Obligation de signaler les cyberattaques : qui est concerné en Suisse, et qui ne l’est pas

Depuis le 1er avril 2025, les exploitants d’infrastructures critiques sont tenus d’annoncer les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur détection. Les deux articles qui organisent la sanction, 74g et 74h de la loi sur la sécurité de l’information, sont entrés en vigueur le 1er octobre 2025.

Pour savoir si son entreprise est visée, il faut ouvrir le texte. L’article 74b de la loi dresse une liste d’autorités et d’organisations, et l’entrée dans cette liste ne dépend ni de la taille, ni du chiffre d’affaires, ni du fait de traiter des données personnelles : elle dépend de l’activité.

Ce que la loi exige : une annonce à l’OFCS dans les 24 heures

La loi sur la sécurité de l’information (LSI, RS 128) écrit que le signalement doit être fait dans les 24 heures suivant la détection de la cyberattaque. Il porte sur l’organisation assujettie, sur le type et l’exécution de la cyberattaque, sur ses effets, sur les mesures prises et, si elles sont connues, sur les mesures prévues.

L’ordonnance sur la cybersécurité (OCyS, RS 128.51) complète cette liste. Elle demande la date et l’heure de la constatation, la date et l’heure de l’attaque et les données sur l’attaquant. Le signalement doit aussi indiquer si l’attaque est liée à un acte de chantage, de menace ou de contrainte et si elle a fait l’objet d’une dénonciation pénale. Il doit enfin dire quelle a été la gravité du préjudice sur la disponibilité, l’intégrité et la confidentialité des informations, et quels effets l’attaque a eus sur le fonctionnement de l’organisation.

Ces 24 heures ne supposent pas un dossier complet. Si toutes les informations nécessaires ne sont pas connues dans ce délai, l’OFCS accorde 14 jours pour compléter le signalement. Il précise qu’il s’agit bien de 14 jours, samedi et dimanche compris, et qu’une première communication est attendue dans les 24 heures même quand on ne dispose encore d’aucune information. Il donne aussi l’exemple d’un système tombé en panne un vendredi soir dont on ne découvre que le lundi qu’il s’agit d’une attaque : le délai part de la découverte, donc du lundi matin.

La loi pose une réserve pour la personne qui rédige l’annonce : celle qui assume l’obligation de signaler pour une autorité ou une organisation n’est pas tenue de fournir, dans ce cadre, des informations qui l’exposent à des poursuites pénales.

L’annonce se dépose sur un formulaire du Cyber Security Hub, la plateforme d’échange que l’OFCS met à disposition des exploitants d’infrastructures critiques. Les organisations qui n’y ont pas de compte utilisent le bouton de signalement du site de l’OFCS ou le modèle de courrier électronique qu’il fournit. Le même formulaire permet, sur demande, de transmettre l’annonce à d’autres autorités auprès desquelles une obligation de déclaration existe aussi, par exemple l’Autorité fédérale de surveillance des marchés financiers (FINMA) ou le Préposé fédéral à la protection des données et à la transparence (PFPDT).

La loi dit à quoi sert l’obligation de signaler les cyberattaques : permettre à l’OFCS de détecter à un stade précoce les modes opératoires utilisés lors des attaques visant les infrastructures critiques, afin d’avertir les victimes potentielles et de leur recommander les mesures préventives et réactives qui s’imposent. L’organisation qui signale a par ailleurs droit au soutien de l’OFCS dans la gestion de l’incident.

Qui est assujetti : la liste de l’article 74b LSI

L’article 74b, alinéa 1, énumère vingt et une catégories d’autorités et d’organisations, de la lettre a à la lettre u.

