Incidents cyber dans les secteurs réglementés : BACS et FINMA comme points de contact

Tous les incidents ne sont pas soumis à l’obligation de signalement : la distinction cruciale

L’obligation de signaler les cyberattaques ne s’applique qu’à certaines organisations, notamment les exploitants d’infrastructures critiques et les entités soumises à la surveillance de la FINMA. Ceux qui n’en font pas partie ne sont pas tenus légalement de faire un signalement ; une déclaration volontaire reste toutefois possible.

Tous les incidents techniques ne déclenchent pas automatiquement un signalement. Pour déterminer si une obligation de signalement existe dans un cas concret, il convient de suivre le guide étape par étape du BACS.

Le BACS met à disposition un guide étape par étape permettant de vérifier si un incident est soumis à l’obligation de signalement et comment effectuer correctement la déclaration. Les signalements volontaires aident à identifier les tendances des menaces sur Internet ; après avoir répondu à quelques questions, les déclarants reçoivent une première évaluation automatisée et peuvent transmettre le cas au BACS.

Pour la distinction interne, deux questions doivent être séparées : votre organisation fait-elle partie du cercle visé, et l’incident remplit-il les critères définis par la loi ? L’obligation ne s’applique que si les deux conditions sont remplies ; sinon, la direction générale et les responsables de la sécurité décident selon leur appréciation.

Deux bases légales sont centrales : l’obligation de signaler les cyberattaques selon l’art. 29 al. 2 de la Loi sur la FINMA (FINMAG) et l’obligation de signalement pour les exploitants d’infrastructures critiques. La circulaire de surveillance 05/2020 de la FINMA établit la première, tandis que la circulaire de surveillance 03/2024 la précise.

Dans le cas des infrastructures critiques, les cyberattaques par logiciels malveillants, hameçonnage ou rançongiciels, les perturbations ou pannes des systèmes IT ayant une incidence sur la sécurité, ainsi que les accès non autorisés à des données sensibles ou à des systèmes sont soumis à l’obligation de signalement.

Pour les exploitants d’infrastructures critiques, une obligation de signalement est en vigueur depuis le 1er avril 2025. L’appartenance d’une organisation à ce groupe est évaluée selon des critères publiés sur la plateforme de publication du droit fédéral.

L’obligation de signalement pour les exploitants d’infrastructures critiques vise à améliorer la collaboration entre l’État et l’économie, à détecter précocement les cybermenaces et à renforcer ciblé la cybersécurité en Suisse. Elle est en vigueur depuis le 1er avril 2025 et exige un signalement au BACS dans un délai de 24 heures.

Avantages et défis de l’obligation de signalement

Exploitants d’infrastructures critiques : signalement au BACS

Le point de contact central pour les incidents cyber en Suisse est l’Office fédéral de la cybersécurité (BACS). Il propose des voies de signalement pour les entreprises et les autorités, ainsi que des aides à l’orientation et des conseils de prévention.

Depuis le 1er avril 2025, les exploitants d’infrastructures critiques sont tenus de signaler les incidents au BACS. Le signalement doit être effectué dans les 24 heures suivant la découverte.

Le cercle visé comprend notamment l’énergie (électricité, gaz, pétrole), les exploitations d’eau et d’eaux usées, les technologies de l’information et de la communication, le secteur de la santé, les transports et la logistique, ainsi que l’administration et les autorités.

Le signalement comprend le type et l’ampleur de l’incident, le moment de la découverte, les systèmes ou services touchés, ainsi que les premières estimations concernant la cause.

Le formulaire de signalement des incidents cyber est disponible pour la transmission ; l’enregistrement dans le Cyber Security Hub est prévu pour le traitement coordonné.

Le formulaire officiel de signalement des incidents cyber sert à effectuer la déclaration tant qu’il n’y a pas encore d’accès au Cyber Security Hub. L’enregistrement dans le Hub permet un échange rapide d’informations et le transfert aux autorités compétentes.

Les signalements ne sont pas traités 24 heures sur 24. En cas d’urgence aiguë, il faut composer le numéro d’urgence de la police 112 ou 117.

Institutions financières surveillées : informer la FINMA rapidement

Pour les entités soumises à la surveillance de la FINMA, celle-ci est le point de contact compétent. Il est essentiel d’informer rapidement la FINMA des incidents cyber critiques concernant les entités surveillées. Le dossier « Risques cyber » de la FINMA regroupe les contenus pertinents relatifs aux cyberattaques, à la circulaire de surveillance 03/2024 et à la circulaire de surveillance 05/2020.

La circulaire de surveillance 03/2024 de la FINMA du 7 juin 2024 résume les enseignements tirés des activités de surveillance des risques cyber et précise les exigences en matière d’obligation de signalement des cyberattaques ainsi que les exercices cyber basés sur des scénarios. Elle s’inscrit dans la continuité de la circulaire de surveillance 05/2020.

La circulaire de surveillance 03/2024 répond aux questions récurrentes sur les obligations de signalement. Les conseils d’administration des instituts concernés doivent également être préparés.

En 2022 et 2023, plus de la moitié des cyberattaques signalées concernaient des prestations externalisées. En cas d’externalisation, les entités surveillées restent à tout moment responsables du respect des exigences prudentielles.

En cas d’externalisation, les exigences en matière de cybersécurité doivent être clairement stipulées dans les contrats et vérifiées régulièrement ; les résultats doivent figurer dans les rapports de contrôle. Il convient également de clarifier comment les failles de sécurité graves sont corrigées rapidement et quelles mesures les prestataires de services peuvent prendre en cas d’attaque, dans quels délais. Il faut aussi s’assurer que les tiers mandatés par les prestataires de services respectent les exigences.

