Les autres cookies sont configurables.
Explication du devoir de signalement en ligne 24h/24 en Suisse
La loi sur la sécurité de l'information oblige les exploitants d'infrastructures critiques, notamment les entreprises de transport, à signaler les cyberattaques à l'autorité fédérale dans les 24 heures suivant leur découverte, sous peine de sanctions financières. Voici ce que prévoit la loi et comment s'y préparer.
Qu’est-ce que la loi sur la sécurité de l’information ?
La loi fédérale suisse sur la sécurité de l'information (Loi fédérale sur la sécurité de l'information, LSI, SR 128) est la loi-cadre suisse relative à la sécurité de l'information dans la sphère fédérale et à la protection des infrastructures critiques. Entrée en vigueur le 1er janvier 2024, elle a instauré, par ses dispositions relatives à la cybersécurité, une obligation légale pour les exploitants d'infrastructures critiques de signaler les cyberattaques à l'Office fédéral de la cybersécurité (AFC) dans les vingt-quatre heures suivant leur découverte, obligation applicable depuis le 1er avril 2025.
Le mécanisme est précis. Le délai commence à courir dès la découverte de l'attaque, et non dès qu'elle est comprise. Le signalement initial est effectué via le Centre de cybersécurité, et l'opérateur dispose ensuite de quatorze jours pour le compléter à mesure que la situation se précise. À compter du 1er octobre 2025, le non-respect de cette obligation est passible d'amendes pouvant atteindre 100 000 CHF. Le champ d'application concerne tous les opérateurs dont dépend le pays, notamment les entreprises de transport, ce qui place les aéroports, les compagnies ferroviaires et les opérateurs logistiques directement concernés.
La dure réalité concernant le délai de 24 heures est qu'aucune organisation ne le respecte pour la première fois lors d'une véritable crise. Le respecter exige un système de détection efficace, une procédure d'escalade éprouvée, une définition claire des responsabilités et des pouvoirs de chacun, ainsi qu'une structure de gestion de crise capable de fournir une première image précise pendant que la réponse technique est encore en cours. L'obligation de signalement constitue, en fait, un test légal de votre capacité à gérer les incidents.
La capacité derrière l'échéance
Foire aux questions
Qui doit rendre compte en vertu du système suisse de gouvernance internationale (ISG) ?+
Les exploitants d'infrastructures critiques, tous secteurs confondus (énergie, transports, eau, santé, finance et administration publique, y compris les entreprises de transport), sont concernés. Si la défaillance de votre organisation aurait des conséquences pour la Suisse, il est conseillé de vérifier votre périmètre d'intervention.
Que faut-il déclarer exactement, et quand ?+
Toute cyberattaque visant une infrastructure critique doit être signalée à l'Office fédéral de la cybersécurité dans les vingt-quatre heures suivant sa découverte, via le Centre de cybersécurité, le rapport devant être complété dans un délai de quatorze jours à mesure que les détails se précisent.
Que se passe-t-il si nous manquons la date limite ?+
À compter du 1er octobre 2025, le non-respect de la réglementation sera passible d'amendes pouvant atteindre 100 000 CHF, ainsi que de conséquences en matière de surveillance et de réputation liées au manque de préparation face à l'autorité fédérale.
Quel est le lien entre l'ISG et NIS2 ?+
Il s'agit de régimes parallèles : le régime ISG encadre les opérateurs d'infrastructures critiques suisses sur le territoire national, tandis que le régime NIS2 s'applique aux entités essentielles et importantes au sein de l'UE. Les groupes suisses ayant des activités ou des clients dans l'UE sont souvent soumis aux deux régimes et devraient mettre en place un dispositif de gestion des incidents unique, compatible avec les deux systèmes.
Cette page est-elle disponible en allemand ?+
Oui : notre note d'information en allemand sur la loi relative à la information (Informationsicherheitsgesetz) couvre le même sujet pour les lecteurs suisses.
Services connexes
Résilience cybernétique
Au-delà de la prévention : la capacité de résister, de réagir et de se rétablir tout en maintenant les services essentiels en fonctionnement.
Exercices de continuité des activités
Exercices sur table, fonctionnels, cybernétiques et à grande échelle qui prouvent les plans et attestent de la conformité aux normes ISO 22301, NIS2 et DORA.
Gestion de crise
Doctrine, structures et communications qui contiennent le pic et raccourcissent la récupération, ancrées dans la norme ISO 22361.
Conformité NIS2
De la détermination du champ d’application aux mesures de l’article 21 et à la préparation au reporting 24 heures sur 24 en vertu de la directive (UE) 2022/2555.
Sécurité de l'information
Confidentialité, intégrité et disponibilité protégées par un système de gestion de la sécurité de l'information (SGSI) évolutif, conforme à la norme ISO 27001.
Gestion de la continuité des activités
Stratégie, plans et validation alignés sur la norme BIA et ISO 22301 : un programme de continuité conçu pour résister à une véritable perturbation.
Conformité DORA
Les cinq piliers du règlement (UE) 2022/2554 mis en œuvre pour les entités financières et leurs fournisseurs de services TIC critiques.
Sécurité de la chaîne d'approvisionnement
Les risques hérités des fournisseurs et des plateformes partagées : cartographiés, assurés, contractuels et exercés, conformément aux normes ISO 28000, NIS2 et DORA.
Cadre de résilience aéroportuaire de DAEDALUS
Le cadre de résilience aéroportuaire : cinq domaines comme un seul modèle opérationnel à travers l'aérodrome, alimenté par le moteur 7A, dans les éditions aviation commerciale, fret et affaires.
Résilience organisationnelle
La structure au-dessus des plans : risques, continuité, crise, cybersécurité et personnel sur une base de gouvernance unique, conformément à la norme ISO 22316.
Gestion des risques
De l'univers des risques au risque maîtrisé : identification, évaluation tenant compte du stress, traitement adapté et surveillance en temps réel.
7A Cadre de gestion des risques
Notre modèle opérationnel exclusif axé sur la décision : l’exposition et la confiance dans la décision sont mesurées séparément pour le conseil d’administration.
Gouvernance et résilience de l'IA
Une gouvernance enveloppant chaque niveau des systèmes intelligents, du comportement des modèles à la responsabilité du conseil d'administration et à la norme ISO 42001.
Découvrez si vous pourriez tenir 24 heures.
Demandez-nous de tester votre système de détection pour obtenir un rapport de trajet dans un scénario réaliste ; vous connaîtrez votre véritable délai de rapport avant même que BACS ne le sache.
Prendre rendez-vous pour une consultation