# Ce que le paysage des cybermenaces 2026 implique pour la GRC et la cyber-résilience > Cet article de SwissGRC® analyse le paysage des cybermenaces en Suisse au premier semestre 2026. Il explique comment la GRC relie menaces, risques, contrôles et exigences réglementaires pour renforcer la cyber-résilience des entreprises. - URL: https://swissgrc.com/fr/paysage-cybermenaces-2026-grc-cyber-resilience__trashed/ - Éditeur: SwissGRC® - Publié: 2026-08-14 - Dernière mise à jour: 2026-09-17 ## Points clés - Au premier semestre 2026, 27 054 cyberincidents ont été signalés à l'Office fédéral de la cybersécurité (OFCS), soit 6,8 % de moins qu'au second semestre 2025. - Sur la même période, les signalements de hameçonnage ont augmenté de 41 % et ceux de logiciels malveillants de 85 %, selon un briefing de n'guard.swiss fondé sur les statistiques de l'OFCS. - Les statistiques de l'OFCS recensent les incidents signalés et non le nombre réel de cyberattaques, le nombre de cas non déclarés étant probablement élevé pour les attaques les plus élaborées. - À compter du 11 septembre 2026, le règlement sur la cyber-résilience (CRA) impose aux fabricants de signaler les vulnérabilités activement exploitées, avec une alerte précoce attendue dans les 24 heures et un rapport de suivi dans les 72 heures. - Depuis le 1er avril 2025, les exploitants d'infrastructures critiques en Suisse doivent déclarer certaines cyberattaques, en principe à l'OFCS dans les 24 heures après la découverte. - Selon SwissGRC®, le renseignement sur les menaces devient un renseignement sur les risques lorsqu'il est relié aux actifs, aux processus métier, aux contrôles, aux tiers et aux exigences réglementaires de l'entreprise. **Le paysage des cybermenaces en Suisse présente une situation apparemment paradoxale au premier semestre 2026 : le nombre d’incidents signalés diminue, tandis que certaines formes d’attaque particulièrement pertinentes pour les entreprises progressent fortement.** 27 054 cyberincidents ont été signalés à l’Office fédéral de la cybersécurité (OFCS), soit un recul de 6,8 % par rapport au second semestre 2025. Dans le même temps, les signalements de hameçonnage ont augmenté de 41 % et ceux de logiciels malveillants ont bondi de 85 %. C’est ce que met en évidence un récent [Threat Intelligence Briefing de n’guard.swiss](https://nguard.swiss/cyber-whitepaper/), établi à partir des statistiques hebdomadaires publiques de l’OFCS. L’enseignement essentiel ne réside donc pas dans le volume global. **Le profil de risque évolue. Et avec lui, les exigences en matière de gouvernance, de gestion des risques et de cyber-résilience.** La menace n’augmente pas nécessairement, mais elle devient plus complexe Le recul du nombre total de signalements s’explique en grande partie par la baisse des tentatives de fraude classiques. Parallèlement, d’autres modes d’attaque gagnent en importance. Le hameçonnage représentait 32,7 % des signalements analysés au premier semestre 2026. L’usurpation d’identité (spoofing) a progressé de 42 %, et les logiciels malveillants de 85 %, à partir d’une base de départ nettement plus faible. La qualité des attaques change également. Le briefing de n’guard met en avant des variantes de hameçonnage pilotées par l’IA et des campagnes de plus en plus crédibles visant les points d’accès des entreprises, tels que Microsoft 365. Dans le même temps, des méthodes comme ClickFix montrent comment les attaquants intègrent délibérément le comportement humain dans la chaîne d’attaque : les utilisateurs sont incités à exécuter eux-mêmes des commandes malveillantes. Ces chiffres doivent toutefois être correctement replacés dans leur contexte. Les statistiques de l’OFCS recensent les incidents signalés, et non le nombre total réel de cyberattaques en Suisse. Pour les attaques techniquement les plus élaborées en particulier, le nombre de cas non déclarés est probablement élevé. Pour les entreprises, il importe moins de savoir si le nombre d’attaques augmente ou diminue statistiquement. Ce qui compte, c’est la manière dont les menaces externes influent sur leur propre profil de risque. Le renseignement sur les menaces doit devenir un renseignement sur les risques C’est précisément ici que commence la perspective GRC. Une hausse du hameçonnage de 41 % constitue d’abord une information sur le paysage des menaces externes. Pour la direction générale, cette information ne devient pertinente que lorsqu’elle est reliée au contexte propre de l’entreprise. Quelles identités et quels systèmes sont exposés ? Quels processus métier critiques en dépendent ? Quels contrôles sont en place ? Quels tiers disposent d’un accès ? Quelles obligations réglementaires un incident pourrait-il déclencher ? Et quelles seraient les conséquences d’une interruption sur l’activité ? Dans une perspective GRC, une chaîne se dessine : **Menace → Actif → Processus métier → Risque → Exigence → Contrôle → Incident → Action** C’est ainsi que le renseignement sur les menaces devient un [**renseignement sur les risques**](https://swissgrc.com/third-party-intelligence-center/). C’est justement ce lien qui fait encore défaut dans de nombreuses organisations. Les opérations de sécurité, les registres des risques, les exigences de conformité, la gestion des risques tiers et la continuité d’activité disposent chacun d’informations précieuses. Mais lorsqu’ils sont pilotés de manière cloisonnée, la vision d’ensemble, pourtant déterminante, reste fragmentée. Un incident de cybersécurité ne devrait pas seulement générer un ticket de sécurité. Il devrait aussi soulever la question de savoir si un risque existant doit être réévalué, un contrôle