6B_120/2026 — Infractions*

Bundesgericht

Tribunal fédéral

Tribunale federale

Tribunal federal

6B_120/2026

Arrêt du 24 juin 2026

Ire Cour de droit pénal

Composition

MM. et Mme les Juges fédéraux

Muschietti, Président,

von Felten, Wohlhauser, Guidon et Glassey.

Greffière : Mme Klinke.

Participants à la procédure

A.________,

représenté par

Maîtres Bertrand Gygax et Ludovic Tirelli, avocats,

recourant,

contre

Ministère public central du canton de Vaud, avenue de Longemalle 1, 1020 Renens VD,

intimé.

Objet

Accès indu à un système informatique (art. 143bis CP); principe de l'accusation; frais et indemnités; droit d'être entendu,

recours contre le jugement de la Cour d'appel pénale du Tribunal cantonal du canton de Vaud du 8 octobre 2025 (n° 328 PE19.017195-VPT).

Faits :

Par jugement du 9 avril 2025, le Tribunal correctionnel de l'arrondissement de la Broye et du Nord vaudois a notamment libéré A.________ du chef de prévention d'accès indu à un système informatique (art. 143 ^bis CP) (VI), constaté qu'il s'est rendu coupable d'escroquerie et d'infraction à la loi fédérale sur les armes (VII), l'a condamné à une peine privative de liberté de 120 jours, sous déduction de 55 jours de détention avant jugement, et à une peine de 75 jours-amende à 50 fr. l'unité (VIII) avec sursis pendant deux ans (IX). Il a également statué sur le sort des pièces à conviction et les séquestres (XII à XV), mis les frais de la cause par 24'278 fr. 30 à la charge de A.________, y compris l'indemnité allouée à son précédent défenseur d'office (XIX) et a rejeté les conclusions prises par A.________ en versement d'une indemnité fondée sur l'art. 429 al. 1 let. a, b et c CPP (XXI), l'indemnité de défense d'office allouée à son précédent défenseur d'office par 10'829 fr. 50 étant remboursable à l'état de Vaud par A.________ dès que sa situation financière le permettra (XXIII).

Précédemment à ce jugement, le Ministère public central du canton de Vaud, division affaires spéciales (ci-après: ministère public) a, par ordonnance du 5 octobre 2023, classé partiellement la procédure pénale dirigée contre A.________ et B.________, des chefs de tentative de soustraction de données (art. 143 al. 1 cum 22 al. 1 CP), tentative de détérioration de données (art. 144bis ch. 1 al. 2 cum 22 al. 1 CP), tentative d'extorsion (art. 156 ch. 1 et 4 cum 22 al. 1 CP) et gestion déloyale (art. 158 CP). S'agissant des premiers chefs d'infraction, il en ressort pour l'essentiel que les intéressés ont largement envisagé l'emploi d'un logiciel " ransomware " ciblant le système informatique de U.________ et se sont adjoints les avis d'experts spécialistes en sécurité informatique pour aborder ces questions. Le ministère public a néanmoins constaté que les investigations entreprises n'avaient pas permis de mettre en évidence des éléments concrets ayant trait à des démarches suffisantes pour admettre que les conditions d'une tentative étaient réalisées. S'agissant des effets accessoires du classement en lien avec les frais et l'octroi d'éventuelles indemnités fondées sur l'art. 429 CPP, le ministère public a renvoyé à l'autorité de jugement le soin de les fixer en vertu de l'art. 421 al. 1 CPP (jugement de première instance p. 38; ordonnance de classement ch. 1.4 p. 6 et ch. 3.3 p. 14 ss).

Statuant sur les appels de A.________ et du ministère public par jugement du 8 octobre 2025, la Cour d'appel pénale du Tribunal cantonal vaudois (ci-après: la cour cantonale) a rejeté le premier et admis le second. En sus des infractions retenues en première instance, elle a reconnu A.________ coupable d'accès indu à un système informatique (art. 143bis CP) et l'a condamné à une peine privative de liberté de 9 mois sous déduction de la détention subie, et à une peine pécuniaire de 75 jours-amende à 50 fr. l'unité (ch. VI, VII et VIII du dispositif de première instance).

S'agissant de la seule infraction encore litigieuse à ce stade, le jugement cantonal repose pour l'essentiel sur les faits pertinents suivants.

À une reprise, dans le courant de l'automne 2018 à tout le moins, depuis un lieu indéterminé, A.________, alors employé auprès de la direction C.________ (ci-après: C.________) de U.________, s'est introduit sans droit, par le biais de la faille "Oracle", dans le système informatique de la C.________ en s'octroyant indûment des "droits-administrateur", lui permettant notamment de procéder à l'installation d'un logiciel ("PC PROX", permettant plus particulièrement la gestion des accès à distance) (cf. jugement entrepris consid. 2.2.2).

Une plainte pénale a été déposée pour ces faits.

A.________ forme un recours en matière pénale au Tribunal fédéral contre le jugement cantonal et conclut en bref, avec suite de frais et dépens, à sa libération du chef de prévention d'accès indu à un système informatique, au prononcé d'une peine privative de liberté de 120 jours (sous déduction de la détention subie) et d'une peine pécuniaire de 75 jours-amende à 50 fr., les frais et indemnités de première instance étant mis à la charge de l'état. Il conclut en outre à l'admission de ses conclusions en indemnisation (cf. art. 429 al. 1 let. a, b et c CPP) pour un montant total de 479'418 fr. 45, ainsi qu'à la mise à la charge de B.________ et de l'état des frais et indemnités d'appel. Subsidiairement, il conclut au renvoi de la cause à la cour cantonale pour nouvelle décision dans le sens des considérants.

Considérant en droit :

Le recourant s'en prend à l'établissement des faits ayant conduit à sa condamnation du chef d'accès indu à un système informatique et se prévaut d'une violation de la présomption d'innocence sur ce point.

