# Obligation d'annoncer les cyberattaques (LSI) et infrastructures critiques Droit du numérique & propriété intellectuelle · Master 1 > Annonce des cyberattaques à l'OFCS par les infrastructures critiques selon la LSI. ## Introduction Pendant longtemps, la Suisse a misé sur des annonces volontaires de cyberincidents auprès du centre national compétent. Face à la multiplication des attaques par rançongiciel et des atteintes aux services essentiels, le Parlement a modifié la loi sur la sécurité de l'information (LSI) pour introduire une obligation d'annoncer les cyberattaques contre les infrastructures critiques. Cette obligation est entrée en vigueur en 2025, avec une phase transitoire pour l'application des sanctions. L'Office fédéral de la cybersécurité (OFCS), rattaché au DDPS, est l'organe qui reçoit les annonces. Ces informations lui permettent de dresser une image de la menace, d'alerter d'autres exploitants et de fournir un soutien technique. L'annonce n'est cependant pas une dénonciation pénale : elle sert la sécurité collective et est traitée avec confidentialité. Le régime de la LSI se distingue de l'annonce des violations de la sécurité des données de la nLPD : le premier vise la protection des infrastructures critiques et de leur fonctionnement, le second la protection de la personnalité des personnes dont les données sont touchées. Une même attaque peut déclencher les deux obligations. Ce deck vous apprend à les distinguer et à les coordonner. ## Objectifs d'apprentissage - Identifier les exploitants d'infrastructures critiques soumis à l'obligation d'annoncer - Déterminer quelles cyberattaques doivent être annoncées - Décrire la procédure d'annonce : destinataire, délai, contenu et suivi - Distinguer l'annonce LSI de l'annonce de violation de la sécurité des données selon la nLPD - Évaluer les conséquences d'un défaut d'annonce, y compris les sanctions ## Concepts clés - **Assujettis : infrastructures critiques** : L'obligation vise les exploitants d'infrastructures critiques, c'est-à-dire de secteurs dont la défaillance aurait de graves conséquences pour la population et l'économie : énergie, approvisionnement en eau, santé, transports, finance, télécommunications, administrations, etc. La loi énumère les catégories concernées et prévoit des exceptions pour les très petites entités. - **Cyberattaque à annoncer** : Une cyberattaque est annoncée lorsqu'elle met en danger le fonctionnement de l'infrastructure, a conduit à une manipulation ou à une fuite de données, ou n'a pas été détectée pendant une période prolongée, ou encore lorsqu'elle s'accompagne de chantage, de menace ou de contrainte. Les attaques anodines, sans effet, n'ont pas à être annoncées. - **Destinataire, délai et contenu** : L'annonce est adressée à l'Office fédéral de la cybersécurité. Le délai est très court : dans les 24 heures après la découverte, avec une première annonce, complétée ensuite par des informations plus détaillées. Un formulaire en ligne facilite la démarche. - **Confidentialité et soutien** : L'OFCS traite les annonces avec confidentialité, ne les transmet à d'autres organes qu'avec l'accord de l'exploitant, sous réserve de cas prévus par la loi, et peut offrir un soutien technique. La transmission d'informations à des autorités de poursuite n'est pas automatique. - **Sanctions et articulation avec la nLPD** : Le défaut d'annonce peut être sanctionné par une amende après une procédure de rappel de l'OFCS. Parallèlement, l'art. 24 nLPD impose d'annoncer au PFPDT, dans les meilleurs délais, les violations de la sécurité des données entraînant probablement un risque élevé : les deux annonces sont indépendantes et peuvent coexister. ## Conclusion L'obligation d'annoncer les cyberattaques marque un tournant : l'annonce volontaire cède la place à une obligation légale pour les exploitants d'infrastructures critiques, au service d'une vision partagée de la menace. Les exploitants doivent donc détecter, qualifier et annoncer rapidement les incidents, ce qui suppose des processus internes prêts à l'avance. Le juriste veille à distinguer les obligations qui s'additionnent : annonce à l'OFCS, annonce au PFPDT, information des personnes concernées, éventuelles obligations sectorielles et plainte pénale. Un plan de réponse aux incidents documenté est la meilleure garantie de conformité dans les premières heures, décisives. ## Cartes ### Quelle loi fédérale a introduit l'obligation d'annoncer les cyberattaques contre les infrastructures critiques ? La loi sur la sécurité de l'information (LSI), modifiée par le Parlement ; l'obligation est entrée en vigueur en 2025. ### À quel office l'annonce est-elle adressée ? À l'Office fédéral de la cybersécurité (OFCS), rattaché au DDPS. ### Qui est soumis à l'obligation d'annoncer ? Les exploitants d'infrastructures critiques (énergie, santé, transports, finance, télécommunications, administrations, etc.). ### Pourquoi les infrastructures critiques sont-elles visées en priorité ? Parce que leur défaillance aurait de graves conséquences pour la population, l'économie et la sécurité du pays. ### Dans quel délai faut-il en principe annoncer une cyberattaque ? Dans les 24 heures après sa découverte, par une première annonce, complétée ensuite. ### Donnez deux critères rendant une cyberattaque annonçable. Danger pour le fonctionnement de l'infrastructure ; manipulation ou fuite de données ; attaque non détectée longtemps ; chantage, menace ou contrainte. ### Une tentative de phishing bloquée sans conséquence doit-elle être annoncée ? En principe non : l'obligation vise les attaques ayant des effets significatifs ou présentant les caractéristiques définies par la loi. ### L'OFCS transmet-il automatiquement l'annonce aux autorités pénales ? Non : il traite l'annonce de manière confidentielle et ne la transmet à d'autres que dans les cas prévus par la loi ou avec l'accord de l'exploitant. ### Que risque un exploitant qui omet d'annoncer ? Après rappel de l'OFCS, une décision et une amende peuvent être prononcées. ### Quelle autre annonce la nLPD prévoit-elle en cas d'incident touchant des données personnelles ? L'annonce au PFPDT des violations de la sécurité des données entraînant probablement un risque élevé (art. 24 nLPD), dans les meilleurs délais. ### Les annonces LSI et nLPD se remplacent-elles ? Non : elles poursuivent des buts différents, ont des destinataires distincts et peuvent toutes deux être requises pour un même incident. ### Quel avantage collectif l'annonce procure-t-elle ? Elle permet d'établir une vue d'ensemble de la menace, d'avertir d'autres exploitants et d'offrir un soutien technique. ## Glossaire - **Infrastructure critique** : Processus, systèmes et installations essentiels au fonctionnement de l'économie et au bien-être de la population. - **Cyberattaque** : Atteinte intentionnelle à des systèmes informatiques ou à des données par des moyens électroniques. - **OFCS** : Office fédéral de la cybersécurité, centre de compétence de la Confédération en matière de cybersécurité. - **LSI** : Loi sur la sécurité de l'information au sein de la Confédération, complétée par un régime d'annonce pour les infrastructures critiques. - **Rançongiciel** : Logiciel malveillant qui chiffre ou bloque les données et exige une rançon pour les restituer. - **Violation de la sécurité des données** : Faille entraînant la perte, la modification, la divulgation ou l'accès non autorisé à des données personnelles (art. 5 nLPD). - **PFPDT** : Préposé fédéral à la protection des données et à la transparence, destinataire des annonces de violations de données personnelles. - **Plan de réponse aux incidents** : Procédure préparée à l'avance qui décrit rôles, délais et décisions à prendre en cas d'incident de sécurité. https://ruvy.ch/decks/-P5C_IaJc-5DrnfuWJ4q