Deux réglementations, deux approches, une même entreprise : toute entité exploitant des infrastructures critiques en Suisse doit signaler les cyberattaques à l’Office fédéral de la cybersécurité dans les 24 heures. En revanche, celles opérant dans l’UE doivent évaluer leur secteur d’activité, leur effectif et leurs indicateurs financiers, ce qui se traduit par un ensemble d’obligations nettement plus étendu. De nombreuses entreprises sont soumises simultanément à ces deux régimes sans même s’en rendre compte.

La différence n’est pas purement théorique. En Allemagne, la loi de transposition de la directive NIS2 est en vigueur depuis le 6 décembre 2025, sans période de transition ; en Autriche, les obligations de fond prévues par la loi NISG 2026 entreront en vigueur le 1er octobre 2026 ; et en Suisse, les sanctions en cas de non-respect de l’obligation de déclaration sont strictement appliquées depuis le 1er octobre 2025. À compter du 11 septembre 2026, les fabricants de produits numériques seront soumis à une obligation de déclaration supplémentaire en vertu de la loi sur la cyber-résilience.

Cet article précise qui est réellement concerné, quel rôle joue la taille de l’entreprise, quelles sont les échéances applicables à quelles entités, et quels composants techniques peuvent être utilisés pour mettre en œuvre ces exigences dans le cadre des activités quotidiennes. Informations à jour en août 2026.

Qui est tenu de signaler les cyberattaques en Suisse ?

La liste figurant à l’article 74b, paragraphe 1, de la loi sur la sécurité de l’information fait foi. Elle énumère les autorités et organisations de A à U — notamment les universités, les administrations fédérales, cantonales et communales, les services publics d’énergie et d’eau potable, les établissements de santé, les entreprises postales, ferroviaires, de bus, de téléphériques et de transport maritime, les fournisseurs de services numériques, ainsi que les fabricants de matériel et de logiciels utilisés dans les infrastructures critiques.

C’est la fonction qui est déterminante, et non la forme juridique. Une entreprise privée chargée du traitement de l’eau potable est concernée ; en revanche, un organisme public se consacrant exclusivement à des activités administratives internes ne l’est pas nécessairement. L’autorité de référence en matière de déclaration est l’Office fédéral de la cybersécurité (BACS). Cette obligation est en vigueur depuis le 1er avril 2025, parallèlement à l’ordonnance sur la cybersécurité.

Quels incidents doivent être signalés — et lesquels ne le doivent pas ?

Les cyberattaques, c’est-à-dire les incidents cybernétiques provoqués intentionnellement, doivent être signalées. Une défaillance technique sans intervenant malveillant ne donne pas lieu à une obligation de signalement. Le seuil est atteint si l’une des conditions suivantes est remplie :

• La capacité opérationnelle de l’infrastructure critique est compromise.
• Des informations ont été manipulées ou ont fait l’objet d’une fuite.
• L’attaque est restée indétectée pendant une période prolongée ou visait clairement à préparer le terrain pour d’autres attaques.
• Des actes d’extorsion, des menaces ou des actes de coercition ont eu lieu.

Une attaque visant des domaines ne relevant pas des opérations critiques — tels que le service marketing d’une entreprise de services publics — n’est pas soumise à l’obligation de signalement. Dans la pratique, un test simple peut aider : si l’organisation doit recourir à des plans d’urgence ou si des employés et des tiers sont affectés par des pannes du système, l’incident doit être signalé.

Dans quel délai l’incident doit-il être signalé, et que doit contenir le rapport ?

Le rapport initial doit parvenir au BACS dans les 24 heures suivant la découverte de l’incident. Si tous les détails ne sont pas disponibles à ce moment-là, un délai de 14 jours est accordé pour fournir les informations manquantes. Le délai commence à courir dès la première prise de connaissance de l’incident, et non à partir du moment où l’attaque elle-même a lieu — ce qui fait passer le problème du domaine technique à celui de l’organisation.

En termes de contenu, le rapport doit inclure des informations sur l’organisation, la nature et le déroulement de l’attaque, son impact, les mesures déjà prises et, dans la mesure où elles sont connues, les prochaines étapes. Deux options s’offrent à vous : le formulaire en ligne ou un compte sur le Cyber Security Hub. Quiconque attend qu’une situation d’urgence survienne pour créer un compte perdra des heures dont il ne dispose tout simplement pas. L’inscription doit donc faire partie de votre plan de préparation, et non être effectuée en pleine crise.

