Deux obligations à ne pas confondre
Une cyberattaque ne déclenche pas automatiquement le même signalement pour toutes les organisations. Deux régimes fédéraux sont particulièrement importants :
- Selon l’art. 24 de la loi fédérale sur la protection des données (LPD), le responsable annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) une violation de la sécurité des données dans les meilleurs délais lorsqu’elle est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
- Depuis le 1er avril 2025, les exploitants d’infrastructures critiques entrant dans le champ de la loi doivent annoncer certaines cyberattaques à l’Office fédéral de la cybersécurité (OFCS/BACS) dans les 24 heures suivant leur découverte.
La LPD suisse ne fixe pas de délai général de 72 heures. La règle des 24 heures de l’OFCS ne s’applique pas à toutes les entreprises suisses. Des exigences sectorielles ou contractuelles peuvent s’ajouter.
| Régime | Destinataire | Délai | Champ d’application |
|---|---|---|---|
| LPD art. 24 | PFPDT | Dans les meilleurs délais | Violation susceptible d’entraîner un risque élevé |
| Obligation OFCS | OFCS | 24 heures après la découverte | Exploitants et cyberattaques relevant de la loi |
| Règles sectorielles | Autorité compétente | Selon la règle applicable | Par exemple, organisations réglementées de la finance ou de la santé |
Art. 24 LPD : quand faut-il annoncer ?
Une violation peut impliquer la perte, l’effacement, la destruction ou la modification de données personnelles, ou encore leur divulgation ou leur accès non autorisé. Le responsable doit apprécier si elle est susceptible d’entraîner un risque élevé.
Les facteurs pertinents comprennent notamment :
- la sensibilité et le volume des données
- le risque d’usurpation d’identité, de discrimination ou de dommage financier
- le nombre et la vulnérabilité des personnes concernées
- le chiffrement ou les autres protections efficaces
- les conséquences probables et la capacité à les limiter
L’annonce au PFPDT contient les informations disponibles exigées par la loi, notamment la nature et les conséquences de la violation ainsi que les mesures prises ou prévues. Si l’analyse n’est pas terminée, l’organisation doit documenter son appréciation et obtenir un avis qualifié au lieu d’attendre une certitude complète.
Les personnes concernées sont informées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l’exige. Cette appréciation est distincte de l’annonce à l’autorité.
Sanctions LPD : pas d’amende automatique de CHF 250’000
La LPD prévoit des amendes pouvant atteindre CHF 250’000 pour certaines infractions intentionnelles, généralement imputées à des personnes physiques. Une annonce tardive ou omise selon l’art. 24 ne déclenche pas automatiquement une amende de CHF 250’000. Le PFPDT peut enquêter et ordonner des mesures ; la violation intentionnelle d’une décision entrée en force peut être punissable.
Le risque juridique dépend de la disposition et du comportement concrets, et non d’un montant forfaitaire.
Obligation OFCS pour les infrastructures critiques
L’obligation ne s’applique que lorsque l’organisation et l’incident relèvent du champ légal. Les informations officielles de l’OFCS présentent les secteurs, les exceptions et les critères de signalement.
Le signalement initial doit être remis dans les 24 heures suivant la découverte. Il ne doit pas déjà contenir tous les résultats forensiques. Les informations indisponibles peuvent en principe être complétées dans un délai de 14 jours.
Le rapport semestriel de l’OFCS publié en mars 2026 a recensé 325 signalements obligatoires entre l’introduction de l’obligation le 1er avril et la fin de 2025. Ce chiffre ne représente pas le nombre total de cyberattaques en Suisse.
Une mise en œuvre graduée
L’amende maximale de CHF 100’000 n’est pas automatique après 24 heures. Selon l’OFCS, l’organisation est d’abord informée de l’obligation présumée. Si elle ne signale toujours pas, l’OFCS peut rendre une décision assortie d’une menace de peine. La persistance intentionnelle malgré cette décision peut ensuite conduire à une procédure pénale.
Plan d’urgence en dix étapes
- Activer l’équipe d’intervention et attribuer les rôles techniques, juridiques, décisionnels et de communication.
- Protéger les personnes et l’exploitation avec un appui technique compétent ; ne pas appliquer une règle universelle d’arrêt sans apprécier la sécurité et les preuves.
- Documenter la chronologie, l’heure de découverte, les systèmes touchés et les décisions.
- Préserver les preuves, notamment journaux, messages et images système, sans les modifier inutilement.
- Évaluer les données, les personnes concernées et les conséquences probables.
- Vérifier les obligations LPD, OFCS, sectorielles, contractuelles et transfrontalières en parallèle.
- Effectuer les annonces urgentes avec les faits vérifiés et compléter les incertitudes lorsque cela est permis.
- Communiquer de manière sûre aux personnes concernées lorsque nécessaire et coordonner les messages.
- Rétablir prudemment à partir de sources fiables et surveiller toute persistance.
- Tirer les enseignements et consigner la cause, les lacunes, les décisions et les corrections.
Une plainte pénale peut être appropriée, notamment en cas d’extorsion, de fraude ou d’accès non autorisé, mais elle n’est pas une obligation générale pour chaque incident.
Apport possible d’une cyberassurance
Selon la police et les autorisations préalables, des prestataires de réponse, la forensique IT, le conseil juridique, les notifications, la communication de crise ou l’interruption d’activité peuvent être assurés. La disponibilité, les délais et le remboursement dépendent du contrat ; les amendes ne sont pas automatiquement assurables ni couvertes.
Avant un incident, vérifiez la hotline, les prestataires agréés, le processus, les sous-limites et le moment où la couverture se déclenche. L’organisation reste responsable du respect de ses obligations.