1.1. Le Tribunal fédéral n'est pas une autorité d'appel, auprès de laquelle les faits pourraient être rediscutés librement. Il est lié par les constatations de fait de la décision entreprise (art. 105 al. 1 LTF), à moins qu'elles n'aient été établies en violation du droit ou de manière manifestement inexacte au sens des art. 97 al. 1 et 105 al. 2 LTF, soit pour l'essentiel de façon arbitraire au sens de l'art. 9 Cst. Une décision n'est pas arbitraire du seul fait qu'elle apparaît discutable ou même critiquable; il faut qu'elle soit manifestement insoutenable et cela non seulement dans sa motivation mais aussi dans son résultat (ATF 150 IV 360 consid. 3.2.1; 148 IV 409 consid. 2.2; sur la notion d'arbitraire v. ATF 147 IV 73 consid. 4.1.2). En matière d'appréciation des preuves et d'établissement des faits, il n'y a arbitraire que lorsque l'autorité ne prend pas en compte, sans aucune raison sérieuse, un élément de preuve propre à modifier la décision, lorsqu'elle se trompe manifestement sur son sens et sa portée, ou encore lorsque, en se fondant sur les éléments recueillis, elle en tire des constatations insoutenables. Le Tribunal fédéral n'entre en matière sur les moyens fondés sur la violation de droits fondamentaux, dont l'interdiction de l'arbitraire, que s'ils ont été invoqués et motivés de manière précise (art. 106 al. 2 LTF; ATF 150 IV 360 consid. 3.2.1; 148 IV 356 consid. 2.1). Les critiques de nature appellatoire sont irrecevables (ATF 150 I 50 consid. 3.3.1; 148 IV 409 consid. 2.2).

Lorsque l'appréciation des preuves et la constatation des faits sont critiquées en référence à la présomption d'innocence (art. 6 par. 2 CEDH, 32 al. 1 Cst. et 10 CPP), le principe in dubio pro reo n'a pas de portée plus large que l'interdiction de l'arbitraire (ATF 148 IV 409 consid. 2.2; 146 IV 88 consid. 1.3.1).

1.2. Le tribunal de première instance a retenu que le recourant avait installé un logiciel sur son propre poste de travail et non sur une machine appartenant à autrui et protégée contre son accès, ce en utilisant ses propres identifiants.

La cour cantonale a quant à elle notamment retenu que l'accès qui avait été autorisé au recourant n'était pas destiné à lui permettre d'accéder à toutes les fonctionnalités de la machine. Il ne disposait ainsi pas d'un droit d'accès sur les emplacements liés au système d'exploitation, et donc permettant d'installer des "drivers" (composants systèmes). Même si la machine lui avait été remise pour son travail, l'accès à ces emplacements et fonctionnalités spécifiques était restreint aux personnes disposant de droits d'accès administrateur. Or le recourant avait contourné ces restrictions d'accès de manière indue, en profitant d'une faille pour procéder à une élévation de ses privilèges ("privilege escalation"). D'après les témoins, le recourant avait créé un script pour élever les droits administrateur via la faille ou avait repris ce script d'un rapport d'audit. L'élévation de ses privilèges lui avait justement permis d'accéder à ces espaces restreints de la machine de U.________ pour y installer un logiciel non autorisé. Le recourant avait donc contourné les mécanismes normaux d'accès. Il savait qu'en agissant ainsi, il obtenait des droits qu'il n'avait pas, tout comme il savait qu'il y avait une procédure à suivre, consistant à demander une augmentation des privilèges et ouvrir un ticket. Il avait ainsi volontairement exploité une faille pour contourner la procédure et élever ses droits (jugement entrepris consid. 4.3).

1.3. Comme au stade de l'appel, le recourant admet avoir exploité la faille "Oracle" pour s'attribuer des droits d'administrateur et installer un driver "PC PROX". Il ne conteste pas davantage que l'exploitation de la faille permettait précisément de procéder à une élévation de privilèges pour obtenir un niveau de droits élevés sur un poste de travail et que le comportement à l'origine de l'élévation des droits d'administrateur via la faille consistait à créer un script ou à reprendre ce script. Enfin, le recourant ne remet pas en cause le fait qu'il n'a pas respecté la procédure usuelle de l'élévation des privilèges, devant se faire au moyen d'une demande d'augmentation des droits auprès du Service IT ainsi que l'ouverture d'un ticket pour installer le pilote "PC PROX" (cf. jugement entrepris consid. 4.3 en référence aux déclarations des témoins D.________ et E.________; mémoire de recours pp 11-19).

1.3.1. Néanmoins, sous couvert d'arbitraire dans l'établissement des faits, le recourant fait valoir, notamment sur la base des déclarations des témoins cités par la cour cantonale, que les droits ont été élevés sur son poste de travail uniquement, qu'ils ne concernaient que sa machine, et qu'il s'est connecté à son propre " espace " avec son identifiant et son mot de passe (mémoire de recours let. D p. 11 à 16). Ce faisant, le recourant échoue à démontrer en quoi la cour cantonale aurait versé dans l'arbitraire en retenant que "la machine" qu'il évoque lui avait été remise pour son travail. En tout état, ces considérations ne sont pas pertinentes quant au résultat, puisque, contrairement à ce que suggère le recourant, il importe peu de savoir en l'espèce au moyen de quel ordinateur physique il a agi, la question étant de savoir si le ou les espaces informatiques ("emplacements liés au système d'exploitation"; "emplacements et fonctionnalités"; "espaces restreints", selon le jugement entrepris) auxquels il admet avoir accédé, constituent un système informatique au sens de l'art. 143 ^bis CP (cf. infra consid. 2 et 3).

1.3.2. Dans la mesure où les faits reprochés reposent en partie sur les témoignages dont il se prévaut, le recourant ne saurait se plaindre de l'absence de leur prise en considération par la cour cantonale, étant rappelé que les témoins confirment l'utilisation par le recourant d'une faille "Oracle" pour élever ses privilèges (mémoire de recours p. 12 en référence à la pièce 224 et p. 13 en référence au jugement de première instance). Le témoin E.________, ancien employé au département de la sécurité au sein du F.________ (F.________), a précisé que cette faille, permettant de faire une élévation de privilèges sur la machine, avait été révélée par un audit et que, dans ce cas, une démonstration était prévue pour que les personnes puissent "s'imaginer le danger" et le service informatique corrigeait ensuite cette faille (jugement de première instance, p. 21 s.). Pour le surplus, le recourant échoue à démontrer dans quelle mesure les déclarations des témoins dont il se prévaut auraient été arbitrairement omises.

S'agissant du but prétendument visé par le recourant selon les témoins, il est renvoyé infra au consid. 3.2.8, concernant l'élément constitutif subjectif de l'infraction.

1.3.3. Toujours sous l'angle des faits, le recourant estime que le "PC Prox" ne saurait être qualifié de logiciel au motif qu'il s'agirait d'un matériel, respectivement d'un driver dont il avait besoin pour poursuivre ses tâches usuelles. Il se prévaut de ses propres déclarations en cours de procédure ainsi que de celles du témoin D.________ sur ce point. Or, outre que cette dernière qualification ressort du jugement entrepris (cf. consid. 4.3 p. 27: "drivers" ou composants systèmes), le recourant n'explique pas en quoi les caractéristiques de ce driver seraient pertinentes dans l'examen des éléments constitutifs de l'infraction.