À partir de quelle taille l’obligation de déclaration suisse ne s’applique-t-elle plus ?

L’article 12 de l’ordonnance sur la cybersécurité énonce les exceptions, qui sont spécifiques à chaque secteur plutôt que générales. Les entreprises pharmaceutiques sont exemptées si elles emploient moins de 50 personnes dans le secteur soumis à l’obligation de déclaration et si leur chiffre d’affaires annuel ou leur actif total dans ce secteur ne dépasse pas 10 millions de francs suisses. Les universités comptant moins de 2 000 étudiants sont exemptées, tout comme les petites administrations communales dont la population est inférieure à un certain seuil. Des seuils distincts s’appliquent aux secteurs de l’énergie, des transports et à d’autres secteurs.

Le critère de référence est toujours le domaine soumis à l’obligation de déclaration, et non l’ensemble du groupe. Un conglomérat peut invoquer une exemption pour une unité opérationnelle, mais pas pour une autre. Une entreprise qui fournit à la fois de l’électricité et du chauffage urbain ne peut prétendre à l’exemption que si l’attaque et ses effets se limitent au domaine d’activité exempté.

Que se passe-t-il si aucun rapport n’est soumis ?

Une période de grâce s'est étendue jusqu'au 30 septembre 2025. Depuis lors, le BACS est habilité à émettre des injonctions, et le non-respect d'une injonction juridiquement contraignante est passible d'amendes pouvant aller jusqu'à 100 000 francs suisses. Un détail est souvent négligé : l’amende prévue à l’article 74h de la loi sur la sécurité de l’information (LSI) est infligée à la personne responsable, et non à l’entreprise. Cela représente un risque personnel pour les dirigeants et les responsables informatiques.

L’obligation de déclaration peut être déléguée à un prestataire de services informatiques. Toutefois, la responsabilité incombe toujours à l’entité tenue de déclarer. Si le tiers ne soumet pas le rapport, le client est responsable. Par conséquent, les organisations qui externalisent cette fonction doivent définir la chaîne de responsabilité dans un contrat et la tester au moins une fois par an.

Existe-t-il en Suisse des réglementations applicables aux entreprises ne disposant pas d’infrastructures critiques ?

L’obligation de déclaration prévue par la LSI ne s’applique pas. D’autres obligations s’appliquent toutefois. Conformément à l’article 24 de la LPD, une violation de la sécurité des données doit être signalée à l’PFPDT si elle présente un risque élevé pour les personnes concernées. En cas d’incident lié à un rançongiciel entraînant la fuite de données à caractère personnel, un double signalement à BACS et à l’EDÖB peut s’avérer nécessaire. Les institutions soumises à la surveillance de la FINMA doivent également signaler les cyberattaques graves dans un délai de 24 heures à titre de notification préliminaire, puis officiellement dans un délai de 72 heures.

À cela s’ajoutent des obligations contractuelles. Les personnes travaillant pour un opérateur soumis à des obligations de déclaration constatent de plus en plus souvent que les exigences en matière de sécurité des systèmes d’information (ISG) sont intégrées dans les contrats, y compris des délais plus courts que ceux imposés par la loi. Pour les petites équipes qui ont simplement besoin d’une protection de base solide comprenant un pare-feu, la gestion des mots de passe et le chiffrement, une solution compacte pour les bureaux suffit souvent.

Kaspersky Small Office Security

Découvrez Kaspersky Small Office Security

Qui relève de la directive NIS-2 dans l’UE ?

L’évaluation se déroule en deux étapes. Tout d’abord, le secteur : l’annexe 1 couvre onze secteurs à haute criticité, l’annexe 2 en couvre sept autres, pour un total de 18 — allant de l’énergie, des transports et de la santé aux infrastructures numériques, à l’agroalimentaire, à la chimie, aux déchets et à l’industrie manufacturière. Les organisations n’opérant dans aucun de ces secteurs sont exclues.

