Cybersécurité dans les entreprises suisses : obligations, mesures et preuves

La cybersécurité comme tâche de direction : où en sont les entreprises suisses aujourd'hui

L'Office fédéral de la cybersécurité (OFCS) est le centre de compétences de la Confédération en matière de cybersécurité et le premier point de contact pour l'économie, l'administration, les établissements d'enseignement et la population. Il coordonne la mise en œuvre de la Stratégie nationale de cybersécurité (SNC). Les questions relatives à la situation, les cas suspects et les signalements doivent être adressés en premier lieu à l'OFCS.

Les rapports semestriels sur la situation publiés par l'OFCS montrent une menace permanente, non épisodique. Le volume des signalements reste élevé sur plusieurs semestres et se stabilise à ce niveau. La fraude domine en tant qu'activité lucrative de masse.

Traiter la cybersécurité uniquement comme un sujet informatique sous-estime sa portée : il s'agit de réputation, d'interruption des activités, de questions de responsabilité et de surveillance, ainsi que de la capacité à réagir correctement dans les délais impartis. Elle constitue donc une tâche de direction, avec des responsabilités claires, des ressources définies et un examen régulier, à l'instar d'autres domaines de risque.

Pour les entreprises, trois questions se posent : quelles obligations s'appliquent, quelles mesures permettent de les satisfaire et comment prouver leur respect ? La réponse dépend du rôle propre de l'entreprise, allant de l'exploitant d'infrastructures critiques aux prescriptions spécifiques à certaines branches. Pour l'exploitation de logiciels et de systèmes informatiques, ces prescriptions influencent jusqu'à la planification et l'exploitation des systèmes utilisés.

Les acteurs déterminants sont l'OFCS en tant que centre de compétences et premier point de contact, la SNC en tant que cadre de coordination et, dans les secteurs réglementés, l'Autorité fédérale de surveillance des marchés financiers (FINMA). Pour les entreprises, la vérification des obligations commence par l'analyse de leur propre rôle.

Au niveau fédéral, s'ajoute le Préposé fédéral à la protection des données et à la transparence (PFPDT) en tant qu'autorité de surveillance. Il est responsable de la Loi sur la protection des données (LPD) et de la Loi sur la transparence (LTrans) et supervise, selon l'art. 4 LPD, l'application des dispositions fédérales en matière de protection des données.

Les bases légales sont ainsi identifiées : la Loi révisée sur la protection des données (LPD) ; la Loi sur la sécurité de l'information (LSI) et l'Ordonnance sur la cybersécurité (OCS), toutes deux entrées en vigueur le 1er avril 2025 sur décision du Conseil fédéral ; dans le secteur bancaire, la Circulaire FINMA 2023/1 « Risques opérationnels et résilience – Banques » du 7 décembre 2022, Berne.

Qui est responsable de quoi : OFCS, PFPDT et FINMA

Ce que les rapports semestriels de l'OFCS signifient pour le quotidien des entreprises

L'OFCS publie semestriellement le rapport « Cybersécurité : situation en Suisse et à l'étranger ». Il explique les tendances et l'évolution des incidents dans les technologies de l'information et de la communication (TIC), le fonctionnement technique des attaques actuelles, les événements en Suisse et à l'étranger, la prévention ainsi que les activités des acteurs étatiques et privés.

Les rapports paraissent tous les six mois : 2026/1 le 24 août 2026, 2025/2 le 30 mars 2026, 2025/1 le 18 novembre 2025 et 2024/2 le 6 mai 2025. Les entreprises peuvent aligner leur propre évaluation de la situation sur ce rythme.

Au premier semestre 2026, l'OFCS a reçu 27’128 signalements volontaires et 200 incidents cybernétiques soumis à l'obligation de signalement ; le volume des signalements se stabilise à un niveau élevé. Au second semestre 2025, on comptait 29'006 signalements volontaires et 145 incidents cybernétiques soumis à l'obligation de signalement.

