Aperçu du dossier

Dans le cadre d’un litige très suivi concernant la contrefaçon de brevets en matière de cybersécurité, BitSight Technologies, Inc. et NormShield, Inc. (opérant sous le nom de Black Kite) ont conclu en février 2025 un accord de désistement mutuel avec préjudice, mettant ainsi fin à une bataille juridique de 527 jours devant le tribunal de district du Massachusetts. Intentée le 5 septembre 2023 sous le numéro de dossier 1:23-cv-12055, l'action portait sur cinq brevets américains couvrant l'évaluation de la sécurité des technologies de l'information, les notations de risque basées sur le comportement organisationnel et la gestion des risques de sécurité — des technologies qui constituent le cœur commercial du marché en pleine expansion des renseignements sur les cyberrisques tiers.

Les parties

Brevets en cause

Cette action concernait cinq brevets américains portant sur des méthodologies d'évaluation de la cybersécurité, qui constituent l'infrastructure technologique fondamentale de BitSight :

• • US11652834B2 — Évaluation de la sécurité des technologies de l'information
• • US9973524B2 — Notations de risque fondées sur le comportement organisationnel
• • US9438615B2 — Méthodes de gestion des risques de sécurité
• • US10805331B2 — Systèmes d'évaluation de la sécurité informatique
• • US11777976B2 — Cadres de gestion des risques de sécurité

Le verdict et l'analyse juridique

Résultat

L'affaire s'est conclue par un accord conjoint de désistement définitif, ce qui signifie que toutes les demandes et demandes reconventionnelles formulées tant par BitSight que par Black Kite ont été définitivement éteintes. Aucune des parties n'a reconnu sa responsabilité. Chaque partie supporte ses propres frais et honoraires d'avocat — une clause habituelle dans les accords négociés qui indique qu'aucune des deux parties n'a occupé une position clairement dominante dans le litige, suffisante pour justifier une demande de prise en charge des frais en vertu de l'article 35 U.S.C. § 285.

Aucune indemnisation n'a été accordée. Aucune mesure injonctive n'a été ordonnée. Les modalités financières spécifiques du règlement, si elles figurent dans un accord parallèle confidentiel, n'ont pas été divulguées dans les documents judiciaires rendus publics.

Principales questions juridiques

La cause faisant l'objet du jugement officiel est classée comme une action en contrefaçon, BitSight affirmant que les produits d'évaluation des risques de cybersécurité de Black Kite enfreignaient les revendications des cinq brevets invoqués. La présence de demandes reconventionnelles — mentionnées dans l'accord de rejet — laisse supposer que Black Kite a présenté des moyens de défense positifs qui comprenaient probablement des contestations de validité, des arguments de non-contrefaçon ou, éventuellement, des demandes reconventionnelles visant à obtenir un jugement déclaratoire.

Cette affaire met en évidence plusieurs tendances importantes dans les litiges relatifs aux brevets en matière de cybersécurité :

• • Portée des revendications dans les brevets algorithmiques : les brevets portant sur l'analyse comportementale et les méthodes d'évaluation des risques se heurtent à une complexité inhérente en matière d'interprétation des revendications. La définition des limites des revendications mises en œuvre par logiciel dans le domaine de la cybersécurité — notamment en ce qui concerne ce qui constitue un « système d'évaluation » ou une méthode de « notation des risques » — engendre souvent une incertitude juridique qui incite aux règlements à l'amiable.
• • Stratégies de mise en œuvre de plusieurs brevets : le fait que BitSight fasse valoir cinq brevets simultanément témoigne d'une approche de gestion du portefeuille visant à maximiser la couverture des revendications et à compliquer les stratégies d'invalidation. Cependant, la gestion de cinq litiges en cours, depuis la phase de communication des pièces jusqu'à l'interprétation des revendications, mobilise d'importantes ressources, ce qui, à terme, crée une pression en faveur d'un règlement à l'amiable.
• • Absence de reconnaissance de responsabilité : la clause stipule explicitement qu’il ne s’agit « d’aucune reconnaissance de responsabilité de la part d’une quelconque partie », préservant ainsi la réputation et la position concurrentielle des deux parties — une condition essentielle pour les entreprises opérant sur les marchés de la cybersécurité, où la confiance est primordiale.