Signalement des cyberattaques en Suisse et CRA : des obligations distinctes pour les exploitants et les fabricants de produits

Ce que c'est

État au 25 octobre 2026. La loi suisse sur la sécurité de l’information (ISA) et l’ordonnance sur la cybersécurité instaurent une obligation de signalement des cyberattaques pour les exploitants d’infrastructures critiques assujettis, en vigueur depuis le 1er avril 2025. Consulter à nouveau le champ d’application suisse et les exceptions en vigueur, les instructions de signalement de l’autorité et les orientations CRA avant de tenir à jour un plan de notification transfrontalier. Page de l’autorité suisse sur les bases légales.

Le destinataire suisse est l’Office fédéral de la cybersécurité, BACS ; ses orientations en anglais emploient National Cyber Security Centre (NCSC). Le CRA vise quant à lui les produits relevant de son champ d’application mis à disposition sur le marché de l’UE. Ses obligations de notification pour les fabricants s’appliquent depuis le 11 septembre 2026. Une implantation en Suisse ne soustrait pas un fabricant à ces règles relatives au marché des produits : l’article 14(7) prévoit expressément une méthode de sélection du destinataire pour les fabricants sans établissement principal dans l’UE. Règlement, articles 2 et 14.

Pourquoi c'est important

La comparaison suivante distingue les rôles décrits par les deux régimes :

Question	Signalement au titre de l’ISA suisse	Notification des fabricants au titre du CRA
Qui est concerné ?	Exploitants relevant du champ légal, compte tenu des exceptions de l’ordonnance	Fabricants de produits relevant du champ d’application fournis sur le marché de l’UE
Qu’est-ce qui déclenche l’évaluation ?	Une cyberattaque répondant aux critères légaux contre l’infrastructure assujettie	L’exploitation active d’une vulnérabilité de produit ou un incident grave de sécurité du produit
Premier délai	Dans les 24 heures suivant la découverte	Rapidement, au plus tard 24 heures après la prise de connaissance
Destinataire et canal	NCSC par ses canaux de signalement publiés	CSIRT coordinateur et ENISA via la SRP

Ces distinctions découlent de la FAQ suisse et des orientations de la Commission sur les notifications. Les rôles d’exploitant et de fabricant d’une entreprise nécessitent donc des évaluations séparées, même lorsqu’un événement fournit des preuves pertinentes pour les deux.

Comment l'appliquer

• Vérifier le champ d’application suisse avant de s’appuyer sur une désignation sectorielle. L’ISA identifie les autorités et organisations assujetties ; l’ordonnance prévoit des exceptions. La FAQ suisse indique que le NCSC peut rendre une décision formelle sur l’assujettissement d’une organisation à l’obligation. Ne pas transformer un exemple sectoriel général en classification définitive.
• Appliquer les critères suisses relatifs aux attaques. L’autorité mentionne les menaces pour le fonctionnement des infrastructures critiques, la manipulation ou la fuite d’informations, les attaques restées longtemps indétectées, ainsi que le chantage, les menaces ou la contrainte. La seule découverte d’une faiblesse logicielle n’équivaut pas à une cyberattaque répondant aux critères légaux.
• Consigner et compléter le signalement suisse. L’autorité exige un signalement initial dans les 24 heures, même si les informations sont incomplètes. Sa procédure accorde 14 jours après l’envoi initial pour compléter le signalement ; la FAQ précise qu’il s’agit de jours calendaires. Le Cyber Security Hub fournit le formulaire de signalement, l’autorité décrivant aussi une autre voie utilisant un modèle de courriel. Procédure suisse de signalement.
• Évaluer indépendamment l’obligation européenne relative aux produits. Un fabricant suisse fournissant un produit relevant du champ d’application doit appliquer les faits déclencheurs de l’article 14. En l’absence d’établissement principal dans l’UE, l’ordre légal prend en compte le mandataire, l’importateur, le distributeur, puis les utilisateurs, en retenant les plus grands nombres pertinents de produits ou d’utilisateurs pour chaque critère applicable. Conserver le raisonnement justifiant le choix du CSIRT coordinateur.
• Conserver des suivis de délais et des accusés de réception séparés. Pour une organisation pratique du dossier, relier les deux évaluations de notification aux mêmes preuves, mais conserver chaque destinataire, envoi, échéance et suivi. Les notifications CRA comportent aussi une étape à 72 heures et des points de départ différents pour les rapports finaux relatifs aux vulnérabilités et aux incidents ; le délai suisse pour compléter le signalement ne peut pas s’y substituer.

Pièges

Ne pas supposer qu’un accusé de réception d’un signalement suisse satisfait à l’obligation de notification CRA. Les règles citées prescrivent des faits déclencheurs et des destinataires différents. De même, ne pas considérer toute entreprise suisse comme une infrastructure critique, ni tout incident informatique interne comme un incident grave de produit. Les pages d’orientation suisses citées ici n’affichent aucune date de révision ; vérifier leur formulation actuelle et toute décision propre à l’organisation avant de les réutiliser.