Les chiffres confirmés
Depuis le 1er avril 2025, les exploitants d’infrastructures critiques concernés doivent annoncer à l’Office fédéral de la cybersécurité (OFCS), dans les 24 heures suivant leur découverte, les cyberattaques qui remplissent les critères légaux.
Le rapport semestriel publié par l’OFCS le 30 mars 2026 recense 325 signalements obligatoires depuis l’introduction de l’obligation jusqu’à fin 2025, dont 145 au second semestre 2025. L’OFCS a par ailleurs reçu 64’733 signalements volontaires pendant l’année 2025. Ces chiffres couvrent des canaux différents et ne représentent ni un nombre d’attaques confirmées ni des sinistres assurés.
L’obligation ne s’applique pas à toutes les entreprises suisses. La loi sur la sécurité de l’information et l’ordonnance sur la cybersécurité déterminent si une organisation et un incident concret entrent dans son champ d’application.
Ce qu’exige le délai de 24 heures
Le signalement initial ne doit pas déjà contenir tous les détails. Les informations manquantes peuvent en principe être complétées dans les 14 jours; il ne faut donc pas attendre la fin de l’analyse forensique avant d’effectuer le premier signalement.
Un processus pratique devrait prévoir:
- une personne responsable et sa suppléance
- la consignation de l’heure de découverte
- la sauvegarde des premiers faits sur le service touché et l’impact
- l’examen parallèle d’autres obligations, par exemple envers le PFPDT ou la FINMA
- un délai pour compléter le signalement
Une amende n’est pas automatique après 24 heures
Depuis le 1er octobre 2025, des amendes jusqu’à CHF 100’000 sont prévues. Selon l’OFCS, un soupçon de non-signalement conduit d’abord à un rappel de l’obligation. Si l’organisation ne réagit pas, l’OFCS peut rendre une décision assortie d’une menace de sanction. Une dénonciation pénale ne peut suivre que si le signalement n’est toujours pas effectué.
Une cyberassurance ne remplace pas la conformité. Selon le contrat, des prestations de conseil juridique, de forensique ou de gestion de crise peuvent être assurées. La couverture et l’assurabilité juridique des frais de procédure ou des amendes doivent être vérifiées expressément dans la police concernée.