Lettre	Organisations visées
a	les hautes écoles au sens de la loi sur l’encouragement et la coordination des hautes écoles
b	les autorités fédérales, cantonales et communales et les organisations intercantonales, cantonales et intercommunales, à l’exception du Groupement Défense quand l’armée accomplit un service d’appui ou un service actif
c	les organisations chargées de tâches de droit public dans la sécurité et le sauvetage, l’approvisionnement en eau potable, le traitement des eaux usées et l’élimination des déchets
d	les entreprises de l’approvisionnement énergétique ainsi que du commerce, de la mesure et de la gestion de l’énergie, hors attaque visant une installation nucléaire
e	les entreprises soumises à la loi sur les banques, à la loi sur la surveillance des assurances ou à la loi sur l’infrastructure des marchés financiers
f	les établissements de santé figurant sur la liste hospitalière cantonale
g	les laboratoires médicaux titulaires d’une autorisation au sens de la loi sur les épidémies
h	les entreprises titulaires d’une autorisation de fabriquer, de mettre sur le marché ou d’importer des médicaments
i	les organisations qui fournissent des prestations destinées à couvrir les conséquences de la maladie, des accidents, de l’incapacité de travail et de gain, de la vieillesse, de l’invalidité et de l’impotence
j	la Société suisse de radiodiffusion et télévision
k	les agences de presse d’importance nationale
l	les prestataires de services postaux enregistrés auprès de la Commission de la poste
m	les entreprises ferroviaires et les entreprises concessionnaires d’installations à câbles, de trolleybus, d’autobus et de navigation
n	les entreprises de l’aviation civile autorisées par l’Office fédéral de l’aviation civile et les aéroports nationaux figurant dans le Plan sectoriel de l’infrastructure aéronautique
o	les entreprises qui transportent des marchandises sur le Rhin et celles qui enregistrent, chargent ou déchargent des marchandises dans le port de Bâle
p	les entreprises qui approvisionnent la population en biens d’usage quotidien indispensables et dont la défaillance partielle ou complète entraînerait de graves difficultés d’approvisionnement
q	les fournisseurs de services de télécommunication enregistrés auprès de l’Office fédéral de la communication
r	les registres et les registraires de domaines Internet
s	les fournisseurs et les exploitants de services et d’infrastructures servant à l’exercice des droits politiques
t	les fournisseurs et exploitants de services cloud, de moteurs de recherche, de services numériques de sécurité ou de confiance et de centres de calcul, s’ils ont un siège en Suisse
u	les fabricants de matériel informatique ou de logiciels utilisés par des infrastructures critiques, quand ces produits disposent d’un accès de télémaintenance ou servent à commander et surveiller des systèmes techniques ou à garantir la sécurité publique

La loi ajoute deux précisions. Une organisation qui exerce aussi des activités hors de ces catégories n’a pas à signaler les cyberattaques qui n’ont d’effet que sur ces autres activités. Par ailleurs, l’obligation vaut pour les cyberattaques qui ont un effet en Suisse, même quand les moyens informatiques touchés se trouvent à l’étranger.

La loi charge l’OFCS de renseigner les autorités et les organisations intéressées sur leur éventuel assujettissement et, sur demande, de rendre une décision sur ce point.

Ce que l’ordonnance exempte, et qui n’est pas couvert par ces exemptions

L’article 74c LSI charge le Conseil fédéral d’exempter les autorités et les organisations lorsque les perturbations provoquées par les cyberattaques n’ont qu’un effet limité sur le fonctionnement de l’économie ou sur le bien-être de la population. L’ordonnance sur la cybersécurité règle ces exceptions à son article 12, et elle les nomme une par une.

Cinq cas figurent au premier alinéa :

• les hautes écoles de moins de 2000 étudiants ;
• certaines entreprises énergétiques, selon le niveau de protection qui leur est imposé ou, pour les exploitants de gazoducs, un transport annuel d’énergie inférieur à 400 GWh en moyenne sur les cinq dernières années ;
• certaines entreprises de transport, selon les tâches systémiques qui leur sont confiées et le type de concession qu’elles détiennent ;
• certaines entreprises de l’aviation civile, selon les obligations de sécurité de l’information qui leur sont applicables ;
• les fournisseurs de la lettre t qui ne fournissent pas de prestations à des tiers contre rémunération.

Le second alinéa porte le seuil de taille. Les organisations visées aux lettres g, h, l et p sont exemptées lorsqu’elles emploient moins de 50 personnes dans le domaine concerné et que leur chiffre d’affaires annuel ou la somme inscrite à leur bilan annuel n’y dépasse pas 10 millions de francs.

Ce seuil ne couvre donc que quatre des vingt et une catégories : les laboratoires médicaux, les entreprises du médicament, les prestataires de services postaux et les fournisseurs de biens d’usage quotidien. Une commune, un hôpital de la liste cantonale ou un fournisseur de services de télécommunication reste assujetti quelle que soit sa taille.

Pourquoi une entreprise qui n’est pas dans la liste n’est pas concernée

L’OFCS l’écrit : pour les entreprises qui ne font pas partie des infrastructures critiques, il n’existe actuellement aucune obligation légale de signaler les cyberincidents. Aucune des vingt et une catégories ne vise une entreprise à raison de sa taille, de son chiffre d’affaires ou du fait qu’elle traite des données personnelles. Une PME suisse comme une fiduciaire, un cabinet d’avocats ou un bureau d’ingénieurs ne relève d’aucune de ces lettres au titre de cette activité.