Au premier semestre 2025, 35’727 signalements d'incidents cybernétiques ont été enregistrés. Au second semestre 2024, l'OFCS a reçu 28’165 signalements, après que le nombre annuel total pour 2024 ait augmenté de 13’574 pour atteindre un total de 62’954 signalements.

La fraude reste dominante : au second semestre 2025, 52 pour cent des signalements concernaient le phénomène « Fraude », contre 58 pour cent au premier semestre 2025. Les variantes téléphoniques telles que le « Voice Phishing » (hameçonnage vocal) se sont établies comme méthode. En revanche, les appels menaçants frauduleux au nom des autorités, dominants depuis mi-2023, ont significativement diminué.

Pour le quotidien des entreprises, les points de contact sont décisifs : les plateformes de petites annonces, les placements dans les moteurs de recherche ou les fuites de données servent de porte d'entrée aux cybercriminels. Ils approchent leurs victimes avec des méthodes personnelles, émotionnelles et parfois techniquement très sophistiquées.

Les attaquants utilisent systématiquement l'intelligence artificielle (IA) pour présenter des contenus sur mesure et personnalisés de manière crédible aux victimes. La sérieux apparent des messages individuels n'est plus un indicateur fiable de reconnaissance ; des processus ne reposant pas sur l'intuition individuelle sont nécessaires.

Signalements volontaires à l'OFCS par semestre

Obligations de signalement en pratique : incidents cybernétiques soumis à déclaration et signalements volontaires

L'OFCS tient une statistique sur l'obligation de signalement. Sont recensés les signalements des exploitants d'infrastructures critiques concernant les incidents cybernétiques qui doivent être déclarés à l'OFCS. L'une des premières questions pour toute organisation est de savoir si son entreprise appartient à ce cercle.

La base légale de l'obligation de signalement à l'OFCS est la Loi sur la sécurité de l'information (LSI) dans sa version révisée. Le Conseil fédéral a mis en vigueur la modification requise de la LSI le 1er avril 2025. Les dispositions d'exécution relatives à l'obligation de signalement et les exceptions selon l'art. 74c LSI sont réglées par l'Ordonnance sur la cybersécurité (OCS), également en vigueur depuis le 1er avril 2025.

La LSI oblige les autorités et organisations soumises à l'obligation de signalement à déclarer les cyberattaques à l'OFCS dans les 24 heures suivant leur découverte. Si toutes les informations ne peuvent pas encore être fournies lors du premier signalement, un délai de 14 jours est accordé pour compléter la déclaration. Le non-respect de l'obligation de signalement expose à des amendes prévues par la loi.

Parmi les autorités et organisations soumises à l'obligation de signalement figurent, par exemple, l'approvisionnement en énergie et en eau potable, les entreprises de transport ainsi que les administrations cantonales et communales. Sont expressément inclus les hôpitaux du secteur de la santé, pour autant qu'ils atteignent les seuils définis dans l'ordonnance, tels que le nombre de lits ou l'importance de l'approvisionnement.

Une cyberattaque est soumise à l'obligation de signalement si elle met en péril la fonctionnalité de l'infrastructure critique, entraîne une manipulation ou une fuite d'informations, reste indétectée pendant une période prolongée ou est associée à du chantage, des menaces ou de la contrainte.

Pour un hôpital, les incidents typiques soumis à déclaration sont : un ransomware avec chiffrement des systèmes productifs, un accès non autorisé confirmé au système d'information clinique ou de laboratoire, la compromission des accès à distance (VPN, accès de maintenance des fournisseurs d'appareils médicaux) ou une attaque réussie contre l'infrastructure e-mail avec fuite de données.

Le signalement ISG/OFCS doit être distingué du signalement relatif à la protection des données au PFPDT selon l'art. 24 LPD, lorsque l'incident entraîne une violation de la sécurité des données personnelles présentant un risque élevé. Dans le cas de données de santé particulièrement sensibles, l'information des personnes concernées s'ajoute à cette obligation. Un seul incident de ransomware peut déclencher trois obligations de signalement.