1.3.4. Les autres considérations techniques apportées par le recourant relèvent de l'application du droit puisqu'elles visent pour l'essentiel à contester l'accès indu à un système informatique appartenant à autrui au sens de l'art. 143 ^bis CP dans le cas d'espèce (cf. infra consid. 2 et 3).

1.3.5. En définitive, en tant qu'ils sont recevables, les griefs d'arbitraire dans l'établissement des faits et l'appréciation des preuves sont infondés.

Le recourant reproche à la cour cantonale d'avoir violé le droit fédéral en appliquant l'art. 143 ^bis CP au cas d'espèce.

2.1. Entrées en vigueur le 1er janvier 1995 à la suite du constat du Conseil fédéral relevant d'importantes lacunes au niveau de la punissabilité de la criminalité informatique (Message du 24 avril 1991 concernant la modification du code pénal suisse et du code pénal militaire [Infractions contre le patrimoine et faux dans les titres], FF 1991 II 948 [ci-après: Message 1991]), les dispositions sur les infractions dans le domaine informatique ont été complétées au 1er janvier 2012, avec l'entrée en vigueur en Suisse de la Convention sur la cybercriminalité du Conseil de l'Europe, conclue à Budapest le 23 novembre 2001, ratifiée par la Suisse le 21 septembre 2011 (CCC; RS 0.311.43).

2.2. À teneur de l'art. 143 ^bis al. 1 CP (dans sa version en vigueur jusqu'au 30 juin 2023), quiconque s'introduit sans droit, au moyen d'un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part est, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire.

Cette disposition protège les systèmes de traitement de données contre les intrus ("hackers" ou pirates informatiques) qui cherchent à déjouer les systèmes de sécurité pour s'introduire dans des systèmes de données sécurisés et dont l'activité s'est révélée être la source de perturbations et de dangers considérables pour le bon fonctionnement de systèmes de grande envergure notamment (ATF 145 IV 185 consid. 2.1 en référence au Message 1991, FF 1991 II 979). Le législateur a délibérément subordonné la punissabilité en vertu de l'art. 143bis al. 1 CP au fait qu'un système de protection de l'accès ait été contourné (ATF 145 IV 185 consid. 2.1 et arrêt 6B_615/2014 du 2 décembre 2014 consid. 4.3 en référence au Message du 18 juin 2010 relatif à l'approbation et à la mise en oeuvre de la Convention du Conseil de l'Europe sur la cybercriminalité [FF 2010 4281], et réserve de la Suisse relative à l'art. 2 CCC).

En tant qu'acte préparatoire à une soustraction de données au sens de l'art. 143 CP, l'infraction d'accès indu à un système informatique au sens de l'art. 143bis al. 1 CP suppose - de manière analogue à la violation de domicile (art. 186 CP) - une intrusion dans un système informatique appartenant à autrui (ATF 145 IV 185 consid. 2.1 en référence au Message 1991, FF 1991 II 979). Font l'objet de l'infraction les systèmes ou installations de traitement de données et non pas - contrairement à l'art. 143 CP - les données qui y sont stockées. Est protégée la liberté de l'ayant droit de décider à qui peut être accordé l'accès à une installation de traitement de données sécurisée et aux données qui y sont stockées (ATF 145 IV 185 consid. 2.1 et références citées).

Par analogie avec ce qui prévaut dans le contexte de la violation de domicile (art. 186 CP), la disposition protège la paix informatique ( Computerfrieden) et plus particulièrement le droit de l'ayant droit de maîtriser l'accès au système informatique et de le contrôler (cf. arrêt 6B_456/2007 du 18 mars 2008 consid. 4.2; GILLES MONNIER, in Commentaire romand, Code pénal, vol. II, 2e éd. 2025, n° 1 ad art. 143bis CP; PHILIPPE WEISSENBERGER, in Basler Kommentar, Strafrecht 4e éd. 2019, n° 5 ad art. 143 ^bis CP; CHRISTA PFISTER, Hacking in der Schweiz im Spiegel des europäischen, des deutschen und des österreichischen Computerstrafrechts, thèse, 2008, p. 100).

2.3. La notion de système informatique ( Datenverarbeitungssystem; sistema per l'elaborazione di dati) désigne en premier lieu l'ordinateur comme tel. Néanmoins, eu égard à la parcellisation et à la virtualisation qu'offre l'informatique, on entend aussi par système informatique appartenant à autrui, une installation ou un espace virtuel de traitement de données, respectivement un sous-système ( Subsystem) au sein d'un système informatique, auquel l'auteur n'a pas accès (DONATSCH/GRAF/JEAN-RICHARD-DIT-BRESSEL, Strafrecht III, Delikte gegen den Einzelnen, 12e éd. 2025, § 14, p. 214 s.; MONNIER, op. cit., n° 3, 4 et 6 ad art. 143bis CP; TRECHSEL/JENAL, Schweizerisches Strafgesetzbuch, Praxiskommentar, 5e éd. 2025, n° 4 ad art. 143bis CP; STEFAN SCHLEGEL, in Schweizerisches Strafgesetzbuch, Handkommentar, WOHLERS/GODENZI/SCHLEGEL [éd.], 5 ^e éd. 2024, n° 2 ad art. 143bis CP, qui mentionne des parties [ Teile] de systèmes informatiques; STRATENWERTH/BOMMER, Schweizerisches Strafrecht, Besonderer Teil I: Straftaten gegen Individualinteressen, 8e éd. 2022, § 14 n° 39; WEISSENBERGER, op. cit., n° 12 s. ad art. 143bis CP; DUPUIS ET AL., Petit commentaire du Code pénal, 2 ^e éd, 2017, n° 8 ad art. 143 ^bis CP; GILLES MONNIER, Le piratage informatique en droit pénal, sic! 2009 141 [cité: piratage], p. 142 s., qui fait état d'un espace virtuel réservé, respectivement d'un espace de traitement et de sous-espaces privés; PFISTER, op. cit., p. 104; cf. en ce sens arrêt 6B_241/2015 du 26 janvier 2016 consid. 1.3.3).

Cette approche visant à protéger des sous-systèmes informatiques dont l'accès est réservé à une personne ou à un groupe de personnes déterminées doit être suivie pour plusieurs raisons.

En remplaçant le mot "ordinateur", figurant initialement dans le projet du Conseil fédéral, par la notion de "système informatique", le but du législateur était de manifester que la protection pénale s'exerce avant tout à l'égard des données elles-mêmes. Le législateur a d'ailleurs expressément réservé les "systèmes analogues de traitement de données", renonçant à définir plus avant ces notions, afin précisément de permettre une adaptation à l'évolution technologique (cf. FF 1991 II 948 ss, en particulier 952). En outre, le Message 1991 mentionne non seulement une intrusion mais aussi le fait d'"utiliser de manière abusive un dispositif de transmission de données" (FF 1991 II 979).

