Signalement OFCS en 24 heures :
ce que chaque PME et commune doit savoir.

Le 1er avril 2025, une obligation légale est entrée en vigueur en Suisse : les exploitants d'infrastructures critiques doivent désormais signaler toute cyberattaque à l'Office fédéral de la cybersécurité (OFCS) dans un délai strict de 24 heures après sa découverte. Inscrite dans la Loi sur la sécurité de l'information (LSI) et précisée par l'Ordonnance sur la cybersécurité, cette mesure s'accompagne, depuis le 1er octobre 2025, d'amendes pouvant atteindre 100 000 francs en cas de non-respect.

Les chiffres qui expliquent la mesure

Le contexte est sans appel. Dans son rapport annuel publié en février 2026, l'OFCS a recensé 64 733 signalements de cyberincidents pour 2025 — environ 2 000 de plus qu'en 2024, et près de 15 000 de plus qu'en 2023. Depuis l'introduction de l'obligation en avril 2025, plus de 260 attaques contre des infrastructures critiques ont été signalées. La Suisse enregistre, selon certaines télémétries, un cyberincident toutes les huit minutes et demie.

Suis-je concerné ? La règle et son exemption

L'obligation couvre neuf secteurs : autorités, énergie, élimination des déchets, finance, santé, information et communication, alimentation, sécurité publique, transports. Mais l'exemption est moins connue et cruciale pour les PME : sont dispensées les entreprises de moins de 50 personnes réalisant moins de 10 millions de francs de chiffre d'affaires ou de bilan dans le domaine lié à l'infrastructure critique — les deux conditions étant cumulatives. Concrètement, un sous-traitant de 60 personnes dans l'énergie est assujetti ; une petite commune ou un prestataire de santé peuvent l'être selon leur taille et leur rôle.

L'autre délai à ne pas confondre : la nLPD et ses 72 heures

Attention à ne pas confondre deux obligations distinctes. En parallèle du délai LSI de 24 heures pour les infrastructures critiques, la nLPD impose, à toute organisation traitant des données personnelles, de notifier au PFPDT une violation de données dans les meilleurs délais lorsque celle-ci entraîne un risque élevé pour les personnes concernées. Le non-respect de cette obligation constitue une infraction distincte, passible d'une amende pouvant atteindre 250 000 francs. Une PME non soumise à la LSI reste donc pleinement concernée par la nLPD.

Ce qu'une organisation prévoyante met en place maintenant

Que vous soyez légalement assujetti ou simplement prudent, les mêmes fondations s'appliquent :

• Désigner un responsable — en interne ou via votre MSSP — qui connaît le portail OFCS et les formulaires avant qu'un incident survienne. Les incidents les plus coûteux sont ceux où personne ne savait qui alerter ni comment.
• Déployer une détection réelle : un EDR sur chaque poste et une surveillance SOC réduisent le délai entre compromission et détection — ce qui préserve la fenêtre des 24 heures et limite les dégâts.
• Documenter une procédure d'incident : qui décide, qui signale, dans quel délai, à l'OFCS et au PFPDT selon le cas.
• Réaliser un audit annuel pour vérifier que vos procédures restent alignées sur les mises à jour des ordonnances — et sur la réalité de votre environnement.

En résumé

L'obligation de 24 heures ne concerne peut-être pas encore votre PME. Mais elle a défini une nouvelle norme suisse : une organisation crédible doit être capable de détecter une cyberattaque et d'agir dans la journée. Entre le délai LSI de 24 heures et le délai nLPD, la question n'est plus « faut-il être prêt ? » mais « le sommes-nous, et pouvons-nous le prouver ? » — exactement le genre de position que notre SOC et notre division conseil aident les organisations romandes à documenter et à tenir.