TLDR — L’obligation d’annoncer les cyberattaques est en vigueur depuis le 1er avril 2025 (art. 73a à 74h LSI, RS 128 ; ordonnance sur la cybersécurité, OCyS, RS 128.51, du 7 mars 2025). Elle ne vise pas « les fournisseurs d’infrastructures critiques » mais les catégories d’exploitants énumérées à l’art. 74b al. 1 LSI, let. a à u. Deux attrapent directement des entreprises numériques vaudoises : la let. t (nuage, moteurs de recherche, services numériques de sécurité ou de confiance, centres de calcul, siège en Suisse) et la let. u (fabricants de matériel ou de logiciels utilisés par des infrastructures critiques, sous conditions). Le seuil de taille de l’art. 12 al. 2 OCyS — moins de 50 personnes et 10 millions de francs — ne vaut que pour les let. g, h, l et p : il ne dispense aucun hébergeur, centre de calcul ou éditeur de logiciel. Délai : 24 heures dès la détection (art. 74e al. 1 LSI), puis 14 jours pour compléter (art. 16 al. 1 OCyS). Amende de 100 000 francs au plus (art. 74h LSI), mais uniquement pour insoumission à une décision entrée en force de l’OFCS — pas pour le retard en soi ; sanctions applicables depuis le 1er octobre 2025.
L’erreur qui circule, et son coût dans les deux sens
Depuis l’entrée en vigueur du dispositif, une formule revient dans la presse spécialisée et les infolettres de conseil : seraient visés « les fournisseurs de prestataires d’infrastructures critiques ». Il suffirait d’avoir une banque ou un hôpital parmi ses clients. C’est faux. Le texte ne raisonne pas par la clientèle mais par l’activité exercée : l’art. 74b al. 1 LSI énumère des catégories d’organisations définies par ce qu’elles exploitent, produisent ou fournissent. Votre carnet d’adresses n’y figure nulle part.
Et l’erreur coûte cher dans les deux sens. Des agences web s’inquiètent parce qu’elles servent un établissement de santé, alors qu’elles sont hors champ. À l’inverse — plus grave — des hébergeurs, centres de calcul et éditeurs de logiciels romands sont visés directement par la let. t ou la let. u, quels que soient leurs clients, et ne le savent pas. La bonne question n’est pas « qui sont mes clients ? », mais « qu’est-ce que j’exploite, et cela figure-t-il dans la liste ? ».
La base légale et les trois dates
Deux textes. La loi fédérale du 18 décembre 2020 sur la sécurité de l’information (LSI), RS 128, dont les art. 73a à 74h ont été introduits par la LF du 29 septembre 2023 « Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques » (RO 2024 257 ; RO 2025 173 ; FF 2023 84). Et l’ordonnance du 7 mars 2025 sur la cybersécurité (OCyS), RS 128.51, qui règle les exceptions, les attaques à signaler et les délais.
Trois dates : obligation en vigueur depuis le 1er avril 2025 ; six mois d’adaptation ; sanctions des art. 74g et 74h applicables depuis le 1er octobre 2025.
Le champ d’application : la liste de l’art. 74b LSI
L’al. 1 énumère vingt-et-une catégories, dans cet ordre.