Par ailleurs, à la lumière de l'art. 1 let. a CCC, selon lequel l'expression "système informatique" désigne tout dispositif isolé ou ensemble de dispositifs interconnectés ou apparentés, qui assure ou dont un ou plusieurs éléments assurent, en exécution d'un programme, un traitement automatisé de données, il convient d'accorder une portée large à la notion (cf. en ce sens, MÉTILLE/AESCHLIMANN, Infrastructures et données informatiques: quelle protection au regard du code pénal suisse?, in RPS 132/2014, p. 297). De plus, une interprétation de l'art. 143bis CP conforme à l'art. 2 CCC, qui punit "l'accès intentionnel et sans droit à tout ou partie d'un système informatique", plaide également en faveur de la protection pénale des sous-systèmes informatiques, en tant que parties d'un système. Sur ce point, il est précisé qu'à la lumière de la CCC, c'est davantage le droit d'accès au système informatique qui doit appartenir à autrui plutôt que le système en tant que tel (cf. en ce sens, JÉRÉMIE MÜLLER, Le droit matériel suisse est-il conforme aux exigences minimales posées par la Convention du Conseil de l'Europe sur la cybercriminalité?, sic! 6/2016 p. 333; CHRISTIAN SCHWARZENEGGER, Die internationale Harmonisierung des Computer- und Internetstrafrechts durch die Convention on Cybercrime vom 23. November 2001, in DONATSCH/FORSTER/SCHWARZENEGGER (éd.), Strafrecht, Strafprozessrecht und Menschenrechte, Festschrift für Stefan Trechsel zum 65. Geburtstag, 2002, p. 316).

Enfin, par analogie avec l'infraction apparentée de violation de domicile (art. 186 CP), qui protège la "paix du domicile", il convient de distinguer les différents espaces d'un même lieu, en fonction de la structure des accès informatiques différenciés, de sorte qu'un système informatique peut contenir des sous-systèmes dont l'accès est réservé à un ayant droit, la "paix informatique" couvrant chaque espace virtuel fractionné du système informatique (cf. en ce sens notamment WEISSENBERGER, op. cit., n° 12 s. ad art. 143bis CP; MONNIER, op. cit., piratage, p. 142 ss).

En ce sens, le Tribunal fédéral a admis que celui qui, sur son ordinateur, se connecte à un compte de courrier électronique d'un tiers à l'aide d'un mot de passe accède à une partie du système informatique appartenant à autrui (ATF 145 IV 185 consid. 2.2.1 " ein fremder Teil des gesamten Datenverarbeitungssystems ").

2.4. L'art. 143 ^bis CP exige que le système informatique soit protégé. Au regard de l'art. 2 CCC, qui ne pose pas cette exigence, la Suisse a émis une réserve, selon laquelle il faut qu'un système de protection de l'accès ait été contourné (FF 2010 4281).

La protection spéciale visée par l'art. 143 ^bis CP correspond pour l'essentiel à celle prévue par l'art. 143 CP. Elle implique que l'ayant droit manifeste sa volonté d'empêcher que des tiers n'accèdent au système informatique ou de restreindre cet accès. Par exemple, l'utilisation d'un chiffrement, de codes d'accès, de clés biométriques ou de mots de passe est une manifestation de cette intention. Il n'est pas nécessaire que des mesures de protection spécifiques, allant au-delà d'une protection contre les virus et les accès illicites habituelle sur le marché, aient été prises (cf. FF 2010 4283 en lien avec la condition de la protection spéciale contre tout accès indu prévue par l'art. 143 CP; cf. pour le surplus, PFISTER, op. cit., p. 106 s.).

Il n'y a pas d'exigences uniformes à imposer en matière de mesures de protection, celles-ci devant s'examiner au cas par cas. Il est nécessaire que les mesures suffisent habituellement, compte tenu des circonstances propres au cas d'espèce, à empêcher l'auteur de l'infraction, en tant que personne non autorisée, d'accéder au système informatique. Cela suppose que les mesures correspondent aux normes techniques de sécurité habituelles et qu'elles puissent être raisonnablement exigées de l'exploitant de ce système dans les circonstances données. Les mesures de sécurité ne doivent donc pas être fondées sur ce qui est techniquement optimal, mais sur ce qui est approprié et raisonnable dans la situation concrète (cf. PFISTER, op. cit., p. 107 s.; MÉTILLE/MEYER, Informatique et droit, 2e éd. 2025, p. 200, selon lesquels l'efficacité de la protection revêt peu d'importance, car elle doit surtout permettre au hacker de constater qu'il s'introduit dans un système qui ne lui est pas librement accessible; NIKLAUS SCHMID, Komputer- sowie Check- und Kreditkartenkriminalität, Ein Kommentar zu den neuen Straftatbeständen des schweizerischen Strafgesetzbuches, 1994, § 4 n° 30 en lien avec l'art. 143 CP). Il convient de relativiser l'importance du niveau d'efficacité de la barrière, au vu des prouesses techniques sans cesse développées par les pirates informatiques (MÉTILLE/AESCHLIMANN, op. cit., p. 299, qui excluent néanmoins un dispositif de si peu d'efficacité que la protection s'apparente à une absence de protection; MONNIER, op. cit., piratage, p. 145).

Selon les auteurs de doctrine qui se penchent expressément sur la question des failles de sécurité, ces dernières n'excluent pas l'existence d'une protection spéciale, d'autant plus qu'elles constituent presque la règle. Ainsi, les auteurs estiment-ils que quiconque exploite une faille de sécurité d'un système informatique appartenant à autrui et y pénètre, réalise l'infraction à l'art. 143bis CP (WEISSENBERGER, op. cit., n° 15 ad art. 143bis CP; MONNIER, op. cit., piratage, p. 145).

2.5. Le comportement d'intrusion (" Eindringen ") désigne le fait de contourner les barrières d'accès, telles que des codes ou des dispositifs de cryptage, via des voies câblées ou des canaux de transmission de données à distance sans fil, qui sont destinées à empêcher l'auteur d'accéder au système. N'est en principe pas déterminante la manière dont la sécurité est désactivée. Constitue une intrusion tout acte propre à désactiver la sécurité mise en place, sans qu'un investissement particulier en temps ou en moyens techniques ne soit nécessaire (ATF 145 IV 185 consid. 2.2 et les nombreuses références citées).

