Réponse courte
Face à un ransomware, les entreprises doivent d’abord stopper la propagation, protéger les sauvegardes, préserver les preuves et activer une aide spécialisée. Les systèmes touchés doivent être déconnectés du réseau ; des redémarrages, suppressions et restaurations non coordonnés peuvent détruire des preuves ou favoriser une nouvelle infection. L’OFCS déconseille de payer une rançon et recommande de coordonner la suite avec la police cantonale.
Selon la police, une cyberassurance peut couvrir la réponse aux incidents, la forensique, la restauration, l’interruption d’exploitation ou le conseil en cas d’extorsion. Elle n’est toutefois ni une promesse de paiement forfaitaire, ni une autorisation de payer des prestataires ou une rançon sans accord.
Les 24 premières heures face à un ransomware
| Période | Priorité | Étapes concrètes |
|---|---|---|
| 0–15 minutes | Contenir | isoler les appareils infectés et les zones de réseau touchées ; limiter les connexions Internet, d’accès à distance et entre sites selon le plan d’urgence ; protéger les sauvegardes ; activer la cellule de crise et le journal |
| 15 minutes–4 heures | Comprendre et sécuriser | faire appel à la forensique/réponse aux incidents ; conserver logs, message de rançon, fichiers chiffrés et horodatages ; vérifier les identités et accès cloud ; contacter l’assureur et la police par des canaux connus |
| 4–24 heures | Décider et stabiliser | évaluer l’ampleur et une éventuelle exfiltration de données ; trancher les obligations de signalement à l’OFCS, au PFPDT et autres ; planifier une reprise sûre ; valider la communication et les procédures d’exploitation d’urgence ; justifier dommages et coûts |
Cette chronologie est une aide opérationnelle. Elle ne remplace ni l’appréciation juridique ni les obligations de déclaration et d’accord convenues dans la police.
La forensique avant le nettoyage
L’OFCS recommande de sauvegarder les logs et de décider tôt si une analyse forensique est nécessaire. En particulier en cas de plainte pénale, la police et la forensique devraient convenir des prochaines étapes avant toute réinstallation des systèmes.
Concrètement :
- ne pas réinitialiser, supprimer ou redémarrer de manière non coordonnée des appareils suspects ;
- conserver tels quels les messages de rançon, en-têtes d’e-mails, extensions de fichiers, adresses de portefeuilles et indicateurs techniques ;
- exporter les logs pertinents des systèmes d’identité, de messagerie, des endpoints, du pare-feu, du VPN, du cloud et des sauvegardes ;
- documenter les copies de preuves, le moment, la personne responsable et le lieu de stockage ;
- ne reconstruire les systèmes infectés à partir de supports fiables qu’après la préservation des preuves ;
- avant toute restauration, vérifier l’intégrité des sauvegardes, l’absence de logiciel malveillant et la fermeture du vecteur d’attaque.
L’objectif n’est pas seulement le déchiffrement. Le vecteur d’infection doit être identifié et éliminé, afin que les attaquants ne reviennent pas par des comptes, accès à distance ou vulnérabilités inchangés.
Déclarer immédiatement à l’assureur, documenter proprement l’accord
De nombreuses cyberpolices organisent une hotline d’urgence ou un réseau de prestataires en forensique, en droit et en communication. Le contrat détermine si leurs coûts sont couverts. Vérifiez en particulier :
- Qui peut déclarer le sinistre et quel numéro vaut en dehors des heures de bureau ?
- Faut-il recourir à un prestataire déterminé ?
- Quels coûts nécessitent un accord écrit préalable ?
- Existe-t-il une obligation de réduire immédiatement le dommage ?
- Quels justificatifs l’assureur exige-t-il pour l’interruption, les surcoûts et la restauration ?
Lorsqu’un confinement immédiat est nécessaire, l’organisation ne devrait pas rester inactive uniquement parce qu’un interlocuteur n’a pas encore répondu. Documentez la nécessité, le moment, les alternatives et le coût de chaque mesure immédiate et obtenez l’accord contractuellement requis le plus tôt possible. Le remboursement des coûts reste une décision au cas par cas selon la police.
OFCS, PFPDT et police : trois voies différentes
OFCS
L’OFCS reçoit les signalements volontaires de cyberincidents. Pour les exploitants d’infrastructures critiques assujettis par la loi s’applique en outre, depuis le 1er avril 2025, une obligation de signaler dans les 24 heures les cyberattaques soumises à signalement. Cette obligation ne s’applique pas de manière générale à toutes les entreprises.
PFPDT
Lorsque des données personnelles sont concernées, il faut examiner l’art. 24 LPD. Une violation de la sécurité des données doit être annoncée au PFPDT dans les meilleurs délais si elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Un ransomware peut impliquer, outre le chiffrement, une exfiltration de données ; l’absence de publication par les auteurs ne prouve pas qu’aucune donnée n’a été dérobée.