Vient ensuite la taille, selon la définition européenne d’une PME :

• Installation critique : au moins 50 salariés ou un chiffre d’affaires annuel et un total d’actifs dépassant chacun 10 millions d’euros.
• Entité particulièrement importante : au moins 250 salariés ou un chiffre d’affaires annuel supérieur à 50 millions d’euros et, en outre, un total du bilan supérieur à 43 millions d’euros.

Ces deux critères principaux s’excluent mutuellement, tandis que les seuils financiers sont cumulatifs. Ainsi, un effectif de 60 salariés suffit, même avec un chiffre d’affaires faible. À l’inverse, un chiffre d’affaires de 80 millions d’euros associé à un total du bilan faible n’est pas suffisant à lui seul.

Pourquoi le nombre de salariés ne détermine-t-il pas à lui seul si une entreprise est concernée ?

C’est là que la plupart des auto-évaluations présentent des lacunes. Quatre raisons à cela :

• Si le secteur d’activité ne correspond pas, l’entité n’est pas concernée — la taille n’est évaluée qu’ensuite.
• Certaines entités sont concernées quelle que soit leur taille : les opérateurs d’infrastructures critiques, les prestataires de services de confiance qualifiés, les registres de TLD, les prestataires de services DNS, ainsi que les fournisseurs de services de télécommunications accessibles au public et les opérateurs de réseaux.
• L’appartenance à un groupe a son importance. Une filiale comptant 35 salariés et réalisant un chiffre d’affaires de 8 millions d’euros peut entrer dans le champ d’application via l’entité économique si le groupe dépasse les seuils fixés.
• Les différents domaines d’activité sont évalués séparément. C’est la classification la plus élevée résultant de l’une quelconque de ces activités qui est déterminante.

Quiconque se base uniquement sur la liste des salariés aboutira régulièrement à une conclusion erronée, dans un sens comme dans l’autre. L’auto-évaluation doit être documentée, même si le résultat est négatif. En cas d’audit, une justification claire et raisonnable a plus de valeur qu’une simple affirmation.

Qu’est-ce qui distingue les établissements particulièrement importants des établissements importants ?

Ce n’est pas la liste des mesures, mais plutôt le cadre de surveillance et de sanctions. Les entités particulièrement importantes font l’objet d’une surveillance proactive : l’autorité peut mener des audits et demander des pièces justificatives sans motif particulier. Pour les entités importantes, la surveillance est déclenchée par des événements, c’est-à-dire qu’elle intervient en réponse à des signalements ou à des incidents.

L’amende maximale pour les établissements particulièrement importants s’élève à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial ; pour les établissements importants, elle est de 7 millions d’euros ou 1,4 %. En Allemagne, le défaut d’enregistrement en vertu de l’article 65 de la BSIG est passible d’une amende distincte pouvant aller jusqu’à 500 000 euros. Techniquement, les deux catégories doivent mettre en œuvre les mêmes mesures de gestion des risques ; la différence réside dans le niveau de documentation requis.

Quels sont les délais de déclaration applicables dans l’UE ?

La chaîne de signalement comprend trois étapes et est structurée de la même manière pour tous les États membres :

• Alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident de sécurité significatif.
• Rapport d’incident accompagné d’une première évaluation dans les 72 heures.
• Rapport final dans un délai d’un mois ; si l’incident fait encore l’objet d’une enquête, un rapport d’étape intermédiaire doit d’abord être soumis.

Les entités soumises à l’obligation de signalement tant en Suisse que dans l’UE doivent respecter simultanément deux séries de délais. Le délai suisse de 24 heures, assorti d’une prolongation de 14 jours, ne correspond pas exactement au cadre de l’UE. Un cadre de signalement unifié, assorti de lignes directrices claires — précisant quel incident doit être signalé à quelle autorité, avec quel contenu et dans quel délai — permet d’éviter les litiges quant à la responsabilité en cas d’urgence.

Quelles mesures spécifiques la directive NIS-2 impose-t-elle ?

La loi allemande BSIG précise, à l’article 30, dix domaines qui correspondent en substance à l’article 21 de la directive : Analyse des risques et politiques de sécurité, réponse aux incidents, continuité des activités (y compris la sauvegarde et la gestion de crise), sécurité de la chaîne d’approvisionnement, sécurité dans les achats et le développement, évaluation de l’efficacité, formation et cyber-hygiène, cryptographie et chiffrement, contrôle du personnel et des accès, ainsi qu’authentification multifactorielle et communications sécurisées.