2.6. La notion d'accès sans droit se recoupe avec celle de système informatique appartenant à autrui et spécialement protégé. Elle va néanmoins au-delà de ces conditions et permet notamment à certains comportements relevant des services de sécurité informatique ou du piratage éthique (ethical hacking; white hat hacking), respectivement à l'exécution de mesures de contrainte prévues par le CPP (cf. p. ex. art. 246 ss CPP) d'échapper à l'incrimination prévue par l'art. 143 ^bis CP (cf. sur ce point notamment: DONATSCH/GRAF/JEAN-RICHARD-DIT-BRESSEL, op. cit., § 14 p. 216; MONNIER, op. cit., n° 11 ad art. 143 ^bis CP; TRECHSEL/JENAL, op. cit., n° 8 ad art. 143 ^bis CP; DAMIAN K. GRAF, Strafbarkeit von "Ethical Hacking", "Bug Bounty Hunting" und "Penetration Testing", in Jusletter du 12 février 2024, n. 13 ss; GERMANN/WICKI-BIRCHLER, Hacking und Hacker im Schweizer Recht, in PJA 2020 p. 87 s.; WEISSENBERGER, op. cit., n° 22 ad art. 143 ^bis CP; MÉTILLE/AESCHLIMANN, op. cit., p. 301; MONNIER, op. cit., piratage, p. 148).

2.7. Sur le plan subjectif, l'infraction d'accès indu à un système informatique est intentionnelle, le dol éventuel étant suffisant (DONATSCH/GRAF/JEAN-RICHARD-DIT-BRESSEL, op. cit., § 14 p. 216; MONNIER, op. cit., n° 12 ad art. 143bis CP; TRECHSEL/JENAL, op. cit., n° 9 ad art. 143bis CP; WEISSENBERGER, op. cit., n° 25 ad art. 143bis CP; DUPUIS ET AL., op. cit, n° 20 ad art. 143bis CP; MÉTILLE/AESCHLIMANN, op. cit., p. 301; PFISTER, op. cit., p. 124). L'intention doit porter sur tous les éléments constitutifs objectifs de l'infraction. L'auteur doit en particulier avoir conscience que l'objet visé est un système informatique protégé auquel il n'a pas le droit d'accéder et qu'il contourne une barrière d'accès (WEISSENBERGER, op. cit., n° 26 ad art. 143bis CP; MÉTILLE/AESCHLIMANN, op. cit., p. 301, mentionnant l'auteur qui a conscience d'accéder à des parties du système qui lui sont défendues; PFISTER, op. cit., p. 124).

Celui qui entre par négligence (ex: par une faute de frappe ou en raison d'une défaillance technique) dans un système informatique appartenant à autrui n'est pas punissable (cf. DONATSCH/GRAF/JEAN-RICHARD-DIT-BRESSEL, op. cit., § 14 p. 216; MONNIER, op. cit., n° 12 ad art. 143 ^bis CP; TRECHSEL/JENAL, op. cit., n° 9 ad art. 143 ^bis CP; SCHLEGEL, op. cit., n° 4 ad art. 143 ^bis CP; WEISSENBERGER, op. cit., n° 25 ad art. 143 ^bis CP; PFISTER, op. cit., p. 124).

Le recourant conteste s'être rendu coupable d'accès indu à un système informatique et invoque une violation de l'art. 143 ^bis CP.

3.1. Pour l'essentiel, la cour cantonale a retenu, sur la base des faits établis, que le recourant avait contourné des restrictions d'accès en profitant d'une faille pour procéder à une élévation de ses privilèges, et installer un driver, respectivement un logiciel. Selon la cour cantonale, le recourant a ainsi réalisé l'infraction à l'art. 143 ^bis CP car il avait intentionnellement accédé à un espace du système informatique de U.________ qui lui était interdit (cf. jugement entrepris consid. 4.3).

3.2. En l'espèce, il est établi et incontesté que le recourant a procédé à une élévation de ses privilèges (droits d'administrateur) en exploitant une faille au moyen d'un script (cf. sur cette notion: PFISTER, op. cit., p. 93), puis a accédé à un espace informatique permettant l'installation d'un driver.

3.2.1. Le recourant estime que l'art. 143 ^bis CP protège les espaces informatiques de tiers et non pas les seuls droits et privilèges informatiques. Il précise que l'élévation de privilèges permet uniquement à l'utilisateur de réaliser davantage d'actions qu'un utilisateur ordinaire sur son propre ordinateur.

Afin de déterminer si le recourant a accédé à un système informatique tel que défini supra (consid. 2.3), il convient de distinguer les espaces informatiques auxquels il a accédé.

Dans un premier temps, se pose la question de savoir si, pour augmenter ses droits (élévation de privilèges en droits administrateur), le recourant a accédé à l'annuaire de gestion des comptes de C.________, tel que réglementé par la directive des systèmes d'information "Gestion des accès" de C.________ (pièce 180/4). Cas échéant, il importe peu que les effets de l'augmentation des droits administrateur fussent limités à sa session ou à sa machine, puisque c'est l'accès à un sous-système qui est déterminant à ce stade. Faute d'éléments factuels suffisants permettant d'établir si un tel accès a eu lieu, il convient de s'intéresser à l'espace informatique auquel il est établi que le recourant a accédé, à savoir celui contenant les fonctionnalités permettant l'installation de drivers, restreint aux personnes disposant de droits d'accès administrateur. Cet emplacement assure, en exécution d'un programme, un traitement automatisé de données et constitue une partie d'un système informatique, dont l'accès est délimité en fonction des droits utilisateur ou administrateur. Dans la mesure où le système informatique de l'employeur est fractionné en différents espaces dont l'accès est délimité en fonction du statut des personnes, l'espace virtuel de traitement des données en cause constitue un sous-système informatique, lequel peut faire l'objet de l'infraction visée à l'art. 143 ^bis CP (cf. supra consid. 2.3; en ce sens également WEISSENBERGER, op. cit., n° 13 ad art. 143 ^bis CP, sur l'analogie entre les sous-systèmes et les niveaux de fonction d'un ordinateur [ Funktionsebenen eines Computers]).

3.2.2. Il n'est pas contesté que les droits et accès à l'annuaire de gestion des comptes appartiennent à une personne déterminée, respectivement à un groupe de personnes déterminées de U.________, dont le recourant ne fait pas partie. L'un des témoins dont se prévaut le recourant a d'ailleurs confirmé que "pour augmenter ses droits il devait faire une demande auprès du service IT" (jugement de première instance, p. 22). Le recourant ne conteste pas davantage que l'espace informatique permettant l'installation du driver n'était accessible qu'aux titulaires des droits administrateur. D'après le jugement entrepris, qui s'appuie sur ce point notamment sur les déclarations du directeur de la sécurité numérique pour U.________, le recourant n'avait pas été autorisé à s'octroyer de tels droits et il n'était pas censé avoir ces droits administrateur sur son poste de travail (jugement entrepris consid. 4.3 p. 22). Par ailleurs, dans "l'accord de confidentialité du personnel de la G.________" (Direction G.________), cité en première instance (jugement de première instance consid. 9c p. 62), le recourant s'est notamment engagé, par sa signature, à ne pas tenter d'accéder à des programmes ou données informatiques pour lesquels il n'a pas d'autorisations formelles (pièce 108/2.2).

