En bref : La Suisse doit se doter d’une loi fédérale autonome sur la cybersécurité. Le 25 septembre 2026, le Conseil fédéral a chargé le Département fédéral de la défense, de la protection de la population et des sports (DDPS) de préparer d’ici juin 2027 un projet destiné à la consultation. La loi doit regrouper des exigences de sécurité contraignantes pour les logiciels et le matériel, des obligations pour les fournisseurs d’hébergement et de cloud, ainsi que l’obligation de signalement existante pour les infrastructures critiques.
L’essentiel en bref
- Décision : séance du Conseil fédéral du 25 septembre 2026
- Mandat : le DDPS prépare d’ici juin 2027 un projet de nouvelle loi fédérale autonome destiné à la consultation
- Contenu : mise en œuvre de trois motions parlementaires : cyberrésilience des produits comportant des éléments numériques (Mo. 24.3810), protection des données numériques essentielles (Mo. 23.3002), rôle des fournisseurs d’hébergement et d’informatique en nuage dans la cybersécurité (Mo. 25.3011)
- Modèle : les règles relatives aux produits s’inspirent du Cyber Resilience Act (CRA) européen
- Obligation de signalement : l’obligation de signaler les cyberattaques contre les infrastructures critiques, en vigueur depuis avril 2025, doit passer de la loi sur la sécurité de l’information (LSI) à la nouvelle loi
- Statut : il n’existe pas encore de projet de loi ; la consultation suivra
- Source : communiqué du Conseil fédéral du 25 septembre 2026
Trois projets dans une seule loi
L’Office fédéral de la cybersécurité (OFCS) traitait jusqu’ici les trois mandats parlementaires comme des projets distincts, qui devaient à l’origine être mis en œuvre par des modifications de la LSI. Ils seront désormais réunis dans une loi propre.
Produits sûrs : les fabricants, importateurs et distributeurs de produits logiciels et matériels devront respecter des exigences contraignantes. Des règles de surveillance du marché et une interdiction de vendre des produits non sûrs sont également prévues. La réglementation s’inspire du CRA de l’UE. Selon le Conseil fédéral, l’objectif est de limiter la charge administrative des entreprises ; les entreprises actives à l’international qui respectent déjà le CRA ne devraient pas avoir de charge supplémentaire. Les logiciels open source sont également mentionnés.
Données importantes et cloud : des obligations spécifiques sont prévues pour la protection des données numériques particulièrement importantes et pour les fournisseurs d’hébergement et de cloud, notamment des obligations de coopération et de défense contre les cybermenaces.
Obligation de signalement : l’obligation des exploitants d’infrastructures critiques de signaler les cyberattaques sera transférée dans la nouvelle loi. La LSI continuera de régir la sécurité de l’information au sein des autorités fédérales. Les lois sectorielles, comme la loi sur les télécommunications, restent en vigueur ; la nouvelle loi les complétera.
Qu’est-ce que cela signifie pour les PME suisses ?
Pour la plupart des PME, rien ne change pour l’instant : la loi n’existe pas encore et les détails ne seront connus qu’avec le projet mis en consultation. Trois groupes devraient toutefois suivre le dossier :
- Les fournisseurs de logiciels et de matériel qui vendent en Suisse. Ceux qui livrent déjà dans l’UE devraient connaître le calendrier du CRA, dont la loi s’inspire.
- Les fournisseurs d’hébergement, de cloud et de services informatiques, pour lesquels de nouvelles obligations sont prévues.
- Les exploitants d’infrastructures critiques, pour qui l’obligation de signalement reste applicable. Notre page sur l’obligation de signalement résume les règles actuelles.
Indépendamment de la réglementation, un état des lieux s’impose : le check cyber-risque révèle les lacunes. La prise en charge de conseils juridiques ou d’un soutien en cas de crise dépend du contrat ; voir Cyberassurance pour PME, coûts et notre comparatif.