Le BACS durcit le ton sur les délais de déclaration

L’Office fédéral de la cybersécurité (BACS) a d’abord mis en œuvre l’obligation de signalement des cyberattaques contre les infrastructures critiques dans un esprit de coopération et a toléré les difficultés initiales. Avec la fin de cette phase transitoire à mi-2026, la publication spécialisée sidd.swiss annonce, dans son analyse de l’obligation de signalement du NCSC/BACS, une application plus stricte, en particulier pour les manquements répétés et pour les signalements qui n’ont été connus que tardivement. Pour les entreprises, une question passe au premier plan : quelle chronologie doivent-elles documenter sans lacune en cas d’urgence.

Qu’est-ce qui change au BACS à partir de mi-2026 ?

Après la fin de la phase transitoire accordée par l’autorité, le BACS passe de la sensibilisation à une application stricte, avec une attention particulière portée aux manquements répétés et aux signalements tardifs.

La base légale est la loi fédérale sur la sécurité de l’information, dont la contribution au renforcement de la résilience numérique de la Confédération ancre l’obligation de signalement pour les exploitants d’infrastructures critiques. Dans les mois qui ont suivi son introduction, le BACS a dressé un bilan positif : les exploitants ont signalé les cyberattaques dans les délais, dans les 24 heures, comme l’autorité l’a relevé dans sa communication sur les six mois de l’obligation de signalement. Au total, 164 signalements ont été reçus durant cette période, comme le BACS l’a indiqué dans la même communication.

Quiconque enfreint l’obligation de signalement doit, selon le BACS, s’attendre à une amende pouvant atteindre 100 000 CHF, l’autorité prenant d’abord contact avec l’organisation concernée avant de prononcer une sanction. Avec la fin de la phase transitoire, sidd.swiss anticipe dans son analyse une ligne plus dure, avant tout pour les manquements répétés et pour les signalements qui n’ont été connus que par la couverture médiatique.

Quand le délai de signalement commence-t-il à courir ?

Ce qui compte est le moment où l’attaque a été connue, et non l’achèvement de l’investigation forensique.

sidd.swiss indique, dans son analyse pratique de l’obligation de signalement dans les 24 heures, que le délai débute à la découverte, et non au moment initial de l’attaque. Pour les entreprises, la question décisive se déplace ainsi de la technologie vers l’organisation : à partir de quel moment un incident est-il considéré comme suffisamment identifié. Une fois ce seuil atteint, le délai de 24 heures pour le signalement initial au BACS commence à courir, comme l’autorité l’expose dans ses informations sur l’obligation de signalement.

Quiconque attend une investigation forensique complète aura, en règle générale, déjà dépassé le délai. Le BACS attend explicitement une évaluation initiale structurée, et non une analyse forensique aboutie. Les éléments manquants peuvent être complétés dans un délai de 14 jours au moyen d’un signalement complémentaire, comme le BACS l’indique dans sa fiche d’information sur l’obligation de signalement.

Quels horodatages une entreprise doit-elle documenter ?

Au moins quatre moments doivent être vérifiables : la détection, l’escalade interne, le signalement initial et le signalement complémentaire.

Sans horodatages documentés, il est difficile de prouver après coup qu’un signalement a été effectué dans les délais. Le BACS exige, dans le signalement lui-même, des précisions sur la date et l’heure de la détection ainsi que de l’attaque. Ces précisions n’ont de sens que si elles proviennent d’une journalisation interne ininterrompue plutôt que d’une reconstitution a posteriori.

Le degré d’exigence que peut atteindre une piste de preuves complète sur plusieurs années est illustré par l’examen d’une enquête de supervision au long cours dans l’affaire de l’amende UBS.

• Moment du premier indice d’un incident
• Moment de la découverte par l’unité responsable
• Moment de l’escalade interne vers la direction et vers les personnes habilitées à signaler
• Moment du signalement initial au BACS, au plus tard 24 heures après la découverte
• Moment du signalement complémentaire assorti de précisions complètes, au plus tard 14 jours plus tard

En quoi le délai du BACS diffère-t-il des autres obligations de signalement ?

Les entreprises soumises à plusieurs réglementations doivent surveiller plusieurs horloges à la fois ; le délai de 24 heures du BACS n’en est qu’une.

Les établissements financiers régulés connaissent déjà une logique similaire au travers de la pratique de surveillance de la FINMA : pour les incidents graves, l’autorité de supervision attend un signalement initial dans les 24 heures et un signalement complémentaire dans les 72 heures. L’obligation de signalement du BACS s’applique en parallèle de ce devoir prudentiel, mais ne s’y substitue pas.

Pour les fabricants de produits comportant des éléments numériques, une obligation de signalement supplémentaire s’ajoute le 11 septembre 2026 : à partir de cette date, le règlement européen sur la cyber-résilience impose de signaler les vulnérabilités activement exploitées et les incidents de sécurité graves. Un article distinct examine les lacunes concrètes qui subsistent dans ces obligations de signalement du CRA.

Toute entreprise qui n’a pas clairement déterminé si elle est un exploitant d’infrastructure critique ou une entité assujettie à NIS2 prend du retard sur chacun de ces délais. L’ampleur de cette incertitude dans la pratique est illustrée par le déficit d’enregistrement que de nombreuses entreprises ne comblent qu’après une auto-évaluation ultérieure.

Quelle est la première étape concrète vers une conformité démontrable ?

La première étape vérifiable est un signalement test documenté qui parcourt l’intégralité de la chronologie, de la détection au signalement complémentaire.

Les entreprises devraient réaliser un signalement test dans leur playbook interne au cours du trimestre en cours et consigner les quatre horodatages : détection, escalade, signalement initial et signalement complémentaire. La personne responsable du signalement, RSSI ou responsable de la sécurité de l’information, devrait être désignée par écrit et dotée de l’autorité nécessaire. Cet exercice fournit la base permettant de présenter au BACS, en cas d’urgence, une chronologie complète et vérifiable.