Il résulte de ce qui précède que la cour cantonale pouvait, sans violer le droit fédéral, considérer que le sous-système informatique en cause appartenait à autrui ( fremd) au sens de l'art. 143 ^bis CP.

Dans la mesure où le sous-système en cause doit être distingué de sa propre session, c'est en vain que le recourant rappelle que, pour élever ses droits, il s'est connecté à sa propre session informatique, puis a accédé à l'espace contenant les fonctionnalités permettant d'installer des drivers, pour en déduire que ces espaces ne seraient pas dévolus à d'autres ayants droit déterminés.

3.2.3. Encore faut-il que le système informatique appartenant à autrui soit spécialement protégé.

Il ressort du jugement entrepris, non contesté sur ce point, que le recourant a contourné les restrictions d'accès en profitant d'une faille pour procéder à une élévation de ses privilèges (jugement entrepris consid. 4.3 p. 21). Or la faille décelée en lien avec les restrictions d'accès suppose précisément l'existence d'une protection visant notamment à limiter l'accès à l'annuaire informatique de gestion des comptes et a fortiori l'accès à l'espace restreint permettant l'installation de drivers (cf. en ce sens, déclarations de E.________ du 30 août 2019 p. 4: "Les bases de données sont protégées par le système Oracle"). S'il a fallu un audit pour révéler la faille, suivi d'une démonstration pour signaler le danger et impliquant une correction par le service informatique (cf. supra consid. 1.3.2; jugement de première instance, p. 21 s.), il en résulte que les mesures mises en place en l'espèce correspondent aux normes techniques de sécurité habituelles, étant précisé qu'elles ne doivent pas nécessairement être techniquement optimales, mais appropriées et raisonnables dans la situation concrète (cf. supra consid. 2.4). Le fait qu'une procédure de demande d'augmentation des droits et d'ouverture d'un ticket pour l'installation d'un pilote était mise en place conforte cette conclusion.

Comme souligné supra, l'existence d'une faille de sécurité n'exclut pas l'admission d'une protection spéciale en l'espèce, pareilles vulnérabilités informatiques étant habituelles et de plus en plus aisées à détecter au moyen de différents outils, tels que l'intelligence artificielle (cf. supra consid. 2.4).

Pour le surplus, le recourant ne prétend pas, à juste titre, qu'il n'aurait franchi qu'une interdiction morale ou contractuelle par l'exploitation d'une faille de sécurité, comportement qui échapperait par hypothèse à l'application de l'art. 143 ^bis CP (cf. ATF 145 IV 185 consid. 2.2.2 in fine; MONNIER, op. cit., n° 7b ad art. 143 ^bis CP et n° 7 ad art. 143 CP; DUPUIS ET AL, op. cit., n° 11 ad art. 143 ^bis CP et n° 14 ad art. 143 CP).

3.2.4. S'agissant de l'acte d'intrusion incriminé, il convient d'admettre qu'en utilisant un script (qu'il a créé ou repris) pour exploiter une faille affectant la protection d'un (sous-) système informatique, le recourant a contourné une barrière d'accès informatique par un comportement propre à désactiver la sécurité mise en place. Ce comportement est expressément mis en exergue par la doctrine (cf. supra consid. 2.4).

Par ailleurs, l'utilisation d'un script correspond à l'usage d'un dispositif de transmission de données au sens de l'art. 143 ^bis CP.

3.2.5. Quant à l'accès "sans droit", le recourant ne conteste pas qu'il existe un mécanisme de gestion des demandes d'accès qu'il n'a pas respecté pour procéder à une élévation des privilèges (cf. jugement entrepris consid. 4.3 p. 21 s.). Il admet que son comportement, qu'il qualifie d'abus de privilèges internes, était contraire aux processus usuels (mémoire de recours p. 14 et 18). Il en résulte que le recourant a agi sans droit.

Il importe peu que le script était accessible sans difficulté aux employés du service informatique (cf. en ce sens notamment ATF 145 IV 185 consid. 2.2.2 en lien avec la découverte par hasard d'un mot de passe).

Pour le surplus, le recourant ne prétend pas que son comportement aurait été autorisé par son employeur en vue de détecter des vulnérabilités informatiques, étant relevé que dans ce cas, toute exploitation de faille de sécurité informatique doit en principe être signalée et documentée (cf. GRAF, op. cit., n. 7, 35 ss, 44 et 48 s.).

3.2.6. Le recourant ne saurait rien déduire en sa faveur de la ratio legis de l'art. 143 ^bis CP, visant principalement à sanctionner des actes préparatoires à des perturbations des systèmes et à des détériorations de données informatiques (mémoire de recours p. 16), puisque son comportement pouvait précisément entraîner la perturbation de systèmes et était propre à la modification de données.

3.2.7. Au vu des éléments qui précèdent, la cour cantonale pouvait, sans violer le droit fédéral, considérer que les éléments constitutifs objectifs de l'infraction reprochée étaient réalisés.

Cette conclusion trouve écho dans un ouvrage dédié à l'infraction en cause, lequel appréhende expressément le cas d'un employé disposant d'un droit d'accès aux systèmes informatiques de son employeur, limité à ses compétences et besoins. Selon l'auteure, lorsque l'employé, après être entré dans l'installation informatique mise à disposition par son employeur, s'introduit sans droit dans une partie du système informatique (sous-système) dont l'accès est réservé à un groupe de personnes, en contournant une protection, il réalise les conditions objectives de l'art. 143 ^bis CP (PFISTER, op. cit., p. 105 et 122).

3.2.8. Sous l'angle subjectif, le recourant se prévaut d'arbitraire et d'une violation du droit. Il indique qu'il aurait simplement voulu gagner du temps en procédant comme il l'a fait, sans intention de perturber le système informatique, de l'endommager ou de soustraire des données. Ce faisant, le recourant manque sa cible dès lors que le dessein et les motivations de l'auteur ne sont pas pertinents (cf. supra consid. 2.7; cf. notamment PFISTER, op. cit., p. 124; SCHMID, op. cit., § 5 n. 13 et 26). Pour le surplus, le recourant échoue à remettre en cause la conclusion de la cour cantonale retenant un accès intentionnel à un espace du système informatique de U.________ qui lui était interdit.