Une autre obligation d’annonce existe cependant en droit suisse, et elle ne repose pas sur les mêmes critères. La loi sur la protection des données prévoit, à son article 24, que le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Celle-là ne renvoie à aucune liste d’activités : son déclencheur est le risque pour la personne concernée, pas la criticité de l’infrastructure. Les deux textes se croisent d’ailleurs, puisque l’ordonnance sur la cybersécurité considère qu’une manipulation ou une fuite d’informations est avérée lorsqu’une violation de la sécurité des données est annoncée au titre de cet article 24.

Des obligations sectorielles s’ajoutent pour certains assujettis. L’OFCS indique ainsi qu’un établissement également soumis à la LSI peut envoyer son premier signalement de 24 heures par le formulaire de l’OFCS, mais que la déclaration détaillée à 72 heures doit toujours passer par la plateforme de la FINMA.

Le cas des prestataires informatiques suisses et des communes

Une lettre vise directement les entreprises informatiques. La lettre t couvre les fournisseurs et exploitants de services cloud, de moteurs de recherche, de services numériques de sécurité ou de confiance et de centres de calcul ayant un siège en Suisse. L’exemption prévue pour elle ne vise que ceux qui ne fournissent pas de prestations à des tiers contre rémunération. La lettre q ajoute les fournisseurs de services de télécommunication enregistrés auprès de l’Office fédéral de la communication, et la lettre u certains fabricants de matériel et de logiciels.

L’obligation reste celle de l’organisation touchée par l’attaque, même quand un tiers administre les systèmes. L’OFCS l’écrit et donne un exemple : dans le cas d’une commune, le prestataire peut faire la déclaration au nom de la commune touchée, mais cela doit alors être documenté. Il tranche aussi la question du réseau partagé : quand une commune utilise les services informatiques et le réseau du canton, c’est l’exploitant du réseau qui effectue le signalement, donc le canton. Savoir qui verra l’incident en premier rejoint la question de qui contrôle votre environnement Microsoft 365.

Ce qui déclenche l’annonce

L’article 74d LSI retient quatre cas. Une cyberattaque doit être signalée lorsqu’elle met en péril le fonctionnement de l’infrastructure critique concernée, lorsqu’elle a entraîné une manipulation ou une fuite d’informations, lorsqu’elle n’a pas été détectée pendant une période prolongée, ou lorsqu’elle s’accompagne d’actes de chantage, de menaces ou de contrainte.

L’ordonnance précise chacun de ces termes. Le fonctionnement est mis en péril quand des collaborateurs ou des tiers subissent des interruptions de système, ou quand l’organisation ne maintient ses activités qu’à l’aide de plans d’urgence. Une manipulation ou une fuite est avérée quand des personnes non autorisées consultent, modifient ou publient des informations importantes pour les affaires. Une attaque est réputée non détectée pendant une période prolongée si elle s’est produite plus de 90 jours auparavant. Le chantage, enfin, compte quand il vise l’organisation assujettie ou les personnes qui travaillent pour elle.

Tous les incidents ne remontent donc pas, et l’OFCS le dit sur des cas concrets. Une attaque par déni de service sur une application non critique pour l’entreprise ne crée pas d’obligation automatique : ce qui compte est de savoir si l’attaque met en danger le fonctionnement de l’infrastructure critique dans son ensemble. Et l’appareil privé d’un collaborateur qui se fait pirater n’est pas, selon l’OFCS, une attaque sur l’infrastructure de l’infrastructure critique, même s’il recommande d’en faire clarifier la situation par un spécialiste.

Les sanctions, et la procédure qui y mène

L’amende ne sanctionne pas l’annonce manquée elle-même. Quand des indices laissent présumer une violation de l’obligation, l’OFCS en informe l’organisation et lui fixe un délai pour s’en acquitter. Si elle ne le fait pas, il rend une décision qui fixe un nouveau délai et l’informe qu’elle est menacée d’une amende. C’est le refus intentionnel de se conformer à cette décision entrée en force qui est puni d’une amende de 100 000 francs au plus. La poursuite et le jugement relèvent des cantons.

L’OFCS écrit également qu’il n’y aura pas de surveillance active du respect de l’obligation : il ne peut attirer l’attention d’une organisation que lorsqu’il a lui-même connaissance d’un incident.

L’annonce volontaire, ouverte à toutes les entreprises

Une entreprise qui n’est pas assujettie peut annoncer un cyberincident à l’OFCS, et il le recommande : cela contribue à la cybersécurité générale et aide à détecter les menaces à un stade précoce. Le formulaire est public, à l’adresse report.ncsc.admin.ch. Les personnes privées ne sont pas soumises à l’obligation, et leurs annonces volontaires permettent à l’OFCS d’identifier des tendances et de prendre des contre-mesures.

