# Le BACS durcit le ton sur les délais de déclaration > SwissGRC® explique dans cet article les délais de déclaration des cyberattaques au BACS : signalement initial sous 24 heures, complément sous 14 jours. Il s'adresse aux exploitants d'infrastructures critiques et décrit les horodatages à documenter. - URL: https://swissgrc.com/fr/bacs-durcit-delais-declaration-incidents-cyber/ - Éditeur: SwissGRC® - Publié: 2026-08-27 - Dernière mise à jour: 2026-09-17 ## Points clés - Le signalement initial d'une cyberattaque au BACS doit intervenir dans les 24 heures suivant la découverte de l'attaque. - Un signalement complémentaire permet de compléter les informations dans un délai de 14 jours. - Le délai court à partir du moment où l'attaque est connue, et non à la fin de l'analyse forensique. - Selon le BACS, une violation de l'obligation de signalement peut entraîner une amende pouvant atteindre 100 000 CHF. - Durant les six premiers mois de l'obligation de signalement, le BACS a reçu 164 signalements. - Quatre moments doivent être vérifiables : la détection, l'escalade interne, le signalement initial et le signalement complémentaire. L’Office fédéral de la cybersécurité (BACS) a d’abord mis en œuvre l’obligation de signalement des cyberattaques contre les infrastructures critiques dans un esprit de coopération et a toléré les difficultés initiales. Avec la fin de cette phase transitoire à mi-2026, la publication spécialisée sidd.swiss annonce, dans son analyse de l’obligation de signalement du NCSC/BACS, une application plus stricte, en particulier pour les manquements répétés et pour les signalements qui n’ont été connus que tardivement. Pour les entreprises, une question passe au premier plan : quelle chronologie doivent-elles documenter sans lacune en cas d’urgence. En bref Pour prouver qu’un incident cyber a été signalé à temps à l’Office fédéral de la cybersécurité, une entreprise doit documenter sans lacune le moment de la découverte, le déroulement de l’escalade interne, l’heure du signalement initial dans les 24 heures et l’heure du signalement complémentaire. Ce qui compte est le moment où l’attaque a été connue, et non l’achèvement de l’analyse forensique. 24h Délai pour le signalement initial d’une cyberattaque au BACS BACS, Informations sur l’obligation de signalement 14jours Délai pour compléter le signalement par un signalement complémentaire BACS, Informations sur l’obligation de signalement 100000CHF Amende maximale en cas de défaut de signalement BACS, Six mois d’obligation de signalement des cyberattaques contre les infrastructures critiques ## Qu’est-ce qui change au BACS à partir de mi-2026 ? Après la fin de la phase transitoire accordée par l’autorité, le BACS passe de la sensibilisation à une application stricte, avec une attention particulière portée aux manquements répétés et aux signalements tardifs. La base légale est la loi fédérale sur la sécurité de l’information, dont la contribution au renforcement de la résilience numérique de la Confédération ancre l’obligation de signalement pour les exploitants d’infrastructures critiques. Dans les mois qui ont suivi son introduction, le BACS a dressé un bilan positif : les exploitants ont signalé les cyberattaques dans les délais, dans les 24 heures, comme l’autorité l’a relevé dans sa communication sur les six mois de l’obligation de signalement. Au total, 164 signalements ont été reçus durant cette période, comme le BACS l’a indiqué dans la même communication. Quiconque enfreint l’obligation de signalement doit, selon le BACS, s’attendre à une amende pouvant atteindre 100 000 CHF, l’autorité prenant d’abord contact avec l’organisation concernée avant de prononcer une sanction. Avec la fin de la phase transitoire, sidd.swiss anticipe dans son analyse une ligne plus dure, avant tout pour les manquements répétés et pour les signalements qui n’ont été connus que par la couverture médiatique. ## Quand le délai de signalement commence-t-il à courir ? Ce qui compte est le moment où l’attaque a été connue, et non l’achèvement de l’investigation forensique. sidd.swiss indique, dans son analyse pratique de l’obligation de signalement dans les 24 heures, que le délai débute à la découverte, et non au moment initial de l’attaque. Pour les entreprises, la question décisive se déplace ainsi de la technologie vers l’organisation : à partir de quel moment un incident est-il considéré comme suffisamment identifié. Une