3.3. En définitive, en exploitant intentionnellement une faille de sécurité informatique au moyen d'un script pour s'introduire sans droit dans une partie du système informatique de son employeur dont l'accès est réservé à un groupe de personnes, le recourant s'est rendu coupable d'accès indu à un système informatique au sens de l'art. 143 ^bis CP.

Selon le recourant, sa condamnation du chef d'accès indu à un système informatique viole le principe de l'accusation. Il invoque une violation des art. 9 et 350 CPP.

4.1. Le principe de l'accusation est consacré à l'art. 9 CPP, mais découle aussi des art. 29 al. 2 Cst., 32 al. 2 Cst. et 6 par. 1 et 3 let. a et b CEDH. Selon ce principe, l'acte d'accusation définit l'objet du procès (fonction de délimitation). Il doit décrire les infractions qui sont imputées au prévenu de façon suffisamment précise pour lui permettre d'apprécier, sur les plans subjectif et objectif, les reproches qui lui sont faits. Le principe d'accusation vise également à protéger le droit à une défense effective et le droit d'être entendu (fonction d'information). Le contenu de l'acte d'accusation doit ainsi permettre au prévenu de s'expliquer et préparer efficacement sa défense (ATF 149 IV 128 consid. 1.2; 143 IV 63 consid. 2.2; 141 IV 132 consid. 3.4.1; arrêt 6B_861/2024 du 13 novembre 2025 consid. 2.1). Le tribunal est lié par l'état de fait décrit dans l'acte d'accusation (principe de l'immutabilité de l'acte d'accusation), mais peut s'écarter de l'appréciation juridique qu'en fait le ministère public (art. 350 al. 1 CPP), à condition d'en informer les parties présentes et de les inviter à se prononcer (art. 344 CPP). Il peut également retenir dans son jugement des faits ou des circonstances complémentaires, lorsque ceux-ci sont secondaires et n'ont aucune influence sur l'appréciation juridique (arrêts 6B_106/2025 du 21 mai 2026 consid. 2.1; 6B_842/2025 du 11 février 2026 consid. 1.1; 6B_541/2025 du 4 février 2026 consid. 1.1.1).

Selon l'art. 325 CPP, l'acte d'accusation désigne notamment les actes reprochés au prévenu, le lieu, la date et l'heure de leur commission ainsi que leurs conséquences et le mode de procéder de l'auteur (let. f); les infractions réalisées et les dispositions légales applicables de l'avis du ministère public (let. g). En d'autres termes, l'acte d'accusation doit contenir les faits qui, de l'avis du ministère public, correspondent à tous les éléments constitutifs de l'infraction reprochée à l'accusé (arrêts 6B_861/2024 précité consid. 2.1; 6B_429/2024 du 13 juin 2025 consid. 1.1; 6B_362/2024 du 30 avril 2025 consid. 1.1). Le Tribunal fédéral considère comme conforme à la maxime d'accusation le fait que certains éléments constitutifs de l'infraction ne ressortent qu'implicitement de l'état de fait compris dans l'acte d'accusation, pour autant que le prévenu puisse préparer efficacement sa défense (arrêts 6B_842/2025 précité consid. 1.1; 6B_541/2025 précité consid. 1.1.2; 6B_544/2025 du 23 janvier 2026 consid. 2.1).

4.2. À titre liminaire, il convient de relever que les faits retenus par la cour cantonale à charge du recourant, tels qu'ils ressortent du jugement entrepris (consid. 2.2.2), correspondent mot pour mot au contenu de l'acte d'accusation. Cela exclut à première vue toute violation du principe de l'accusation, tant au regard de sa fonction de délimitation que de celle d'information.

Par ailleurs, à l'appui de son grief, le recourant se livre à une appréciation personnelle de la formulation "le système informatique" figurant dans l'acte d'accusation en prétendant qu'il s'agirait du réseau informatique de la C.________. Or l'examen du respect du principe de l'accusation ne saurait reposer sur une interprétation personnelle d'une notion figurant dans l'acte d'accusation, laquelle correspond au demeurant au libellé de l'infraction reprochée. En outre, dans la mesure où ce n'est pas l'accès à une "machine" qui lui est reprochée en l'espèce (cf. supra consid. 3), le recourant ne saurait rien déduire de l'argumentation qu'il développe en lien avec un accès indu à un ordinateur physique.

En tout état, en tant que l'acte d'accusation mentionne tant l'introduction sans droit par le biais de la faille "Oracle" dans le système informatique de la C.________, que l'octroi indu de "droits-administrateur" par le recourant, les éléments constitutifs objectifs de l'infraction, tels qu'examinés supra (cf. consid. 3) y figurent. Ainsi, le recourant ne saurait prétendre ne pas avoir été informé des faits qui lui étaient reprochés et pour lesquels il a finalement été condamné, ni qu'il n'aurait pas pu préparer efficacement sa défense.

Il en résulte que le recourant ne saurait rien déduire en sa faveur de l'art. 350 CPP, qui prévoit notamment que le tribunal est lié par l'état de fait décrit dans l'acte d'accusation (al. 1) en prenant en compte les preuves administrées durant la procédure préliminaire et lors des débats (al. 2).

Le recourant ne formule aucune critique en lien avec la fixation de la peine, indépendante de sa conclusion tendant à son acquittement, de sorte qu'il n'y a pas lieu d'examiner ce point.

Contestant la mise à sa charge des frais de procédure et le refus de lui allouer des indemnités au sens de l'art. 429 CPP, le recourant se plaint à titre principal d'une violation de son droit d'être entendu (cf. art. 29 al. 2 Cst.), au motif que la motivation cantonale ne lui permettrait pas de contester utilement la décision sur ce point.

6.1.

6.1.1. Le droit d'être entendu, garanti par l'art. 29 al. 2 Cst., implique pour l'autorité l'obligation de motiver sa décision, afin que le destinataire puisse la comprendre, l'attaquer utilement s'il y a lieu et afin que l'autorité de recours puisse exercer son contrôle. Le juge doit ainsi mentionner, au moins brièvement, les motifs qui l'ont guidé et sur lesquels il a fondé sa décision (ATF 146 II 335 consid 5.1; 143 III 65 consid. 5.2; 139 IV 179 consid. 2.2), de manière à ce que l'intéressé puisse se rendre compte de la portée de celle-ci et l'attaquer en connaissance de cause (ATF 143 IV 40 consid. 3.4.3; 141 IV 249 consid. 1.3.1; 139 IV 179 consid. 2.2). Il n'a toutefois pas l'obligation d'exposer et de discuter tous les faits, moyens de preuve et griefs invoqués par les parties, mais peut au contraire se limiter à l'examen de ceux qui lui paraissent pertinents et aux questions décisives pour l'issue du litige (ATF 147 IV 249 consid. 2.4; 146 II 335 consid 5.1; 139 IV 179 consid. 2.2). La motivation peut d'ailleurs être implicite et résulter des différents considérants de la décision (ATF 141 V 557 consid. 3.2.1; arrêts 6B_725/2025 du 26 février 2026 consid. 1.1; 6B_1004/2025 du 26 mars 2026 consid. 1.1.2).

