L'essentiel de la loi
- Délai légal de 24 heures : Toute cyberattaque présentant un potentiel de dommage important doit être notifiée à l'OFCS dans les 24 heures suivant sa détection.
- Secteurs assujettis : Énergie, approvisionnement en eau, hôpitaux et cliniques, autorités cantonales et communales, banques, assurances, télécommunications et prestataires informatiques stratégiques.
- Amende pénale : Le non-respect intentionnel de l'obligation de signaler est passible d'une amende pouvant atteindre CHF 100'000 (art. 74f LSI).
- Prévention obligatoire : L'obligation de signalement impose de facto une capacité technique minimale de détection et une maîtrise parfaite de sa surface d'attaque externe.
1. Le cadre légal de la LSI et le rôle central de l'OFCS
Face à la recrudescence des attaques par rançongiciel (ransomware) ayant paralysé des communes romandes et des cliniques suisses, la Confédération a renforcé son dispositif de cyberdéfense. L'art. 74b LSI transforme le signalement, autrefois volontaire, en une obligation légale stricte pour les secteurs essentiels au fonctionnement de la société et de l'économie suisse.
L'Office fédéral de la cybersécurité (OFCS, anciennement BACS/NCSC), rattaché au Département fédéral de la défense, de la protection de la population et des sports (DDPS), centralise les signalements via sa plateforme sécurisée.
2. Quelles cyberattaques doivent être obligatoirement signalées ?
Selon l'ordonnance d'exécution, une attaque doit être notifiée dès lors qu'elle répond à l'un des critères suivants :
- Elle met en péril l'accessibilité ou le fonctionnement continu de services critiques (p. ex. blocage du système d'information hospitalier ou des réseaux d'adduction d'eau).
- Elle a entraîné une fuite ou une corruption de données sensibles à grande échelle.
- Elle a été précédée d'un chantage ou d'une demande de rançon (extorsion par ransomware).
- Elle est restée non détectée pendant une longue durée avec compromission des contrôleurs d'accès.
| Critère | Obligation LSI (OFCS) | Obligation nLPD (PFPDT) |
|---|---|---|
| Finalité légale | Protection des infrastructures critiques et alerte précoce nationale | Protection des droits fondamentaux et des données personnelles des citoyens |
| Délai de notification | Dans les 24 heures après détection | Dans les meilleurs délais (généralement 72h) |
| Destinataire | Office fédéral de la cybersécurité (OFCS) | Préposé fédéral à la protection des données (PFPDT) |
| Sanctions financières | Amende jusqu'à CHF 100'000 (art. 74f LSI) | Amende pénale personnelle jusqu'à CHF 250'000 (art. 60 nLPD) |
3. Comment prouver votre diligence préalable
En cas d'audit ou d'incident, les autorités vérifieront si l'organisation avait mis en place les mesures de sécurité appropriées selon l'état de la technique. Disposer d'un rapport de test d'intrusion récent et d'un certificat émis par un organisme certifié ISO 27001 constitue la meilleure preuve de conformité et protège directement la responsabilité civile et pénale des membres de la direction.
