news.admin.ch Berne, 29.09.2025

— L’obligation légale de signaler les cyberattaques contre les infrastructures critiques est entrée en vigueur le 1er avril 2025. L’Office fédéral de la cybersécurité (OFCS) tire un bilan positif après les six premiers mois. Jusqu’à présent, au total 164 cyberattaques contre des infrastructures critiques ont été signalées. Les sanctions prévues en cas de non-signalement entrent en vigueur le 1er octobre 2025.

L’obligation de signaler des cyberattaques contre des infrastructures critiques est entrée en vigueur il y a six mois. L’OFCS se montre globalement satisfait de la mise en application de cette mesure. Les organisations exploitantes d’infrastructures critiques s’en tiennent au délai légal qui prévoit de signaler des cyberattaques dans les 24 heures. L’utilisation du Cyber Security Hub, qui permet de simplifier considérablement le traitement des cyberattaques par l’OFCS, est particulièrement positive. Déjà avant l’introduction de l’obligation de signaler, la relation de confiance entre l’OFCS et de nombreuses organisations exploitantes d’infrastructures critiques était étroite. La longue collaboration entre les partenaires a constitué la base du lancement réussi de l’obligation de signaler.

164 signalements concernant des infrastructures critiques
Depuis début avril, au total 164 signalements de cyberattaques contre des infrastructures critiques ont été adressés à l’OFCS. Les plus fréquents concernent les attaques DDoS (18.1%), suivies par les piratages (16.1%), les attaques par rançongiciel (12.4%), les vols d’identifiants (11.4%), les fuites de données (9.8%), et les maliciels (9.3%). Des phénomènes combinés tels qu’attaques par rançongiciel avec fuites simultanées de données ont été décrits dans plusieurs cas. Les branches touchées sont multiples. Jusqu’à présent, la branche la plus fortement impactée était la finance (19%), suivie de l’informatique (8.7%) et du secteur de l’énergie (7.6%). D’autres signalements provenaient des autorités, du secteur de la santé, d’entreprises de télécommunication, du secteur postal, du secteur des transports, de la branche des médias et de celle des technologies ainsi que de l’alimentation.

Renforcement de l’échange d’informations
Les signalements sont enregistrés et analysés à des fins statistiques. Les informations obtenues n’aident pas seulement à réagir concrètement à un incident, mais elles contribuent également à une meilleure évaluation des menaces au niveau national et à alerter assez tôt d’autres organisations potentiellement affectées. Depuis l’entrée en vigueur de l’obligation de signaler, beaucoup plus d’organisations participent directement à l’échange d’informations. C’est pourquoi les signalements et les recommandations atteignent nettement plus d’acteurs par ce biais.

Des sanctions à partir du 1er octobre 2025 en cas d’infractions
Les sanctions prévues par la loi sur la sécurité de l’information en cas de non-signalement d’une cyberattaque entrent en vigueur le 1er octobre 2025. Les organisations exploitantes d’infrastructures critiques peuvent être sanctionnées d’une amende allant jusqu’à 100’000 francs si elles ne se conforment pas à cette obligation. Par ailleurs, si l’OFCS dispose d’indices laissant supposer qu’un signalement n’a pas été effectué, il est tenu de prendre contact en premier lieu avec l’autorité concernée. Ce n’est que lorsque les personnes concernées ne réagissent pas à cette prise de contact et à la décision qui s’ensuit, que l’OFCS peut déposer une plainte pénale.

Lors de sa séance du 14 mai 2025, le Conseil fédéral a été informé du contenu du premier rapport sur la mise en œuvre de la Cyberstratégie nationale (CSN), lequel documente l’état des travaux menés au niveau national pour renforcer la cybersécurité. Rédigé par le comité de pilotage de la CSN en collaboration avec l’Office fédéral de la cybersécurité (OFCS), il montre des progrès évidents : la création d’importantes structures de coordination, l’avancée de projets en cours et le lancement de nouveaux projets, sans compter le renforcement de la visibilité internationale de la Suisse dans le domaine de la cybersécurité.

Avec la CSN, la Confédération poursuit une approche globale visant à renforcer la cyberrésilience de la Suisse. Cinq objectifs stratégiques sont au cœur de cette démarche : la responsabilisation de la population, la sécurité des prestations numériques et des infrastructures critiques, la gestion et la défense contre les cyberattaques, la lutte contre la cybercriminalité, et la coopération internationale. Le rapport sur la mise en œuvre de la CSN montre des progrès évidents : la poursuite ciblée de projets en cours et le lancement de nouveaux projets dans les cinq objectifs stratégiques de la CSN.
Progrès concrets

Des mesures de sensibilisation et de promotion de la recherche et de la formation sont venues renforcer les compétences de la population, des entreprises et des autorités dans le traitement des cybermenaces. La campagne « S-U-P-E-R.ch » menée en 2024 et la participation de la Suisse au « European Cyber Security Month » ont contribué à sensibiliser le grand public aux thèmes liés à la cybersécurité.

La stratégie continue d’être axée sur la protection des infrastructures critiques face aux cybermenaces. La mise en œuvre des programmes de gestion des vulnérabilités, p. ex. le programme de primes aux bogues de la Confédération, et la construction de centres spécialisés en cybersécurité (CSC) dans des secteurs sensibles comme ceux de la santé et du trafic ferroviaire ont permis de réaliser des progrès notables. La création du Cyber Security Hubs (CSH) à l’OFCS a par ailleurs favorisé le développement des échanges d’information concernant les cybermenaces.

En matière de normalisation et de réglementation, les travaux visant à introduire une obligation d’annoncer les cyberattaques contre des infrastructures critiques ont été au premier plan l’année dernière. Cette obligation est entrée en vigueur le 1er avril 2025. Il s’agit de la première réglementation multisectorielle dans le domaine de la cybersécurité.

Dans le domaine de la lutte contre la cybercriminalité, la CSN favorise le développement de capacités spécialisées au sein des autorités de poursuites pénales et le renforcement de la coopération tant au niveau national qu’international. Des plateformes telles que Cyber-CASE et NEDIK permettent une détection et un traitement plus rapides des infractions numériques. Parallèlement, la standardisation des données et des processus ainsi que des formations et perfectionnements ciblés devrait permettre de gagner encore en efficience dans ce domaine à l’avenir.

Au niveau international, la Suisse s’est positionnée activement en faveur de la sécurité dans l’espace numérique. Avec des initiatives comme la Geneva Cyber Week, elle promeut la place internationale de Genève et renforce, en participant au processus de l’ONU et à la Counter Ransomware Initiative, les efforts internationaux visant à établir des règles contraignantes dans le cyberespace.