Pourquoi les institutions de formation sont-elles particulièrement exposées ?
Les institutions de formation suisses — des écoles obligatoires aux universités — sont devenues des organisations profondément numériques. Plateformes d’apprentissage, bases de données étudiantes, résultats de recherche, systèmes d’examens : l’ensemble du fonctionnement repose sur une infrastructure informatique complexe. Parallèlement, le secteur éducatif figure parmi les cibles les plus fréquentes des cyberattaques en Suisse.
La Suisse romande abrite des institutions de renommée mondiale : l’EPFL, l’Université de Genève, l’Université de Lausanne, les HES-SO et de nombreuses écoles internationales. Ces établissements cumulent plusieurs facteurs de risque.
La culture de réseau ouvert est profondément ancrée dans le monde académique. Des milliers d’étudiants, d’enseignants et de chercheurs accèdent au réseau avec leurs propres appareils (BYOD). Restreindre les accès va à l’encontre de la tradition d’ouverture et de libre circulation du savoir.
Les données sensibles sont variées et abondantes : données personnelles des élèves et étudiants (y compris notes, informations de santé, données sociales), données de recherche (parfois d’intérêt national stratégique) et documents d’examens. Malgré la complexité de leur paysage informatique, les établissements de formation disposent souvent de budgets IT limités, la priorité allant à l’enseignement et à la recherche.
Le NCSC a enregistré une augmentation de 85 % des attaques contre les institutions de formation suisses en 2025.
Les 3 principales menaces
1. Rançongiciel paralysant les systèmes académiques
Un rançongiciel chiffre simultanément la plateforme d’apprentissage (Moodle, SWITCH), la base de données des étudiants, la messagerie et les systèmes d’examens. En période d’examens, l’impact est dévastateur : les sessions doivent être reportées, les projets de recherche interrompus, les inscriptions bloquées. Les attaquants savent que la pression temporelle pousse les établissements à envisager le paiement.
2. Vol de données de recherche
Les universités suisses mènent des recherches de pointe dans des domaines stratégiques : intelligence artificielle, sciences de la vie, physique quantique, cryptographie. Des groupes de hackers étatiques ciblent ces données pour accélérer le développement technologique de leurs pays. L’infiltration est souvent silencieuse, via un compte de doctorant ou d’enseignant compromis, et peut durer des mois.
3. Manipulation des systèmes d’examens
L’accès non autorisé aux systèmes de gestion des examens permet de modifier des notes, de consulter des épreuves à l’avance ou de falsifier des diplômes. Au-delà de la fraude académique, cela remet en question la crédibilité de l’institution et peut avoir des conséquences juridiques si des diplômes frauduleux sont utilisés professionnellement.
Scénario typique : attaque contre une haute école de Suisse romande
Une haute école spécialisée (HES) de Suisse romande comptant 4’500 étudiants et 600 collaborateurs est victime d’un rançongiciel pendant la session d’examens de janvier. L’attaque débute par un courriel d’hameçonnage ciblant un membre du corps enseignant, qui utilise les mêmes identifiants pour sa messagerie personnelle et professionnelle.
En 48 heures, les systèmes critiques sont chiffrés : plateforme Moodle, système de gestion des notes, messagerie, réseau SWITCH, bases de données administratives. Les 1’200 examens prévus sur les deux semaines suivantes doivent être reportés. Trois laboratoires de recherche perdent l’accès à des données expérimentales de plusieurs mois.
Les attaquants exigent CHF 300’000. L’école doit informer le PFPDT, les cantons concernés et les 4’500 étudiants dont les données sont potentiellement compromises. Les parents d’élèves mineurs des filières intégrées doivent également être notifiés.
Le bilan financier est lourd : forensique et restauration CHF 180’000, report et réorganisation des examens CHF 95’000, perte de données de recherche (valeur estimée) CHF 350’000, notification et communication CHF 55’000, renforcement de la sécurité CHF 120’000. Dommage total : CHF 800’000, auxquels s’ajoute la perte non quantifiable en données de recherche.
Couverture recommandée
Une cyberassurance adaptée aux institutions de formation en Suisse devrait inclure :
- Interruption d’activité — Coûts liés à l’indisponibilité des plateformes d’apprentissage, des systèmes d’examens et administratifs
- Restauration des données — Récupération des données de recherche, des dossiers étudiants et des documents d’examens
- Responsabilité civile — Prétentions d’étudiants, de parents et de partenaires de recherche
- Forensique — Investigation spécialisée des infiltrations de réseau et du vol de données
- Protection de la recherche — Couverture spéciale pour la perte de données de recherche de grande valeur
- Frais de notification — Information des étudiants, élèves et parents concernés
- Procédures réglementaires — Frais liés aux procédures nLPD et aux enquêtes des autorités de surveillance
- Répétition d’examens — Couverture des coûts organisationnels liés au report d’examens compromis
Indication de prime
Pour une école obligatoire ou un gymnase romand avec 500 à 2’000 élèves, les primes se situent entre CHF 1’500 et CHF 5’000 par an. Pour une haute école ou une université avec 3’000 à 15’000 étudiants, comptez entre CHF 5’000 et CHF 20’000. Les grandes universités avec des départements de recherche stratégique doivent prévoir des primes de CHF 15’000 à CHF 50’000 selon l’étendue du réseau et la sensibilité des données de recherche.
Protégez votre institution et vos étudiants
L’éducation est un bien public qui mérite la meilleure protection. Les données de vos étudiants, les résultats de vos recherches et la crédibilité de vos diplômes sont des actifs irremplaçables. Dans un contexte de menaces croissantes, l’absence de cyberassurance est un risque que les institutions de formation ne peuvent plus se permettre.
BTAG Versicherungsbroker AG à Berne comprend les défis particuliers des institutions de formation. En tant que courtier indépendant, BTAG trouve la cyberassurance adaptée — que ce soit pour une école obligatoire, une école professionnelle, une haute école spécialisée ou une université.
Demandez dès maintenant une offre sans engagement et protégez votre institution, vos données et vos étudiants contre les cybermenaces croissantes.