Les deux régimes n’ont pas le même volume. Au premier semestre 2026, l’OFCS a reçu 27 128 signalements volontaires et 200 annonces effectuées au titre de l’obligation de signaler. Sur ces 200, les deux secteurs les plus représentés sont le secteur public (19,4 %) et celui de l’informatique et des télécommunications (18,6 %).

L’OFCS précise ce qu’il apporte ensuite : une assistance technique de premier niveau, qui ne doit pas entrer en concurrence avec les offres de l’économie privée, et une invitation à chercher de l’aide auprès d’entreprises spécialisées selon l’ampleur de l’attaque. Il ne négocie pas avec les auteurs de chantage ; les démarches juridiques et les négociations relèvent de la police et des autorités de poursuite pénale.

Notre lecture

Nous tranchons : pour une entreprise qui ne figure dans aucune des vingt et une catégories, il n’y a pas de chantier à ouvrir au titre de cette obligation, et rien à acheter à ce motif. C’est l’OFCS lui-même qui écrit qu’aucune obligation légale de signaler ne pèse sur les entreprises hors des infrastructures critiques.

Ce qui fait entrer dans la liste est l’activité. La taille n’intervient qu’ensuite, et seulement pour quatre catégories sur vingt et une. Une entreprise qui vend des services informatiques, des services de sécurité ou de la capacité de centre de calcul depuis un siège en Suisse, qui est enregistrée auprès de l’Office fédéral de la communication, ou qui exploite le réseau d’une collectivité publique, se trouve dans une zone où la question se pose réellement. Cette question ne se tranche pas par une lecture : la loi confie à l’OFCS le soin de répondre et de rendre une décision sur demande.

Nous ajoutons deux réserves. La première tient au texte lui-même : l’article 74b renvoie à d’autres lois fédérales, de l’encouragement des hautes écoles au transport de voyageurs en passant par les épidémies et les produits thérapeutiques, et personne ne peut conclure en lisant la seule LSI. C’est agaçant, et c’est aussi pourquoi le législateur a prévu la voie de la décision. La seconde tient au seuil de l’article 12, alinéa 2, qui exempte les organisations employant moins de 50 personnes dont le chiffre d’affaires ou le bilan ne dépasse pas 10 millions de francs : il ne couvre que quatre catégories sur vingt et une, et il ne dit rien des communes, des hôpitaux de la liste cantonale ni des fournisseurs de services de télécommunication.

Reste ce qui vaut indépendamment de tout assujettissement, et qui ne coûte rien : savoir qui, chez vous, détecterait une attaque, qui serait appelé ensuite, et dans quel ordre. Une organisation assujettie a 24 heures pour déposer son annonce, ce qui suppose que cette chaîne existe avant l’incident. Une organisation qui ne l’est pas a le même intérêt à ne pas l’improviser le jour venu. Quand cette chaîne passe par un prestataire, elle se règle dans le mandat d’infogérance, pas le jour de l’incident.

Ce que vous pouvez vérifier vous-même

1. Lisez l’article 74b, alinéa 1, LSI et cherchez la lettre qui décrirait votre activité. Le texte est public et la liste est courte.
2. Si une lettre pourrait correspondre, lisez l’article 12 de l’ordonnance sur la cybersécurité : les exemptions y sont nominatives, lettre par lettre.
3. En cas de doute, adressez la question à l’OFCS. La loi lui impose de renseigner les organisations intéressées et de rendre une décision sur demande.
4. Regardez si votre organisation a un compte sur le Cyber Security Hub. L’OFCS recommande à toutes les organisations assujetties de s’y enregistrer, et les comptes y sont personnels, sans adresse de groupe.
5. Regardez qui, chez vous, verrait l’attaque et qui déposerait l’annonce. L’obligation reste celle de l’organisation touchée, même quand un prestataire administre les systèmes.
6. Si votre organisation n’est pas assujettie, notez l’adresse du formulaire d’annonce volontaire à côté de vos numéros d’urgence.

Aucun de ces points ne demande un prestataire.

Les sources officielles

• Loi fédérale sur la sécurité de l’information (LSI, RS 128)
• Ordonnance sur la cybersécurité (OCyS, RS 128.51)
• Loi fédérale sur la protection des données (LPD, RS 235.1)
• OFCS — Information sur l’obligation de signaler
• OFCS — Comment doit-on signaler ?
• OFCS — Questions fréquentes sur l’obligation de signaler
• OFCS — Communiqué du 24 août 2026 et rapport semestriel 2026/1
• OFCS — Formulaire d’annonce