Ce catalogue est délibérément formulé de manière à être neutre sur le plan technologique. Ce qui est exigé, c’est une adéquation mesurée au regard du risque, de la taille et des conséquences potentielles des dommages — et non un produit spécifique. L’expérience montre que les organisations mettant en œuvre un SMSI conforme à la norme ISO 27001 couvrent une grande partie de ces exigences. Dans la pratique, les défaillances proviennent rarement du concept lui-même, mais plutôt de trois problèmes : l’authentification multifactorielle (MFA) n’a pas été déployée partout, les sauvegardes n’ont pas été testées et les terminaux ne font pas l’objet d’une surveillance centralisée.

ESET Small Business Security

Découvrez ESET Small Business Security

Quel rôle jouent la sauvegarde et la restauration ?

La gestion des sauvegardes n’est pas une considération secondaire dans l’un ou l’autre de ces cadres réglementaires. Dans le cadre de la directive NIS-2, elle fait explicitement partie du maintien des opérations ; en Suisse, la capacité de restauration détermine si une attaque compromet réellement le fonctionnement d’une infrastructure critique. Une organisation qui est de nouveau opérationnelle au bout de deux heures fait face à un incident différent de celui d’une organisation qui fonctionne en mode d’urgence pendant trois semaines.

Trois questions déterminent la qualité d’une stratégie de sauvegarde : existe-t-il au moins une copie située hors de portée des comptes de domaine compromis ? À quand remonte le dernier test complet du processus de restauration — et non pas simplement un contrôle ponctuel ? Et existe-t-il une documentation indiquant la durée de la restauration ? Sans réponse fiable à la troisième question, toute affirmation concernant la continuité d’activité n’est que pure spéculation. Pour les petites entreprises, une suite intégrant une sauvegarde dans le cloud et offrant une vue d’ensemble centralisée de l’état du système peut combler cette lacune.

Norton by Symantec Small Business

Acheter Norton by Symantec Small Business

Où en est la mise en œuvre en Allemagne et en Autriche ?

Allemagne : la loi relative à la mise en œuvre de la directive NIS2 et au renforcement de la cybersécurité a été promulguée le 5 décembre 2025 et est entrée en vigueur le 6 décembre 2025 — sans période de transition pour les obligations de fond. La période d’enregistrement de trois mois prévue à l’article 33 de la BSIG a pris fin le 6 mars 2026. Sur les quelque 29 500 organisations concernées, environ 11 500 s’étaient enregistrées à cette date butoir, ce qui a conduit le BSI à annoncer une prolongation jusqu’au 31 juillet 2026. L’enregistrement s’effectue via le portail du BSI et nécessite un certificat d’organisation ELSTER. Il reste possible même après la date limite et est toujours recommandé.

Autriche : La loi NISG 2026 a été promulguée le 23 décembre 2025. Les obligations de fond prennent effet le 1er octobre 2026 ; l'enregistrement auprès de l'Agence de cybersécurité doit être effectué dans les trois mois qui suivent, c'est-à-dire avant la fin décembre 2026. Une nouvelle exigence consiste en une autodéclaration à durée limitée, à effectuer dans les douze mois suivant l’entrée en vigueur de l’obligation d’enregistrement. La Chambre de commerce estime qu’environ 4 000 entités seront concernées.

Pourquoi le fait d’avoir un siège social en Suisse ne protège-t-il pas une entreprise de la directive NIS-2 ?

Parce que la directive se fonde sur la nature de l’activité et non sur la localisation du siège social. Trois scénarios font entrer les entreprises suisses dans le champ d’application de la directive ou les soumettent à ses effets :

• Une succursale ou une filiale dans un État membre de l’UE : cette entité juridique est soumise à la loi nationale de transposition, à condition que les critères de secteur d’activité et de taille soient remplis.
• Fourniture de services couverts dans l’UE sans succursale locale : cloud computing, services de centres de données, diffusion de contenu, services gérés, sécurité gérée, places de marché en ligne, moteurs de recherche et réseaux sociaux. L’article 2, paragraphe 3, de la directive exige dans ce cas la désignation d’un représentant dans l’UE.
• Position dans la chaîne d’approvisionnement d’une entreprise de l’UE soumise à la directive NIS-2 : aucune obligation légale directe, mais des exigences contractuelles en matière de preuve.