Le signalement s'effectue via le formulaire de mise à disposition que l'OFCS fournit sur sa plateforme existante pour l'échange d'informations avec les exploitants d'infrastructures critiques. Une fiche d'information sur l'obligation de signalement des cyberattaques contre les infrastructures critiques résume la procédure.

Des signalements peuvent également survenir en dehors des heures normales de travail. Les responsabilités, les suppléances et les voies de contact doivent donc être définies à l'avance afin de permettre une réaction rapide en cas d'événement.

Un signalement n'est pas la fin, mais le début du traitement du dossier : ensuite, les clarifications techniques et la restauration des systèmes concernés se poursuivent. Les responsabilités et les voies d'information doivent être définies et exercées à l'avance ; les signalements font partie de l'exploitation, ils ne constituent pas un cas exceptionnel.

Incidents cybernétiques soumis à déclaration à l'OFCS

Déroulement du signalement d'un incident cybernétique à l'OFCS

Obligations en matière de protection des données selon la LPD révisée

La Loi révisée sur la protection des données (LPD) est en vigueur depuis le 1er septembre 2023. La LPD révisée (revLPD) impose des obligations aux entreprises lors de la collecte et du stockage de données. L'entreprise elle-même est responsable : celui qui traite des données personnelles doit connaître les principes, les respecter au quotidien et pouvoir prouver sa propre pratique.

Au niveau fédéral, le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité de surveillance. Il veille à ce que les organes fédéraux et les entreprises privées n'effectuent pas de traitements illicites de données personnelles (art. 4 LPD). Le PFPDT est indépendant et rattaché administrativement à la Chancellerie fédérale ; son directeur ou sa directrice est élu(e) par l'Assemblée fédérale réunie, la durée du mandat est de quatre ans et renouvelable au maximum deux fois.

La LPD révisée ancre les principes « Privacy by Design » (protection des données dès la conception) et « Privacy by Default » (protection des données par des paramètres par défaut favorables à la vie privée). Ils obligent les entreprises à mettre en œuvre les principes de traitement de la LPD dès la planification des projets correspondants, en prenant des mesures de protection techniques et organisationnelles appropriées.

Les responsables doivent signaler au PFPDT les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le portail de signalement Data Breach est disponible à cet effet ; l'obligation est ancrée à l'art. 24 LPD.

Les traitements planifiés de données personnelles présentant un risque élevé pour la personnalité ou les droits fondamentaux exigent une analyse d'impact relative à la protection des données (AIPD). Si un risque élevé subsiste malgré des mesures appropriées, le responsable doit consulter le PFPDT avant la réalisation. Le PFPDT examine l'AIPD et communique ses objections dans un délai de deux mois ; l'avis ne constitue pas une autorisation, n'est pas susceptible de recours, mais est soumis à des émoluments.

Le PFPDT peut ouvrir une enquête d'office ou sur dénonciation s'il existe des indices d'une violation des dispositions sur la protection des données (art. 49 LPD). En cas d'enquête, toutes les informations doivent être fournies et tous les documents mis à disposition (art. 49 al. 3 LPD). Si une organisation refuse de coopérer, le PFPDT peut imposer l'accès aux informations et aux locaux professionnels (art. 50 LPD).

Les associations professionnelles, sectorielles et économiques peuvent élaborer leurs propres codes de conduite et les soumettre au PFPDT pour avis ; le PFPDT publie ces avis. Il publie également une liste des clauses types de protection des données approuvées, établies ou reconnues. Le Conseil fédéral constate si la législation d'un État tiers offre une protection adéquate ; la liste est tenue en annexe à l'Ordonnance sur la protection des données.

Le PFPDT rend compte annuellement de ses activités à l'Assemblée fédérale ; le rapport d'activité est daté du 29 juin 2026. L'intelligence artificielle imprègne également la vie de la population en Suisse ; le PFPDT souligne que la LPD est directement applicable aux traitements de données assistés par l'IA (24 septembre 2025).