ajusté, un tiers réexaminé ou un scénario de résilience actualisé. La réglementation fait de la cybersécurité une mission de gouvernance Les évolutions réglementaires montrent également que les cyberrisques ne peuvent plus être considérés comme une simple question technique. Avec la [**directive NIS2**](https://swissgrc.com/eu-nis2-richtlinie-fuer-cyber-sicherheit/), l’Union européenne place explicitement la responsabilité au niveau de la direction. Les organes dirigeants des entreprises concernées doivent approuver les mesures de gestion des risques en matière de cybersécurité et superviser leur mise en œuvre. La directive relie l’analyse des risques à la gestion des incidents, à la continuité d’activité, à la sécurité de la chaîne d’approvisionnement, à la gestion des vulnérabilités et à l’évaluation de l’efficacité des mesures de sécurité. En 2026, un élément supplémentaire important entrera en jeu : le [**règlement sur la cyber-résilience (CRA)**](https://swissgrc.com/cyber-resilience-act-cra/). À compter du **11 septembre 2026**, les fabricants devront signaler les vulnérabilités activement exploitées et les incidents de sécurité graves concernant des produits comportant des éléments numériques. Une alerte précoce est notamment attendue dans les 24 heures, suivie d’un rapport de suivi dans les 72 heures. Le CRA illustre un changement de fond : la cybersécurité devient une mission soumise à contrôle et à test tout au long du cycle de vie du produit. Évaluation des risques, gestion des vulnérabilités, notification des incidents et responsabilités doivent être intégrés. La Suisse suit également cette évolution. Depuis le **1er avril 2025**, les exploitants d’infrastructures critiques ont l’obligation de déclarer certaines cyberattaques. Après la découverte d’un incident soumis à déclaration, un signalement doit en principe être adressé à l’OFCS (BACS) dans les 24 heures. L’orientation commune est claire : **la cybersécurité est de plus en plus appréhendée, sur le plan réglementaire, comme une mission de gouvernance et de gestion des risques.** La cyber-résilience commence par les interconnexions La conséquence à en tirer n’est pas d’introduire un contrôle isolé supplémentaire pour chaque nouvelle menace. Les entreprises doivent comprendre comment interagissent les menaces, les risques, les processus, les contrôles, les tiers et les exigences réglementaires. C’est là que le GRC devient l’élément de liaison entre cybersécurité et cyber-résilience. La cyber-résilience signifie en définitive bien plus que la seule prévention des attaques. Les organisations doivent anticiper les risques, détecter et gérer les incidents, en limiter les effets et être en mesure de rétablir leurs fonctions métier critiques. Une approche GRC globale apporte la transparence nécessaire : quels processus critiques sont exposés ? Quels contrôles les protègent ? Quelle est l’efficacité de ces contrôles ? Quelles dépendances existent à l’égard des tiers ? Quelles exigences réglementaires s’appliquent ? Et où les nouvelles menaces créent-elles des risques supplémentaires ? La question pertinente n’est pas le nombre d’attaques Les 27 054 cyberincidents déclarés au premier semestre 2026 constituent avant tout un signal. Le paysage des menaces évolue, tandis que le CRA, NIS2 et l’obligation suisse de déclaration imposent simultanément des exigences accrues en matière de gestion des risques, de responsabilité et de traçabilité. Pour les entreprises, une capacité devient déterminante : **traduire rapidement les évolutions de l’environnement de menaces externe dans leur propre contexte de risque et en tirer des décisions.** La question centrale n’est donc plus seulement : *comment nous protéger des cyberattaques ?* Mais plutôt : **comprenons-nous quels cyberrisques menacent réellement notre activité, et sommes-nous capables de les maîtriser efficacement ?** C’est précisément là que le GRC et la cyber-résilience se rejoignent. ## Questions fréquentes ### Combien de cyberincidents ont été signalés en Suisse au premier semestre 2026 ? 27 054 cyberincidents ont été signalés à l'OFCS, soit un recul de 6,8 % par rapport au second semestre 2025. Les signalements de hameçonnage ont toutefois augmenté de 41 % et ceux de logiciels malveillants de 85 %. ### Pourquoi la baisse des signalements ne signifie-t-elle pas une baisse du risque ? Le recul s'explique en grande partie par la baisse des tentatives de fraude classiques, tandis que d'autres formes d'attaque progressent. Les statistiques ne recensent en outre que les incidents signalés, et les attaques techniquement élaborées sont probablement souvent non déclarées. ### Que prévoit le règlement sur la cyber-résilience (CRA) à partir du 11 septembre 2026 ? Les fabricants devront signaler les vulnérabilités activement exploitées et les incidents de sécurité graves concernant des produits comportant des éléments numériques. Une alerte précoce est attendue dans les 24 heures, suivie d'un rapport de suivi dans les 72 heures. ### Que change la directive NIS2 pour la direction des entreprises ? Avec NIS2, la responsabilité est placée explicitement au niveau de la direction. Les organes dirigeants des entreprises concernées doivent approuver les mesures de gestion des risques en matière de cybersécurité et superviser leur mise en œuvre. ### Quel est le rôle de la GRC dans la cyber-résilience ? Selon l'article, la GRC relie cybersécurité et cyber-résilience en montrant comment interagissent menaces, risques, processus, contrôles, tiers et exigences réglementaires. Elle apporte la transparence sur les processus critiques exposés et sur l'efficacité des contrôles.