Depuis le 1er avril 2025, une nouvelle règle s’applique en Suisse : les exploitants d’infrastructures critiques doivent annoncer les cyberattaques dont ils sont victimes à l’Office fédéral de la cybersécurité (OFCS, l’organe qui pilote le NCSC, le centre national pour la cybersécurité). À première vue, cela ne concerne pas la petite entreprise de la zone industrielle. En réalité, l’effet se propage bien plus loin qu’on ne le pense.

Ce que dit la loi, concrètement

L’obligation découle de la loi sur la sécurité de l’information. Elle vise ce qu’on appelle les infrastructures critiques : les organisations dont une panne aurait de lourdes conséquences pour le pays. Le NCSC en recense plusieurs secteurs, parmi lesquels l’administration publique, l’énergie, la finance, la santé, les télécommunications, les transports et l’approvisionnement alimentaire.

Quand l’une de ces organisations subit une cyberattaque significative, elle dispose de 24 heures pour la signaler au NCSC, puis d’un délai supplémentaire pour compléter son annonce. L’idée n’est pas de punir la victime, mais de permettre à la Confédération d’avoir une vue d’ensemble des menaces et d’alerter rapidement les autres acteurs exposés au même type d’attaque.

Des sanctions, mais une phase de rodage

Durant les six premiers mois, aucune sanction n’était prévue : il s’agissait de laisser aux organisations le temps de s’organiser. Depuis le 1er octobre 2025, en revanche, le dispositif de sanctions de la loi sur la sécurité de l’information est entré en vigueur. Une organisation qui néglige d’annoncer une attaque s’expose à une amende pouvant atteindre 100 000 francs.

Le mécanisme reste mesuré. Le NCSC précise qu’il doit d’abord contacter l’exploitant défaillant avant d’envisager une plainte pénale. L’objectif affiché est la transparence, pas la répression.

Les premiers chiffres

Le NCSC a publié un bilan après six mois : 164 annonces avaient été déposées par des exploitants d’infrastructures critiques. Selon son rapport semestriel publié le 30 mars 2026, ce total atteignait 325 annonces depuis l’entrée en vigueur, dont 145 pour le seul second semestre 2025.

Sur cette période, les types d’attaques les plus fréquemment annoncés étaient le piratage (hacking, soit l’intrusion non autorisée dans un système, 20 %), les attaques par déni de service ou DDoS (une technique qui consiste à saturer un service en ligne de requêtes pour le rendre inaccessible, 16 %), le vol d’identifiants (12 %) et les rançongiciels (un logiciel qui chiffre vos données et exige une rançon pour les débloquer, 9 %).

Pourquoi une PME devrait s’y intéresser

Voici le point que beaucoup de dirigeants manquent. Votre entreprise n’est peut-être pas une infrastructure critique. Mais si elle fournit un service à l’une d’elles, par exemple un prestataire informatique, un fournisseur de logiciel, un bureau de maintenance ou un sous-traitant qui a un accès à distance au réseau d’un hôpital, d’une commune ou d’un distributeur d’énergie, vous faites partie de sa surface d’attaque.

Dans les faits, cela se traduit de deux manières. D’abord, une attaque qui vous touche peut devoir être annoncée par votre client, ce qui suppose qu’il exige de vous des informations précises, rapidement. Ensuite, ces mêmes clients renforcent leurs exigences contractuelles : clauses de sécurité, obligation de notifier tout incident sous un délai serré, preuves de mesures de protection. Une PME incapable de répondre à ces attentes perd des mandats, tout simplement.

Ce que vous pouvez faire, et ce que cela ne suffit pas à couvrir

Beaucoup de mesures utiles sont à votre portée sans gros budget : tenir un inventaire de vos accès et de ceux de vos prestataires, activer la double authentification, sauvegarder vos données de façon isolée, et surtout savoir qui appeler et quoi documenter le jour où un incident survient. Ces réflexes limitent déjà considérablement les dégâts.

Mais soyons clairs : ces gestes de base ne suffisent pas à eux seuls à sécuriser une entreprise. Chaque organisation a ses propres flux de données, ses propres dépendances techniques et ses propres obligations contractuelles. Savoir précisément si vous êtes concerné par l’obligation d’annonce, ce que vos contrats vous imposent réellement et comment articuler une réponse à incident conforme demande une analyse au cas par cas.

En perspective

Cette obligation d’annonce s’inscrit dans un mouvement de fond : la cybersécurité devient une exigence de la chaîne, et non plus l’affaire isolée de chaque entreprise. Pour une PME romande, la bonne nouvelle est qu’il n’est pas nécessaire de tout maîtriser en interne. L’essentiel est de comprendre votre position dans cette chaîne et vos responsabilités réelles. C’est précisément le point de départ d’un accompagnement professionnel : cartographier votre exposition avant qu’un client, ou une attaque, ne le fasse à votre place.