Nouvelle loi sur la cybersécurité en Suisse : ce qu’il faut savoir

Lors de sa séance du 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer, d’ici juin 2027, un projet de consultation pour une nouvelle loi autonome sur la cybersécurité. Le texte de la loi lui-même n’est donc pas encore disponible, mais son orientation, les domaines concernés et une partie de la pratique opérationnelle peuvent d’ores et déjà être déduits du droit en vigueur et des communications officielles. Les responsables de la gouvernance, du risque et de la conformité peuvent mettre à profit le délai avant la consultation pour engager des travaux préparatoires concrets.

Qu’a décidé le Conseil fédéral le 25 septembre 2026 ?

Le Conseil fédéral a chargé le DDPS de soumettre un projet de consultation pour une nouvelle loi sur la cybersécurité d’ici juin 2027 ; cela ressort d’un communiqué de presse daté du 24 septembre 2026.

La loi doit mettre en œuvre trois motions parlementaires au sein d’un seul et même acte législatif. Des modifications distinctes de la loi sur la sécurité de l’information étaient initialement prévues à cet effet, mais les trois initiatives concernent des niveaux de réglementation complémentaires : les produits, les données et les infrastructures numériques.

L’Office fédéral de la cybersécurité travaille déjà sur les projets législatifs sous-jacents : la cyber-résilience des produits comportant des éléments numériques, la protection des données numériques particulièrement importantes, et le rôle des fournisseurs d’hébergement et de services cloud en matière de cybersécurité.

Quels sont les trois thèmes regroupés par la loi sur la cybersécurité ?

La loi sur la cybersécurité doit fixer des exigences contraignantes pour les fabricants, importateurs et distributeurs de produits logiciels et matériels, réglementer la protection des données numériques particulièrement importantes et définir les obligations incombant aux fournisseurs d’hébergement et de services cloud.

Pour les produits, il est prévu d’instaurer un fondement pour la surveillance du marché ainsi qu’une interdiction de commercialisation pour les produits non sécurisés. Cette règle s’inspire du règlement européen sur la cyber-résilience (CRA) et vise à maintenir la charge administrative des entreprises à un niveau faible.

Le Conseil fédéral n’entend pas toucher aux réglementations sectorielles telles que la loi sur les télécommunications, l’ordonnance sur l’approvisionnement en électricité ou l’ordonnance sur les installations de télécommunication. La loi sur la cybersécurité doit venir compléter ces réglementations par des obligations transversales, comme le rapporte Netzwoche.

Qu’advient-il de l’obligation de déclaration existante pour les infrastructures critiques ?

L’obligation de déclaration des cyberattaques visant les infrastructures critiques, en vigueur depuis le 1er avril 2025, doit être transférée de la loi sur la sécurité de l’information vers la nouvelle loi sur la cybersécurité ; la loi sur la sécurité de l’information ne régira à l’avenir plus que la sécurité de l’information des autorités fédérales.

Les exploitants d’infrastructures critiques doivent déclarer les cyberattaques au NCSC dans les 24 heures suivant leur détection. Si toutes les informations ne peuvent pas être fournies dans la déclaration initiale, un délai supplémentaire de 14 jours est accordé pour la compléter.

Depuis le 1er octobre 2025, les violations de l’obligation de déclaration applicable aux infrastructures critiques peuvent entraîner des amendes allant jusqu’à 100 000 CHF ; toutefois, le NCSC doit au préalable contacter les exploitants en défaut, comme l’a rapporté SwissCybersecurity.net le 30 septembre 2025.

Six mois après son introduction, le NCSC a recensé un total de 164 déclarations dans un bilan daté du 29 septembre 2025, le secteur financier étant le plus concerné.

Parallèlement, le 6 mai 2026, le Conseil fédéral a chargé le DDPS de préparer une révision distincte de la loi sur la sécurité de l’information ; la consultation à ce sujet est prévue pour mi-2027. Un groupe de travail dirigé par le SEPOS la prépare avec la participation de la Chancellerie fédérale, des départements et de représentants d’autres autorités fédérales et des cantons.

Quels travaux préparatoires peuvent déjà être menés dès maintenant ?

Même sans disposer du texte de la loi, les entreprises peuvent déjà vérifier si elles sont concernées, documenter leur pratique actuelle en matière de déclaration et clarifier en interne la répartition des responsabilités pour les trois domaines de réglementation.

Les entreprises ayant déjà structuré leur obligation SGSI au titre de la loi sur la sécurité de l’information dans les délais existants peuvent réutiliser la même approche systématique pour les nouveaux domaines de la loi sur la cybersécurité. Cela concerne en particulier la répartition des responsabilités entre le CISO, la conformité et la haute direction.

• Vérifier si l’entreprise elle-même relève de l’un des neuf secteurs d’infrastructures critiques : autorités, énergie, élimination des déchets, finance, santé, information et communication, alimentation, sécurité publique et transports, tels que décrits à l’article 74b, alinéa 1, de la loi sur la sécurité de l’information.
• Documenter les canaux de déclaration et l’escalade interne pour le délai de 24 heures, indépendamment du futur texte de la loi.
• Préparer un inventaire des produits comportant des éléments numériques, des données et des services d’hébergement ou cloud susceptibles de relever à l’avenir de la loi sur la cybersécurité.

Quelle est la prochaine étape concrète ?

Les responsables du risque devraient préparer, d’ici la publication du projet de consultation en juin 2027, une synthèse interne des produits, données et services cloud concernés, et la comparer directement au projet dès que le texte de la loi sera disponible.

Une première étape consiste à recenser les canaux de déclaration et délais existants issus de la pratique depuis le 1er avril 2025, complétés par une liste des produits, catégories de données et prestataires de services susceptibles de devenir pertinents dans les trois domaines de réglementation de la loi sur la cybersécurité. Cette synthèse peut être tenue à jour indépendamment du texte de la loi et comparée aux obligations disponibles en 2027.