| Let. | Catégorie visée |
|---|---|
| a | Hautes écoles (art. 2 al. 2 LEHE) |
| b | Autorités fédérales, cantonales, communales ; organisations inter-collectivités |
| c | Sécurité et sauvetage, eau, eaux usées, déchets (droit public) |
| d | Énergie : approvisionnement, commerce, mesure, gestion |
| e | Soumis à la LB, la LSA ou la LIMF |
| f | Santé : liste hospitalière cantonale |
| g | Laboratoires médicaux autorisés (LEp) |
| h | Médicaments : fabrication, mise sur le marché, importation |
| i | Assurances sociales |
| j | SSR |
| k | Agences de presse nationales |
| l | Services postaux enregistrés (PostCom) |
| m | Rail, câbles, bus, navigation concessionnaires |
| n | Aviation civile (OFAC) ; aéroports nationaux |
| o | Rhin ; port de Bâle |
| p | Biens d’usage quotidien indispensables |
| q | Télécommunications enregistrées (art. 4 LTC) |
| r | Registres et registraires de domaines (art. 28b LTC) |
| s | Infrastructures des droits politiques |
| t | Nuage, moteurs de recherche, services numériques de sécurité ou de confiance, centres de calcul — siège suisse |
| u | Fabricants de matériel ou de logiciels utilisés par des infrastructures critiques (sous conditions) |
Les deux dernières lettres méritent le texte exact :
« t. aux fournisseurs et aux exploitants d’informatique en nuage, de moteurs de recherche, de services numériques de sécurité ou de confiance ainsi que de centres de calcul, pour autant qu’ils aient un siège en Suisse ;
u. aux fabricants de matériel informatique ou de logiciels dont les produits sont utilisés par des infrastructures critiques, si le matériel ou les logiciels concernés disposent d’un accès de télémaintenance ou sont utilisés à l’une des fins suivantes : 1. commande et surveillance de systèmes et de processus techniques, 2. garantie de la sécurité publique. »
La let. t ne mentionne ni taille, ni client. Un hébergeur romand de trente personnes, un éditeur de SaaS ayant son siège en Suisse, une société de sécurité gérée : la lettre les vise par leur activité. « Services numériques de sécurité ou de confiance » est une formule large, systématiquement tronquée par les résumés qui ne retiennent que le nuage et les centres de calcul.
La let. u est conditionnelle. Vendre un logiciel à une infrastructure critique ne suffit pas : il faut aussi un accès de télémaintenance, ou un usage de commande et surveillance de systèmes techniques, ou de sécurité publique. Un logiciel de comptabilité vendu à un hôpital n’y entre pas ; une supervision industrielle avec accès distant, oui.
Deux alinéas ferment le raisonnement. L’al. 2 : les organisations exerçant aussi des activités hors champ n’ont rien à signaler pour les attaques « qui ont un effet uniquement sur ces activités ». L’al. 3 : l’obligation vaut dès qu’une attaque a un effet en Suisse, « même si les moyens informatiques concernés se trouvent à l’étranger ».
Les seuils d’exemption : le point décisif pour une PME
Oui, l’ordonnance prévoit une exemption de taille. Non, elle ne vous concerne probablement pas. L’art. 12 al. 2 OCyS est explicite :
« Les autorités et organisations visées à l’art. 74b, al. 1, let. g, h, l et p, LSI sont exemptées de l’obligation de signaler, pour autant qu’elles emploient moins de 50 personnes dans le domaine concerné et que leur chiffre d’affaires annuel ou la somme inscrite au bilan annuel ne dépasse pas 10 millions de francs dans le domaine concerné. »
Quatre lettres, et quatre seulement. Ni la let. t, ni la let. u n’y figurent : il n’existe aucun seuil d’effectif ni de chiffre d’affaires pour un hébergeur, un centre de calcul ou un éditeur de logiciel. C’est l’inverse exact de l’intuition d’un dirigeant de PME. La seule porte de sortie pour la let. t est l’art. 12 al. 1 let. e OCyS : sont exemptés ceux « qui ne fournissent pas de prestations, en tout ou en partie, à des tiers et contre rémunération ». Le centre de calcul exploité pour vos seuls besoins internes est hors champ ; dès que vous en vendez une part, vous y entrez.
| Votre situation | Exemption ? | Base |
|---|---|---|
| Nuage, hébergement, centre de calcul vendus à des tiers, siège suisse | Non — aucun seuil de taille | Art. 74b al. 1 let. t LSI |
| Même activité, usage interne, sans rémunération | Oui | Art. 12 al. 1 let. e OCyS |
| Logiciel à télémaintenance utilisé par une infrastructure critique | Non — aucune exemption prévue | Art. 74b al. 1 let. u LSI |
| Laboratoire, pharma, poste, biens de première nécessité | Oui si < 50 personnes et ≤ 10 millions de francs | Art. 12 al. 2 OCyS |
| Agence web ou conseil IT servant une banque, un hôpital | Hors champ | Art. 74b LSI a contrario |
Attention à la dernière ligne : hors champ légal ne veut pas dire sans obligation. Votre contrat avec la banque ou l’hôpital impose très probablement une notification en quelques heures, et c’est celle-là qui vous sera opposée.