6.1.2. L'art. 426 CPP prévoit la mise des frais de procédure à la charge du prévenu lorsqu'il est condamné (al. 1) ou, en cas d'acquittement ou de classement, s'il a provoqué de manière illicite et fautive l'ouverture de la procédure ou rendu plus difficile la conduite de celle-ci (al. 2).

Lorsque la condamnation n'est que partielle, les frais ne doivent être mis à sa charge que de manière proportionnelle, en considération des frais liés à l'instruction des infractions pour lesquelles un verdict de culpabilité a été prononcé. Il s'agit de réduire les frais, sous peine de porter atteinte à la présomption d'innocence, si le point sur lequel le prévenu a été acquitté a donné lieu à des frais supplémentaires et si le prévenu n'a pas, de manière illicite et fautive, provoqué l'ouverture de la procédure ou rendu plus difficile la conduite de celle-ci (cf. art. 426 al. 2 CPP). Comme il est difficile de déterminer avec exactitude les frais qui relèvent de chaque fait imputable ou non au condamné, une certaine marge d'appréciation doit être laissée à l'autorité cantonale (arrêts 6B_491/2024 du 17 février 2026 consid. 7.1.1; 6B_605/2024 du 10 février 2026 consid. 5.1; 6B_541/2025 précité consid. 6.1 et les arrêts cités).

L'art. 429 al. 1 CPP prévoit que le prévenu a droit à des indemnités (cf. let. a à c) s'il est acquitté totalement ou en partie ou s'il bénéficie d'une ordonnance de classement. Néanmoins, conformément à l'art. 430 al. 1 let. a CPP, l'autorité pénale peut réduire ou refuser l'indemnité ou la réparation du tort moral lorsque le prévenu a provoqué illicitement et fautivement l'ouverture de la procédure ou a rendu plus difficile la conduite de celle-ci.

6.2. Statuant sur la question des frais et indemnités de première instance, la cour cantonale a relevé que le recourant était finalement également condamné pour accès indu à un système informatique et en a conclu qu'il n'y avait pas lieu de remettre en cause les frais de première instance mis à sa charge, ni de lui allouer une indemnité au sens de l'art. 429 CPP. Elle a dès lors rejeté le moyen soulevé en appel (cf. jugement entrepris consid. 11.3).

6.3. Le recourant soulève à juste titre que le jugement cantonal ne discute aucunement les arguments développés dans son mémoire d'appel relatifs à la mise à sa charge des frais de procédure (mémoire d'appel motivé p. 3 à 8) et au refus d'allouer les indemnités fondées sur les art. 429 al. 1 let. a, b et c CPP (mémoire d'appel motivé p. 8 à 16) ensuite de l'ordonnance de classement rendue. Alors que le jugement de première instance contient, en application de l'art. 421 al. 1 CPP, les motifs justifiant la mise à la charge du recourant des frais de première instance et le refus de l'allocation d'indemnités à la suite du classement partiel de la procédure en sa faveur, le jugement cantonal ne se prononce pas sur ce point, pas même par renvoi. Si l'on peut déduire de la motivation cantonale que le sort des frais et indemnités en lien avec l'accès indu à un système informatique se fonde sur la condamnation du recourant, l'on ignore si et cas échéant, dans quelle mesure ce raisonnement couvre les faits pour lesquels il a bénéficié d'une ordonnance de classement partiel.

Il en résulte que le recourant n'est pas en mesure de comprendre les motifs et de contester utilement la décision entreprise sur cet aspect.

Le recours doit être partiellement admis sur ce point, le jugement cantonal annulé et la cause renvoyée à la cour cantonale pour qu'elle se prononce sur les frais et indemnités de la procédure préliminaire et de première instance.

S'agissant des frais et indemnités fixés en appel, le recourant fait dépendre ses conclusions de son acquittement, qu'il n'obtient pas, de sorte qu'elles sont sans objet.

En définitive, le recours doit être très partiellement admis, le jugement attaqué doit être annulé en tant qu'il confirme les ch. XIX, XXI et XXIII du dispositif du jugement de première instance et la cause doit être renvoyée à la cour cantonale pour qu'elle statue à nouveau sur ces points. Pour le reste, le recours doit être rejeté dans la mesure où il est recevable.

Puisque le recourant succombe dans une large mesure, il supportera la majeure partie des frais judiciaires (art. 66 al. 1 LTF), le canton de Vaud étant dispensé du solde de ceux-ci (art. 66 al. 4 LTF). Le recourant peut prétendre à des dépens réduits à la charge du canton de Vaud (art. 68 al. 1 LTF), au vu de l'aspect accessoire sur lequel il obtient gain de cause. Pour le surplus, le recourant ne justifie d'aucune façon le montant qu'il articule à titre de pleins dépens.

Au regard de la nature procédurale du vice constaté et dans la mesure où le Tribunal fédéral n'a pas traité sur le fond le seul volet relatif aux frais et indemnités qui demeure litigieux, ne préjugeant ainsi pas de son issue, il peut être procédé à l'annulation et au renvoi sans ordonner préalablement un échange d'écritures (ATF 133 IV 293 consid. 3.4.2; arrêt 6B_227/2025 du 7 juillet 2025 consid. 9).

Par ces motifs, le Tribunal fédéral prononce :

Le recours est très partiellement admis, le jugement attaqué est annulé en tant qu'il confirme les ch. XIX, XXI et XXIII du dispositif du jugement du Tribunal correctionnel du 9 avril 2025 et la cause renvoyée à l'autorité cantonale pour nouvelle décision. Pour le surplus, le recours est rejeté dans la mesure où il est recevable.

Une part des frais judiciaires, arrêtée à 2'000 fr., est mise à la charge du recourant.

Le canton de Vaud versera au recourant la somme de 500 fr. à titre de dépens réduits pour la procédure devant le Tribunal fédéral.

Le présent arrêt est communiqué aux parties et à la Cour d'appel pénale du Tribunal cantonal du canton de Vaud.

Lausanne, le 24 juin 2026

Au nom de la Ire Cour de droit pénal

du Tribunal fédéral suisse

Le Président : Muschietti

La Greffière : Klinke