fois ce seuil atteint, le délai de 24 heures pour le signalement initial au BACS commence à courir, comme l’autorité l’expose dans ses informations sur l’obligation de signalement. Quiconque attend une investigation forensique complète aura, en règle générale, déjà dépassé le délai. Le BACS attend explicitement une évaluation initiale structurée, et non une analyse forensique aboutie. Les éléments manquants peuvent être complétés dans un délai de 14 jours au moyen d’un signalement complémentaire, comme le BACS l’indique dans sa fiche d’information sur l’obligation de signalement. ## Quels horodatages une entreprise doit-elle documenter ? Au moins quatre moments doivent être vérifiables : la détection, l’escalade interne, le signalement initial et le signalement complémentaire. Sans horodatages documentés, il est difficile de prouver après coup qu’un signalement a été effectué dans les délais. Le BACS exige, dans le signalement lui-même, des précisions sur la date et l’heure de la détection ainsi que de l’attaque. Ces précisions n’ont de sens que si elles proviennent d’une journalisation interne ininterrompue plutôt que d’une reconstitution a posteriori. Le degré d’exigence que peut atteindre une piste de preuves complète sur plusieurs années est illustré par l’examen d’une enquête de supervision au long cours dans l’affaire de l’amende UBS. - Moment du premier indice d’un incident - Moment de la découverte par l’unité responsable - Moment de l’escalade interne vers la direction et vers les personnes habilitées à signaler - Moment du signalement initial au BACS, au plus tard 24 heures après la découverte - Moment du signalement complémentaire assorti de précisions complètes, au plus tard 14 jours plus tard ## En quoi le délai du BACS diffère-t-il des autres obligations de signalement ? Les entreprises soumises à plusieurs réglementations doivent surveiller plusieurs horloges à la fois ; le délai de 24 heures du BACS n’en est qu’une. Les établissements financiers régulés connaissent déjà une logique similaire au travers de la pratique de surveillance de la FINMA : pour les incidents graves, l’autorité de supervision attend un signalement initial dans les 24 heures et un signalement complémentaire dans les 72 heures. L’obligation de signalement du BACS s’applique en parallèle de ce devoir prudentiel, mais ne s’y substitue pas. Pour les fabricants de produits comportant des éléments numériques, une obligation de signalement supplémentaire s’ajoute le 11 septembre 2026 : à partir de cette date, le règlement européen sur la cyber-résilience impose de signaler les vulnérabilités activement exploitées et les incidents de sécurité graves. Un article distinct examine les lacunes concrètes qui subsistent dans ces obligations de signalement du CRA. Toute entreprise qui n’a pas clairement déterminé si elle est un exploitant d’infrastructure critique ou une entité assujettie à NIS2 prend du retard sur chacun de ces délais. L’ampleur de cette incertitude dans la pratique est illustrée par le déficit d’enregistrement que de nombreuses entreprises ne comblent qu’après une auto-évaluation ultérieure. ## Quelle est la première étape concrète vers une conformité démontrable ? La première étape vérifiable est un signalement test documenté qui parcourt l’intégralité de la chronologie, de la détection au signalement complémentaire. Les entreprises devraient réaliser un signalement test dans leur playbook interne au cours du trimestre en cours et consigner les quatre horodatages : détection, escalade, signalement initial et signalement complémentaire. La personne responsable du signalement, RSSI ou responsable de la sécurité de l’information, devrait être désignée par écrit et dotée de l’autorité nécessaire. Cet exercice fournit la base permettant de présenter au BACS, en cas d’urgence, une chronologie complète et vérifiable. En pratique ## Points clés - Documentez le moment de la découverte comme point de départ du délai de 24 heures, et non l’achèvement de l’analyse forensique. - Désignez par écrit la personne qui déclenche le signalement initial au BACS en cas d’urgence. - Préparez des modèles pour le signalement initial et le signalement complémentaire, afin que le délai de 14 jours ne s’écoule pas sous la pression du temps. - Vérifiez les délais courant en parallèle au titre de la surveillance de la FINMA, de NIS2 et du règlement sur la cyber-résilience, afin qu’aucune obligation