Quelles cyberattaques doivent être annoncées
L’art. 74d LSI ferme la liste :
« Une cyberattaque doit être signalée lorsqu’elle : a. met en péril le fonctionnement de l’infrastructure critique concernée ; b. a entraîné une manipulation ou une fuite d’informations ; c. n’a pas été détectée pendant une période prolongée, en particulier si des indices laissent penser qu’elle a été exécutée en vue de préparer d’autres cyberattaques, ou d. s’accompagne d’actes de chantage, de menaces ou de contrainte. »
L’art. 14 OCyS chiffre chacun de ces cas. Le fonctionnement est mis en péril lorsque « des collaborateurs ou des tiers sont touchés par des interruptions de système », ou que l’organisation « ne peut maintenir ses activités qu’à l’aide de plans d’urgence ». La fuite est avérée dès que des personnes non autorisées consultent, modifient ou publient des informations importantes pour les affaires — ou dès qu’une violation est annoncée au sens de l’art. 24 LPD. La période prolongée : plus de 90 jours.
Ne sont donc pas visés : l’hameçonnage auquel personne n’a cédé, le balayage de ports, la tentative bloquée par le pare-feu, l’incident sans interruption ni accès non autorisé. L’obligation vise l’attaque aboutie, pas le bruit de fond.
Le délai : 24 heures, puis 14 jours
L’art. 74e al. 1 LSI ne laisse pas de marge : « Le signalement doit être fait dans les 24 heures suivant la détection de la cyberattaque. » Le point de départ est la détection, pas l’attaque ni la fin de l’analyse forensique.
Cette première annonce n’a pas à être complète. L’art. 16 al. 1 OCyS : « Si toutes les informations nécessaires ne sont pas connues dans les 24 heures suivant la détection de la cyberattaque, l’OFCS accorde […] un délai de 14 jours pour compléter le signalement. » Quatorze jours calendaires, week-end compris ; ensuite, l’OFCS exige le complément immédiat ou la confirmation que l’information manque.
L’art. 15 OCyS fixe le contenu du complément : date et heure de la constatation et de l’attaque, données sur l’attaquant, existence d’un chantage et d’une dénonciation pénale, gravité des effets. Et l’art. 74e al. 4 LSI protège celui qui annonce : il n’a pas à fournir d’informations qui l’exposeraient à des poursuites pénales.
À qui annoncer
À l’Office fédéral de la cybersécurité (OFCS). L’art. 74f LSI lui impose un système sécurisé de communication électronique. Le guichet est https://www.report.ncsc.admin.ch/fr/, accessible depuis ncsc.admin.ch › Obligation de signaler. Les organisations disposant d’un compte Cyber Security Hub annoncent par ce canal ; le même portail sert aux annonces volontaires. L’art. 17 al. 2 OCyS autorise à confier le signalement à un tiers ; la responsabilité, elle, ne s’externalise pas.
Les sanctions : lisez les deux articles, pas un seul
C’est le point que la vulgarisation manque le plus souvent. L’amende figure dans la LSI, pas dans l’OCyS, et elle ne punit pas le retard en tant que tel. L’art. 74g LSI organise une procédure en deux temps : si des indices laissent présumer une violation, l’OFCS en informe l’organisation et lui fixe un délai ; à défaut d’exécution, il « rend une décision dans laquelle il lui fixe un nouveau délai et l’informe qu’elle est menacée d’une amende conformément à l’art. 74h ». Ce n’est qu’ensuite que l’art. 74h s’applique :
« Est puni d’une amende de 100 000 francs au plus quiconque, intentionnellement, ne se conforme pas à une décision entrée en force que l’OFCS lui a notifiée sous la menace de l’amende prévue par le présent article ou à une décision des instances de recours. »
Conditions cumulatives : une décision entrée en force, notifiée sous la menace de l’amende ; une inexécution ; l’intention. Une annonce faite en 30 heures au lieu de 24 n’est pas, à elle seule, punissable ; ignorer une décision de l’OFCS l’est. L’art. 74h al. 2 renvoie à l’art. 6 de la loi sur le droit pénal administratif : dans une entreprise, ce sont en principe les personnes physiques qui répondent. L’al. 3 permet toutefois de condamner l’entreprise si l’amende prévisible ne dépasse pas 20 000 francs et que l’identification des personnes exigerait une instruction disproportionnée.