Exigences de résilience dans le secteur financier à l'exemple de la Circulaire FINMA 2023/1

L'Autorité fédérale de surveillance des marchés financiers FINMA a édicté la Circulaire 2023/1 « Risques opérationnels et résilience – Banques », datée du 7 décembre 2022, Berne. Elle est documentée dans la littérature juridique spécialisée.

Cet exemple illustre une structure qui s'étend au-delà du secteur financier : les devoirs généraux de diligence s'appliquent largement ; certaines branches connaissent des exigences supplémentaires, imposées par le droit de la surveillance, en matière de risques opérationnels et de résilience. Les entreprises devraient vérifier si, outre les obligations générales, elles sont soumises à des règles spécifiques à leur branche.

Dans un secteur réglementé, les prescriptions doivent intégrer l'organisation propre de la cybersécurité de l'entreprise – avec des responsabilités claires, des procédures documentées et la capacité de fournir des informations à l'autorité de surveillance. Un concept de sécurité seul ne suffit pas ; la mise en œuvre traçable en cas de sinistre est décisive.

De l'obligation à la mise en œuvre : mesures et capacité de signalement dans l'entreprise

Des points d'approche pratiques peuvent être déduits des obligations. Premièrement : des voies de signalement internes et des responsabilités claires. Les collaborateurs doivent savoir à qui signaler un appel suspect, un e-mail inhabituel ou une fuite de données potentielle ; le point de signalement doit également être joignable en dehors des heures de bureau.

Deuxièmement : détection rapide des attaques liées à la fraude et au phishing. Les variantes téléphoniques comme le « Voice Phishing » ainsi que les prises de contact via des plateformes de petites annonces, des placements dans les moteurs de recherche ou des fuites de données servent de porte d'entrée. Par conséquent, la sensibilisation des collaborateurs à ces canaux précis fait partie intégrante de la stratégie.

Les vecteurs d'attaque typiques incluent les accès à distance tels que les VPN ou les accès de maintenance des fournisseurs d'appareils médicaux. Ceux qui exploitent de tels accès devraient les intégrer dans l'ordre interne de signalement et de responsabilités.

Troisièmement : la capacité à réagir de manière ordonnée en cas d'événement. Qui est soumis à l'obligation de signalement a besoin de procédures définies à l'avance, de modèles enregistrés et d'une responsabilité nominative avec suppléance. L'analyse technique peut se dérouler en parallèle ; le signalement doit aussi être géré organisationnellement.

Le premier signalement à l'OFCS est envoyé avec l'état des connaissances actuel, sans attendre la forensique complète. La clarification technique et la restauration des systèmes concernés se poursuivent en parallèle.

Quatrièmement : l'exercice. Les voies de signalement qui n'existent que sur papier échouent en cas de sinistre. Des tests internes réguliers sont judicieux – par exemple, la simulation orale d'un incident supposé – ainsi que la vérification si les coordonnées et les responsabilités sont toujours à jour.

Cinquièmement : implication de la direction générale. La cybersécurité concerne la réputation, l'interruption des activités et les questions de surveillance ; elle appartient à l'évaluation des risques et à l'agenda de la direction.

Concrètement, il faut régler : le signalement à l'OFCS, dans la mesure où une obligation de signalement existe, et – pour les données personnelles – le traitement selon la revLPD. Dans le secteur bancaire, s'ajoute la Circulaire FINMA 2023/1. Chacune de ces obligations nécessite une responsabilité nominative.

Instruments nommés avec référence juridique : le signalement à l'OFCS, dans la mesure où une obligation de signalement existe ; en cas de violations de la sécurité des données présentant vraisemblablement un risque élevé, le signalement au PFPDT via le portail de signalement Data Breach selon l'art. 24 LPD ; pour les traitements planifiés à haut risque, l'analyse d'impact relative à la protection des données (AIPD) ; dans le secteur bancaire, la Circulaire FINMA 2023/1.

