels scolaires" AND buyer-country=FRA, 970 avis, Z25-integ/ted_live.json) ; avis https://ted.europa.eu/fr/notice/53770-2026 , https://ted.europa.eu/fr/notice/162896-2026 , https://ted.europa.eu/fr/notice/328937-2026 (XML dans Z25-verif/raw/).
• API Recherche d'entreprises : https://recherche-entreprises.api.gouv.fr/search?q=200053403 ; …?q=200053791

Contrats et dossiers de consultation :

• DCE Lognes 2026-20, Armentières 2026-40, Saint-Médard-en-Jalles 2027AO01 : etude/vague4/_travail_W07/dce_* (W07).
• Contrat GAR v2026 : https://gar.education.fr/wp-content/uploads/2026/06/Contrat-GAR_v2026.pdf
• CGE UGAP n° 772 226 : ~/.cache/manuels-vague6/Y07-verif/cge.txt (Y07).

Acteurs :

• Hiscox : https://www.hiscox.fr/courtage/sites/courtage/files/documents/Hiscox_IPID_RC_Media_AGORA_2023.pdf ; https://www.hiscox.fr/courtage/sites/courtage/files/documents/cg-med-med0119.pdf ; https://www.hiscox.fr/courtage/sites/courtage/files/documents/Memo%20produit%20Media%20Culture%20.pdf ; https://www.hiscox.fr/courtage/sites/courtage/files/documents/Questionnaire%20-%20Edition%20%26%20journalisme.pdf ; https://www.hiscox.fr/courtage/sites/courtage/files/documents/Hiscox_IPID_Cyber_Agora_2023.pdf ; conditions générales CyberClear CC0721 : https://www.hiscox.fr/courtage/sites/courtage/files/documents/cg-cyberclear-cc0721.pdf ; conditions générales RC0621 (ancienne version, pour comparaison) : https://ffmbe.fr/wp-content/uploads/2024/05/CG-RC-Pro.pdf
• Orus : https://www.orus.eu/assurance-rc-pro/edition
• Assurup : https://www.assurup.com/activities/edition-livres
• AMRAE, LUCY 2026 : https://www.amrae.fr/sites/default/files/public/2026-07/AMRAE_LUCY_2026_FR_Hdef_c.pdf ; https://www.amrae.fr/lucy-lumiere-sur-la-cyberassurance-edition-2026
• France Assureurs : https://www.franceassureurs.fr/wp-content/uploads/2026-assurance-cyber-brochure.pdf ; https://www.franceassureurs.fr/actualites/cyberattaques-ressource-renforcer-resilience-tpe-pme/
• France Épargne (12/07/2026) : https://www.france-epargne.fr/news/responsabilite-produits-la-directive-20242853-rebat-les-cartes-avant-le-9-decembre-2026

Rapports publics :

• HCJP, Rapport sur l'assurabilité des risques cyber, 28/01/2022 : https://www.banque-france.fr/sites/default/files/rapport_45_f.pdf (403 sans navigateur) ; copie lue : https://web.archive.org/web/20230205204513/https://www.banque-france.fr/sites/default/files/rapport_45_f.pdf ; résumé : https://www.lemondedudroit.fr/publications/248-etudes-et-documents/80145-publication-rapport-assurabilite-risque-cyber.html
• ANSSI, Panorama de la cybermenace 2025 : https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (p. 7, 11, 22)
• Cybermalveillance.gouv.fr, rapport d'activité 2025 : https://www.cybermalveillance.gouv.fr/medias/2026/03/RA_2025_Cybermalveillance_gouv_fr.pdf

Rapports de l'étude cités : W07, Y07, Y21, Y22, Y23, Y24, Y25, Y26, X32 ; synthèses 09-vague4 § 4, § 6.2, § 7.2 ; 10-vague5 § 8 ; 11-vague6 § 3.8, § 4, § 6.