Ne confondez pas avec l’annonce LPD
Nous avons détaillé la semaine dernière la procédure d’annonce d’une violation de la sécurité des données. Les deux régimes coexistent et peuvent se déclencher pour un même incident, sans se remplacer.
| Annonce LSI | Annonce LPD | |
|---|---|---|
| Base légale | Art. 74a ss LSI (RS 128) ; OCyS (RS 128.51) | Art. 24 LPD (RS 235.1) ; OPDo |
| Qui | Les seules catégories de l’art. 74b al. 1 | Tout responsable du traitement, quelle que soit sa taille |
| Autorité | OFCS | PFPDT |
| Déclencheur | Cyberattaque au sens de l’art. 74d LSI | Violation entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux |
| Délai | 24 heures dès la détection ; complément à 14 jours | Dans les meilleurs délais |
| Sanction | Jusqu’à 100 000 francs, après décision entrée en force (art. 74h) | Régime pénal de la LPD, visant les personnes physiques |
Un rançongiciel avec exfiltration chez un hébergeur suisse déclenche les deux ; le même dans une agence web de dix personnes, seulement le second, et si le risque est élevé.
Hors champ : pourquoi annoncer quand même
L’art. 73b LSI prévoit que l’OFCS reçoit des signalements de cyberincidents et de cybermenaces, et que « les signalements peuvent être anonymes ». C’est la voie volontaire, ouverte à tous, par le même portail. Trois raisons : l’OFCS apporte conseil et soutien technique quand votre équipe est saturée ; votre annonce alimente les alertes dont vous êtes aussi destinataire ; elle est horodatée, donc utile face à votre assureur cyber et à vos clients.
Trois choses à faire ce mois-ci
- Qualifiez votre situation par écrit. Reprenez l’art. 74b al. 1 let. a à u et cochez, activité par activité. Si la let. t ou u est plausible, l’art. 74a al. 2 LSI permet de demander à l’OFCS une décision constatant l’assujettissement : demandez-la plutôt que de rester dans le doute.
- Écrivez le déclencheur et le compte à rebours. Qui qualifie un incident au sens de l’art. 74d LSI, à quel numéro on le joint la nuit, qui dépose l’annonce dans les 24 heures. Ouvrez le compte sur le portail de l’OFCS avant d’en avoir besoin — pas pendant l’incident.
- Relisez vos contrats clients. Hors champ mais fournisseur d’une banque ou d’un hôpital : le délai qui vous engage est contractuel. Alignez-le sur votre procédure interne, ou renégociez-le.
Sources primaires
- LSI, RS 128, art. 73a à 74h — état le 1er octobre 2025 (Fedlex, ELI cc/2022/232).
- LF du 29 septembre 2023 : RO 2024 257 ; RO 2025 173 ; FF 2023 84.
- OCyS, RS 128.51, art. 12 à 17 — état le 1er avril 2025 (Fedlex, ELI cc/2025/169).
- OFCS, ncsc.admin.ch : « Obligation de signaler », bases légales, FAQ ; portail report.ncsc.admin.ch.
- LPD, RS 235.1, art. 24.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. État du droit : LSI au 1er octobre 2025, OCyS au 1er avril 2025 ; aucune version consolidée postérieure n’a été trouvée sur Fedlex, ce qui ne garantit pas qu’il n’en existe pas. N’ont pas pu être lus mot pour mot dans le texte officiel, et sont donc reformulés sans guillemets : les art. 74a, 74f et 74 al. 3 LSI, l’éventuel al. 4 de l’art. 74h, et l’art. 9 OCyS. Le message du Conseil fédéral (FF 2023 84) n’a pas été consulté : seule sa référence est citée. La qualification d’un produit au sens de la let. u dépend de faits techniques propres à chaque cas et n’est pas tranchée ici. Pour une décision constatant votre assujettissement, adressez-vous à l’OFCS (art. 74a al. 2 LSI) ; pour votre situation contractuelle et pénale, à un mandataire qualifié.