Six mesures pour les cas de sinistre

Fournir des preuves : documentation face à la surveillance, à la révision interne et à la direction

Les obligations deviennent effectives lorsque leur respect peut être prouvé. Cela inclut un traitement documenté des données personnelles : quelles données sont traitées, dans quel but, qui y a accès et comment les personnes concernées sont informées. Les signalements à l'OFCS doivent figurer dans un classement traçable – avec date, contenu et mesures prises.

Les preuves incluent également la mise en œuvre des principes « Privacy by Design » et « Privacy by Default » : celui qui prend en compte les principes de traitement dès la planification documente les mesures de protection techniques et organisationnelles prises à cet effet.

Les responsabilités et les procédures doivent être fixées par écrit : qui décide d'un signalement, qui supplée qui, par quels canales l'information circule-t-elle en interne, comment un incident est-il clôturé ? De tels documents constituent la base des discussions avec les autorités de surveillance, des révisions internes et du reporting à la direction.

La documentation facilite la collaboration avec les autorités et la surveillance et contraint l'entreprise à examiner ses propres procédures. Là où des lacunes apparaissent, des mesures peuvent être mises à jour de manière ciblée, plutôt que d'être improvisées seulement en cas d'événement.

Prouvable signifie : un signalement à l'OFCS est documenté avec la date, le contenu et les mesures prises. S'y ajoutent la documentation du traitement des données selon la revLPD ainsi que – dans les branches réglementées – la capacité à fournir des informations à l'autorité de surveillance, dans le secteur bancaire selon la Circulaire FINMA 2023/1.

Artefacts de preuve nommés : l'AIPD, l'avis du PFPDT sur un traitement planifié, le signalement via le portail de signalement Data Breach selon l'art. 24 LPD ainsi que, dans le secteur bancaire, la fourniture d'informations à la FINMA selon la Circulaire 2023/1.

Le PFPDT peut exiger toutes les informations et tous les documents en cas d'enquête (art. 49 al. 3 LPD) ; si une organisation refuse de coopérer, il peut imposer l'accès aux informations et aux locaux professionnels (art. 50 LPD). Un classement solide fait donc partie de la preuve.

Pour les données de santé particulièrement sensibles, l'information des personnes concernées fait partie de la preuve. Les trois obligations de signalement possibles – LSI/OFCS, art. 24 LPD au PFPDT et information des personnes concernées – doivent chacune être documentées avec la date, le contenu et les mesures prises.

Conclusion : connaître les obligations, rester capable d'agir

La cybersécurité n'est pas, pour les entreprises suisses, un projet avec une date de fin. L'OFCS, en tant que centre de compétences de la Confédération et premier point de contact pour l'économie, l'administration et les établissements d'enseignement, est la référence centrale. Ses rapports semestriels sur la situation montrent un volume de signalements stabilisé à un niveau élevé, la fraude comme phénomène dominant et les attaques personnalisées assistées par l'IA comme évolution.

Les obligations de signalement, les prescriptions en matière de protection des données et les exigences de résilience spécifiques aux branches ne sont pas des dossiers séparés. Le signalement à l'OFCS, dans la mesure où une obligation de signalement existe, les obligations découlant de la Loi révisée sur la protection des données entrée en vigueur le 1er septembre 2023 et les exigences supplémentaires dans les branches réglementées s'imbriquent.

Celui qui connaît les obligations, définit les responsabilités, sensibilise les collaborateurs et documente le respect des règles reste capable d'agir en cas de sinistre. Ce qui est décisif n'est pas l'organisation parfaite sur le papier, mais la capacité prouvable de réagir correctement dans les délais impartis.

Au niveau fédéral, s'ajoute le PFPDT en tant qu'autorité de surveillance : les violations de la sécurité des données présentant vraisemblablement un risque élevé doivent être signalées via le portail de signalement Data Breach selon l'art. 24 LPD, les traitements planifiés à haut risque exigent une AIPD. Dans le secteur bancaire, s'ajoute la Circulaire FINMA 2023/1.