La FINMA a introduit des instruments de surveillance supplémentaires : le « Red Teaming », où des experts en sécurité endossent le rôle des attaquants, et les exercices sur table (« Table-Top Exercises »), où un scénario est simulé sur papier. L’année précédant la circulaire de surveillance 03/2024, elle a réalisé plus d’une douzaine de contrôles sur place spécifiques au cyber.

Les risques identifiés sont analysés et évalués en continu, puis résumés dans une carte des risques. La FINMA considère les risques cyber comme l’un des principaux risques pour la place financière suisse depuis plusieurs années ; ils figurent dans le Moniteur des risques.

La circulaire s’adresse notamment aux grands instituts et à ceux soumis à une réglementation plus stricte, comme les banques ; certains principes s’appliquent de manière atténuée également aux gérants de fortune petits et moyens selon l’art. 17 de la Loi sur les établissements financiers (LEFin).

La circulaire FINMA 2023/01 « Risques opérationnels et résilience – Banques » du 7 décembre 2022 traite, entre autres, de la gouvernance (par. 70), de l’identification des potentiels de menace (par. 62) et du dispositif de prévention de la perte de données (par. 63). La circulaire 2018/03 « Externalisation » date du 21 septembre 2017.

Chiffres sur le signalement des incidents cyber en Suisse

Quand la situation devient grave : premières étapes et préparation du signalement

Une séquence en quatre étapes a fait ses preuves : enregistrer l’incident et le documenter chronologiquement, isoler les systèmes touchés ou bloquer les données d’accès compromises, sécuriser les preuves avant la réinstallation des systèmes, et activer les responsabilités internes – généralement la direction générale, la sécurité IT, le service juridique et la communication.

Parmi les premières mesures figure la clarification de la nécessité d’un signalement au BACS dans les 24 heures. Le formulaire officiel de signalement des incidents cyber sert à effectuer la déclaration tant qu’il n’y a pas encore d’accès au Cyber Security Hub.

Parallèlement, il faut clarifier qui informer en interne et en externe : autorités, clients, partenaires commerciaux, assurance et, le cas échéant, l’autorité de surveillance propre.

Pour le signalement au BACS, il faut indiquer le type et l’ampleur de l’incident, le moment de la découverte, les systèmes ou services touchés, ainsi que les premières estimations concernant la cause. Ces indications peuvent être mises à jour en continu pendant la phase d’endiguement.

Une note précise aide également : impact sur l’exploitation, mesures déjà prises et une personne de contact joignable avec pouvoir de décision. Celui qui met à jour ces informations en continu n’a pas besoin de les reconstituer à la fin.

En cas d’externalisation, le respect des obligations de signalement reste de la responsabilité des entités surveillées. La FINMA attend que les contrats stipulent clairement les exigences en matière de cybersécurité et que des processus globaux relatifs aux obligations de signalement soient définis.

La FINMA reçoit des signalements non seulement des entités surveillées elles-mêmes, mais aussi des sociétés de révision. Conjugués aux contrôles sur place, ils permettent à la FINMA d’évaluer en profondeur la qualité du dispositif de défense cyber et de prendre, si nécessaire, des mesures spécifiques à l’institut de manière précoce.

Points de contact en aperçu : BACS et FINMA

Le BACS propose des voies de signalement pour les entreprises et les autorités. Pour les entités surveillées, la FINMA constitue un point de contact supplémentaire.

Pour les organisations réglementées, deux points de contact sont donc principalement compétents : le BACS pour les exploitants d’infrastructures critiques et la FINMA pour les entités surveillées. Le BACS reçoit les signalements via le formulaire de signalement des incidents cyber ; la FINMA exige des entités surveillées qu’elles signalent les cyberattaques.

Le BACS est le centre de compétences de la Confédération pour la cybersécurité et le premier point de contact pour l’économie, l’administration, les établissements d’enseignement et la population. Il est responsable de la mise en œuvre coordonnée de la Stratégie nationale pour la protection de la Suisse contre les cybermenaces (SNPC) et s’appelait auparavant NCSC.

Les instituts surveillés sont obligés de signaler les cyberattaques à la FINMA ; la base légale est l’art. 29 al. 2 de la FINMAG, précisé par la circulaire de surveillance 03/2024. La FINMA considère les risques cyber comme l’un des principaux risques pour la place financière suisse depuis plusieurs années.

Le BACS reçoit les incidents via le formulaire de signalement des incidents cyber, et les vulnérabilités via le formulaire de signalement des vulnérabilités (CVD). Les demandes générales sont adressées à [email protected], les demandes des médias à [email protected] ; les signalements chiffrés peuvent être envoyés à [email protected].

Pour les signalements chiffrés de vulnérabilités, l’adresse [email protected] est disponible ; pour les signalements Bug Bounty, [email protected]. Les clés pour les signalements chiffrés se trouvent sur la page de contact du BACS.

L’adresse postale est : Office fédéral de la cybersécurité BACS, Schwarztorstrasse 59, CH-3003 Berne.

Le BACS n’accepte pas les plaintes pénales. Une plainte pénale en ligne n’est possible que pour certaines infractions ; pour tous les autres délits, un poste de police est compétent.

L’art. 39 al. 1 de la Loi sur la surveillance des marchés financiers (LSMF) cite les instances auxquelles la FINMA peut transmettre des informations : d’autres autorités de surveillance nationales, le Centre national pour la cybersécurité et la Banque nationale suisse.

Pour les demandes des médias concernant la surveillance cyber, la FINMA indique Patrizia Bickel, porte-parole, téléphone +41 (0)31 327 93 19, [email protected].

Obligations de signalement dans les secteurs réglementés : BACS vs FINMA