1. L’évolution du cadre suisse de la cybersécurité

Face à la multiplication des attaques par rançongiciel (ransomware) et des campagnes d’espionnage industriel visant le tissu économique suisse, les autorités fédérales ont renforcé l’arsenal réglementaire par la révision de la Loi sur la sécurité de l’information (LSI).

2. L’obligation fédérale de signalement des cyberattaques (Art. 74a LSI)

Les exploitants d’infrastructures critiques (énergie, télécoms, santé, banques, administration publique, transports) sont désormais soumis à une obligation légale de notifier sans délai toute cyberattaque d’ampleur à l’Office fédéral de la cybersécurité (OFCS / ex-NCSC) dans un délai maximal de 24 heures suivant la détection de l’incident.

3. Les exigences techniques minimales opposables

En cas de litige suite à une compromission de données, les tribunaux suisses vérifient si l’entreprise a mis en œuvre les mesures techniques et organisationnelles (MTO) de l’état de l’art :

• Authentification multi-facteurs (MFA) obligatoire sur tous les accès distants et comptes d’administration.
• Chiffrement systématique des données au repos (AES-256) et en transit (TLS 1.3).
• Politique stricte de correctifs de sécurité (Patch Management) et séparation des environnements.
• Sauvegardes régulières immuables (Air-Gapped) et exercices périodiques de restauration d’urgence.