1. Le paysage de la cybersécurité en Suisse et le NCSC

La Confédération suisse a placé la protection du cyberespace au cœur de sa stratégie nationale de sécurité. L’organisme central de coordination est le Centre national pour la cybersécurité (NCSC), intégré à l’Office fédéral de la cybersécurité (OFCS / BACS) :

• Missions du NCSC : Point de contact unique pour les entreprises, les administrations publiques cantonales et communales, et la population suisse. Il émet des alertes précoces, publie des directives techniques de durcissement et anime le CERT national (Computer Emergency Response Team).
• Sensibilisation des PME suisses : Le NCSC publie des listes de contrôle spécifiquement calibrées pour les PME romandes et alémaniques, axées sur la sauvegarde hors ligne, la gestion des correctifs et le filtrage des courriels.
• Obligation de signaler les cyberattaques : Adoption de la base légale fédérale rendant obligatoire pour les exploitants d’infrastructures critiques (énergie, santé, télécommunications, banques, transports) le signalement de tout cyberincident majeur au NCSC dans un délai strict de 24 heures.

2. La nouvelle Loi fédérale sur la protection des données (nLPD)

Entrée en vigueur le 1er septembre 2023, la nLPD révise en profondeur le cadre juridique suisse de la protection des données pour l’aligner sur les exigences européennes (RGPD) tout en conservant les spécificités du fédéralisme helvétique :

• Privacy by Design & by Default : Toute infrastructure ou application déployée en Suisse doit intégrer la protection et la minimisation des données dès sa conception initiale.
• Obligation de notification des violations de données (Data Breach) : Le responsable du traitement est tenu de notifier dans les plus brefs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) toute violation de la sécurité entraînant un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
• Sanctions pénales directes : Contrairement au RGPD qui sanctionne principalement les personnes morales par des pourcentages de chiffre d’affaires, la nLPD suisse prévoit des amendes pénales pouvant atteindre CHF 250’000.- visant personnellement les personnes physiques responsables (dirigeants, RSSI, chefs de projet) en cas de violation intentionnelle de leurs devoirs de sécurité et de confidentialité.

3. Analyse des responsabilités en entreprise suisse

Les tribunaux et les assureurs suisses considèrent désormais que la cybersécurité relève de la responsabilité fiduciaire inaliénable du Conseil d’administration (articles 716a du Code des obligations suisse). Une organisation ne peut plus plaider la simple ignorance technique face à un vol de données clients ou un arrêt prolongé de ses activités consécutif à une absence flagrante de mesures d’hygiène numérique élémentaires.

Étude de cas suisse : Une société fiduciaire de Genève héberge 250 dossiers fiscaux et comptables de clients fortunés sur un serveur local non mis à jour depuis deux ans. Une intrusion par rançongiciel survient avec vol préalable de documents. Listez les démarches réglementaires obligatoires selon la nLPD (notification PFPDT, information des clients concernés, signalement NCSC).