swiss cyberattack reporting

La Suisse entre dans une nouvelle ère du signalement des cyberattaques

Le 1er octobre 2025 marque une étape importante pour la cybersécurité en Suisse. Dès cette date, l’obligation de signaler les cyberattaques contre les infrastructures critiques, introduite en avril, devient pleinement contraignante. Le non-respect de cette obligation peut entraîner une amende allant jusqu’à 100 000 francs.

Le dispositif, placé sous la responsabilité de l’Office fédéral de la cybersécurité (OFCS), impose aux exploitants d’infrastructures critiques de signaler les cyberincidents importants dans un délai de 24 heures. Au terme des six premiers mois, 164 incidents avaient déjà été enregistrés dans des secteurs tels que la finance, l’informatique, l’énergie, la santé, les télécommunications et l’administration publique. Les attaques par déni de service représentaient 18 % des cas, devant les intrusions dans les systèmes, les rançongiciels et le vol d’identifiants.

Pourquoi cette évolution compte pour la Suisse

Cette obligation consolide la position de la Suisse comme place numérique de confiance. En systématisant le signalement des cyberattaques, les autorités cherchent notamment à :

  • améliorer la vision nationale de la menace ;
  • permettre des alertes précoces entre secteurs ;
  • renforcer les capacités collectives de résilience et de réponse.

La cybersécurité est désormais indissociable de la sécurité nationale. Les pays qui structurent la remontée d’informations disposent d’un avantage précieux : ils peuvent repérer plus tôt les tendances et agir avant qu’un incident ne prenne une ampleur systémique.

La Suisse dans le contexte international

Le cadre suisse est récent, mais il s’inscrit dans un mouvement international déjà bien engagé :

  • Union européenne : la directive NIS2 impose à un large éventail d’entités essentielles et importantes de signaler les incidents significatifs, avec une première alerte dans les 24 heures.
  • États-Unis : le Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) prévoit un signalement à la CISA dans les 72 heures pour les incidents majeurs et dans les 24 heures pour les paiements liés à un rançongiciel.
  • Autres juridictions : l’Australie, Singapour et le Japon ont également instauré des mécanismes de signalement pour les opérateurs de services essentiels.

La Suisse n’a pas ouvert la voie, mais l’entrée en vigueur des sanctions l’aligne désormais sur les pratiques internationales de gouvernance proactive des cyberrisques.

Ce qui doit suivre

Le signalement obligatoire n’est qu’un point de départ. Sa valeur dépendra surtout de l’utilisation des données collectées :

  • partager des enseignements anonymisés avec les secteurs concernés afin d’accroître leur résilience ;
  • favoriser la coopération public-privé dans la réponse aux incidents ;
  • développer une culture de responsabilité qui dépasse la seule conformité réglementaire.

Pour les organisations suisses, cette obligation représente aussi une occasion de progresser. En s’y conformant, elles évitent non seulement les sanctions, mais contribuent également à renforcer l’écosystème de sécurité collectif sur lequel repose l’économie numérique du pays.

Conclusion

Avec l’entrée en vigueur complète du dispositif le 1er octobre 2025, la Suisse ouvre une nouvelle étape de sa cyberrésilience. L’obligation de signalement ne supprimera pas les cybermenaces, mais elle crée un cadre permettant de mieux les détecter, partager et traiter.

Le véritable enjeu sera d’éviter que le signalement ne devienne un simple exercice administratif. Bien exploité, il peut au contraire renforcer la confiance, la connaissance de la menace et la résilience de l’ensemble des secteurs critiques.

Sources