Dans un monde où les cybermenaces ne cessent de croître, la Suisse franchit une étape décisive pour protéger ses infrastructures critiques. Le Conseil fédéral a annoncé que, dès le 1er avril 2025, une obligation de signalement des cyberattaques sera en vigueur pour les exploitants de ces infrastructures.
Un cadre légal renforcé pour une réponse rapide
Cette initiative s’appuie sur une modification de la loi fédérale sur la sécurité de l’information (LSI), adoptée par le Parlement le 29 septembre 2023. Désormais, les entreprises œuvrant dans des secteurs essentiels tels que l’approvisionnement énergétique, l’eau potable, les transports, ainsi que les autorités cantonales et communales, devront signaler toute cyberattaque à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur détection.
Des critères de signalement précis
Les cyberattaques concernées incluent celles qui compromettent le fonctionnement des infrastructures critiques, entraînent une manipulation ou une fuite d’informations, ou s’accompagnent de chantage, de menaces ou de contraintes. Cette précision vise à assurer une vigilance accrue et une réaction appropriée face aux incidents.
Période d’adaptation avant l’application des sanctions
Conscient de la nécessité d’une transition en douceur, le Conseil fédéral a décidé que les dispositions légales relatives aux amendes en cas de non-respect de l’obligation de signalement n’entreront en vigueur que le 1er octobre 2025. Cette période de six mois permettra aux entités concernées de s’adapter au nouveau système sans risque de sanction immédiate.
Simplification du processus de signalement
Pour faciliter cette démarche, l’OFCS met à disposition un formulaire dédié sur sa plateforme d’échange d’informations avec les exploitants d’infrastructures critiques. Les organisations n’ayant pas accès à cette plateforme pourront transmettre leurs signalements par courriel en utilisant un formulaire disponible sur le site web de l’OFCS. Si toutes les informations requises ne peuvent être fournies dans les 24 heures, un délai supplémentaire de 14 jours est accordé pour compléter le signalement.
Un alignement sur les normes internationales
Cette mesure positionne la Suisse en conformité avec les standards internationaux en matière de cybersécurité. Depuis 2018, tous les États membres de l’Union européenne sont soumis à une obligation similaire de notification des cyberincidents, conformément à la directive NIS.
En instaurant cette obligation de signalement, la Suisse démontre sa volonté de renforcer la résilience de ses infrastructures critiques face aux cybermenaces, assurant ainsi la sécurité et la confiance du public dans des secteurs essentiels.
