31.03.2025 – Dès début avril 2025, les exploitants d’infrastructures critiques doivent annoncer dans les 24 heures toute cyberattaque les concernant, par une communication à l’Office fédéral de la cybersécurité (OFCS).
En réaction à l’augmentation des cas de cyberattaque et aussi pour obtenir une meilleure vue d’ensemble, le Conseil fédéral a décidé, lors de sa séance du 7 mars 2025, d’introduire dès début avril une obligation d’annonce pour les exploitants des infrastructures critiques. Toute cyberattaque concernant une telle infrastructure devra être communiquée à l’OFCS dans les 24 heures qui suivent sa détection. L’objectif est de renforcer la cybersécurité en Suisse. L’annonce permet à l’OFCS de proposer son aide pour résister à ces attaques et d’alerter les autres exploitants d’infrastructures critiques.
Les autorités et organisations concernées sont par exemple les fournisseurs d’énergie ou d’eau potable, les entreprises de transport, les administrations cantonales et communales. L’attaque doit être annoncée dès lors qu’elle met en péril le fonctionnement de l’infrastructure, a entraîné une manipulation ou une fuite d’informations, ou s’accompagne de chantage, de menaces ou de contrainte.
Formulaire d’annonce OFCS en ligne
Le site de l’OFCS propose un formulaire d’annonce, que l’on trouve sur la plateforme d’échange. Les organisations qui n’ont pas accès à cette plateforme peuvent utiliser un courriel-type, qui se trouve sur le site web lui aussi. L’incident doit être annoncé dans les 24 heures qui suivent sa détection. Si la première annonce est lacunaire, il est possible de la compléter dans les deux semaines. Négliger l’annonce ne sera pas sanctionné pendant les six premiers mois. Ensuite un régime d’amendes entrera en vigueur, début octobre 2025.
Vidéos didactiques
L’OFCS a publié deux vidéos qui donnent toutes les informations quant à cette obligation d’annonce. La première (Annonce obligatoire des cyberattaques contre des infrastructures critiques) donne le contexte et les objectifs de cette obligation. La seconde (Comment annoncer une cyberattaque contre une infrastructure critique) propose un guide étape par étape pour cette annonce.
Informations complémentaires
Dernière modification 31.03.2025