de signalement ne soit négligée. - Testez chaque année la chaîne de signalement au moyen d’un exercice, afin de pouvoir démontrer la chronologie de manière crédible en cas d’urgence. FAQ ## Questions fréquentes ### À combien s’élève l’amende en cas de signalement tardif au BACS ? Quiconque enfreint l’obligation de signalement doit, selon le BACS, s’attendre à une amende pouvant atteindre 100 000 CHF. Avant de prononcer une sanction, l’autorité prend d’abord contact avec l’organisation concernée. Avec la fin de la phase transitoire à mi-2026, la publication spécialisée sidd.swiss anticipe une application plus stricte, en particulier pour les manquements répétés et pour les signalements qui n’ont été connus que tardivement. ### De combien d’heures une entreprise dispose-t-elle pour le signalement initial au BACS ? Le signalement initial au BACS doit être effectué dans les 24 heures suivant la découverte de l’attaque. Ce qui compte n’est ni le moment de l’attaque elle-même, ni l’achèvement de l’analyse forensique, mais le moment auquel l’unité responsable au sein de l’entreprise qualifie l’incident de suffisamment identifié. ### Quel est le délai pour le signalement complémentaire au BACS ? Le BACS accorde un délai de 14 jours après le signalement initial pour le signalement complémentaire. Dans ce signalement complémentaire, les entreprises peuvent ajouter les éléments qui n’étaient pas encore entièrement disponibles lors de la première évaluation initiale structurée, par exemple les conclusions de l’analyse forensique. ### L’obligation de signalement du BACS s’applique-t-elle en plus de l’obligation de signalement à la FINMA ? Oui. Les établissements financiers régulés connaissent déjà, au titre de la surveillance de la FINMA, un signalement initial dans les 24 heures et un signalement complémentaire dans les 72 heures. L’obligation de signalement du BACS pour les exploitants d’infrastructures critiques s’applique en parallèle de ce devoir prudentiel et ne s’y substitue pas ; les deux délais doivent être respectés simultanément. ### À partir de quand l’obligation de signalement du règlement sur la cyber-résilience s’applique-t-elle ? À partir du 11 septembre 2026, le règlement européen sur la cyber-résilience impose aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents de sécurité graves. Ce délai court en parallèle de l’obligation de signalement du BACS et d’autres obligations de signalement telles que NIS2. Sources 1. [Informationen zur Meldepflicht](https://www.ncsc.admin.ch/ncsc/de/home/meldepflicht/meldepflicht-info.html)Bundesamt für Cybersicherheit (BACS) 2. [Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen](https://www.bacs.admin.ch/de/newnsb/gezctyF6KYR7UkCjXBC5s)Bundesamt für Cybersicherheit (BACS) 3. [NCSC / BACS: When Swiss Companies Must Report Cyber Incidents](https://www.sidd.swiss/en/insights/ncsc-bacs-reporting-obligation/)sidd.swiss 4. [24-Stunden-Meldepflicht für Spitäler – ISG/BACS in der Praxis](https://www.sidd.swiss/einblicke/kritis-24h-meldepflicht-spital/)sidd.swiss ## Questions fréquentes ### Quel est le délai de signalement d'une cyberattaque au BACS ? Le signalement initial doit être effectué dans les 24 heures suivant la découverte de l'attaque. Un signalement complémentaire peut compléter les éléments manquants dans un délai de 14 jours. ### Quand le délai de 24 heures du BACS commence-t-il à courir ? Le délai débute à la découverte de l'attaque, et non au moment de l'attaque elle-même. L'achèvement de l'analyse forensique n'est pas déterminant, le BACS attend une évaluation initiale structurée. ### Quelle est l'amende en cas de défaut de signalement au BACS ? Selon le BACS, l'amende peut atteindre 100 000 CHF. L'autorité prend d'abord contact avec l'organisation concernée avant de prononcer une sanction. ### Quels horodatages faut-il documenter pour un signalement au BACS ? Au moins quatre moments doivent être vérifiables : la détection, l'escalade interne, le signalement initial et le signalement complémentaire. Ils doivent provenir d'une journalisation interne ininterrompue plutôt que d'une reconstitution a posteriori. ### Que change le BACS à partir de mi-2026 ? La phase transitoire prend fin et, selon l'analyse de sidd.swiss, le BACS applique l'obligation de signalement plus strictement. Cela concerne surtout les manquements répétés et les signalements connus tardivement, par exemple par la couverture médiatique.