Police cantonale
En cas de ransomware, l’OFCS recommande dans tous les cas de déposer plainte et de se coordonner tôt avec la police cantonale, en particulier avant la forensique, la réinstallation ou toute communication avec les maîtres-chanteurs. L’OFCS lui-même n’est pas une autorité de poursuite pénale.
Les différents seuils et délais sont détaillés dans le guide sur l’obligation de signaler.
Rançon, sanctions et accord
L’OFCS déconseille de payer une rançon : un paiement ne garantit ni le déchiffrement ni la suppression des données volées et finance le modèle d’affaires criminel. Selon l’OFCS, quiconque envisage malgré tout un paiement devrait impérativement en discuter avec la police cantonale.
Le rapport du Conseil fédéral sur les mesures contre les attaques par rançongiciel a constaté en 2024 qu’aucune interdiction générale ni obligation générale propre de signaler les paiements de rançon ne seraient introduites en Suisse. Il n’en découle aucune licéité générale d’un paiement concret. La situation juridique actuelle et le destinataire concret doivent être examinés à chaque fois.
Points particulièrement importants :
- Les entreprises suisses doivent respecter les sanctions en vigueur. Un paiement ou la mise à disposition de ressources économiques peut être interdit si des personnes ou organisations sanctionnées sont impliquées.
- L’identité et les liens des auteurs sont souvent incertains. Un examen professionnel des sanctions et du droit est donc nécessaire avant toute décision de paiement.
- Police, conseil juridique, assureur et, le cas échéant, un conseiller agréé en matière d’extorsion doivent être coordonnés.
- Ni une négociation avec les maîtres-chanteurs ni un paiement ne peuvent être autorisés sur la seule base de la faisabilité technique ou d’une supposée couverture d’assurance.
- La rançon et les coûts qui y sont liés peuvent être exclus, couverts seulement en partie ou soumis à une sous-limite propre et à un accord préalable.
La page du SECO sur les sanctions recense les ordonnances en vigueur et la recherche de personnes et organisations sanctionnées. Lors d’une véritable décision de paiement, un examen actuel au cas par cas est indispensable.
Interruption d’exploitation : délai de carence, durée d’indemnisation et sous-limites
« Interruption d’exploitation assurée » ne dit pas encore combien une police verse. Pour le ransomware, il convient de vérifier au minimum ces points du contrat :
| Notion | Ce qu’il faut clarifier |
|---|---|
| Événement assuré | Un système propre doit-il être touché ou la panne d’un prestataire cloud/IT suffit-elle ? |
| Délai de carence | À partir de quel moment l’interruption assurée commence-t-elle ? Le délai de carence est-il une période, une participation financière ou les deux ? |
| Durée d’indemnisation | Pendant combien de temps les pertes et surcoûts assurés sont-ils pris en compte ? |
| Calcul | Quels chiffres d’affaires, coûts variables, frais fixes et dépenses de réduction du dommage entrent en compte ? |
| Sous-limite | Une limite inférieure à la somme d’assurance totale s’applique-t-elle à l’interruption d’exploitation, à l’extorsion, à la restauration ou à la défaillance d’un prestataire ? |
| Reprise | La prestation prend-elle fin avec la disponibilité technique ou tient-elle compte de la remise en service contrôlée ? |
| Justificatifs | Quelles données financières, journaux système, heures de travail, factures et décisions faut-il prouver ? |
Une sous-limite est un plafond de prestation à l’intérieur de la limite globale. Un délai de carence n’est pas automatiquement la même chose qu’une franchise en argent. Seul le libellé concret montre comment les deux s’articulent.
Check-list de la police avant l’incident
- Numéro d’urgence et numéro de police disponibles hors ligne
- Personnes habilitées à déclarer et suppléance désignées
- Partenaires agréés en forensique, droit et communication connus
- Accord pour les coûts immédiats et les prestataires clarifié
- Conseil en cas d’extorsion et rançon examinés séparément
- Interruption d’exploitation, délai de carence, durée d’indemnisation et calcul compris
- Sous-limites documentées par module de prestation
- Défaillance de prestataires cloud, IT et de livraison examinée
- Exigences de sécurité et exclusions actuellement respectées
- Justificatifs pour chiffre d’affaires, surcoûts et reprise préparés
Le guide général sur l’étendue de la couverture et les questions de la proposition d’assurance aident à se préparer.
Sources officielles et primaires
- OFCS : Ransomware
- Conseil fédéral : rapport sur les mesures contre les attaques par rançongiciel (PDF, en allemand)
- PFPDT : Guide sur l’annonce des violations de la sécurité des données
- OFCS : Obligation de signaler pour les infrastructures critiques
- SECO : Informations générales sur les sanctions
- Association Suisse d’Assurances : prestations possibles et limites des cyberassurances
Contenu vérifié le 18 juillet 2026. La prestation d’assurance, l’obligation de signaler et la licéité juridique dépendent du cas d’espèce, de la situation juridique actuelle et du contrat concret.