Le troisième scénario est le plus important en termes de chiffres. La directive NIS 2 est « exportée » par le biais de contrats vers des entreprises qui ne déposeront elles-mêmes jamais de rapport auprès des autorités.

Que signifie la sécurité de la chaîne d’approvisionnement pour les fournisseurs et les prestataires de services informatiques ?

Les entreprises concernées doivent évaluer la sécurité de leurs fournisseurs directs et prestataires de services et s’assurer que cet aspect est pris en compte dans les contrats. Pour les fournisseurs, cela signifie que le niveau de sécurité devient un critère d’attribution des marchés. Les demandes de preuves concernant les cycles de correctifs, le contrôle d’accès, l’authentification multifactorielle (MFA), les procédures de signalement des incidents et les délais de reprise apparaissent désormais régulièrement dans les appels d’offres.

Ceux qui ne peuvent pas fournir ces preuves perdront des contrats — bien avant que les autorités de régulation ne s’y intéressent. À l’inverse, une documentation exhaustive peut servir d’argument de vente. Une première étape concrète sans projet SMSI complet : un inventaire actualisé des actifs, une attribution documentée des droits d’accès, des sauvegardes testées de manière vérifiable, une protection des terminaux gérée de manière centralisée et un processus de signalement écrit avec des responsables désignés. Cela couvre la majorité des questionnaires standard destinés aux fournisseurs.

Quelle est la responsabilité personnelle de la direction générale ?

Dans les trois systèmes juridiques, la direction générale est directement visée. Conformément à l’article 38 de la BSIG, les conseils d’administration doivent approuver les mesures de gestion des risques et superviser leur mise en œuvre ; cette obligation ne peut être déléguée et engage la responsabilité personnelle. La NISG 2026 exige en outre, en vertu de l’article 31, que les organes de direction participent à des formations spécifiques en matière de cybersécurité. En Suisse, l’amende prévue à l’article 74h de la loi sur la sécurité de l’information (ISG) est infligée à la personne physique responsable.

Dans la pratique, cela signifie que les décisions concernant les budgets de sécurité, les risques résiduels acceptés et les résultats d’audit doivent être consignés. Quiconque reporte des mesures pour des raisons de coût doit documenter cette décision ainsi que sa justification. Une approbation verbale n’a aucune valeur en cas de litige.

Quels changements entreront en vigueur le 11 septembre 2026 à la suite de la loi sur la cyber-résilience ?

À compter de cette date, les obligations de déclaration prévues par la CRA s’appliqueront aux fabricants de produits comportant des éléments numériques. Les vulnérabilités activement exploitées et les incidents de sécurité graves doivent faire l’objet d’un signalement dans les 24 heures sous forme d’alerte précoce, puis d’un rapport détaillé dans les 72 heures, simultanément à l’ENISA et au CSIRT compétent, qui est en Allemagne le CERT-Bund. Les délais courent à compter de la prise de connaissance du problème. Les autres obligations fondamentales, notamment le marquage CE, entreront en vigueur le 11 décembre 2027.

Cela concerne un groupe qui ne recoupe que partiellement celui visé par la directive NIS-2 : les constructeurs de machines dotées de systèmes de contrôle en réseau, les fournisseurs de logiciels et d’applications, ainsi que les fabricants d’appareils connectés. Les fabricants suisses fournissant des produits à l’UE sont soumis à ce règlement sur les produits, quel que soit leur lieu d’établissement. La préparation porte davantage sur le processus que sur la forme : qui identifie une faille exploitée activement, qui décide de la signaler et qui transmet le rapport dans un délai d’un jour ouvré ?

Quel rapport doit être adressé à quelle autorité ?

En cas d’incident majeur, plusieurs obligations surviennent souvent simultanément. Cette répartition des responsabilités doit être documentée par écrit à l’avance :

• Infrastructures critiques suisses : BACS, dans les 24 heures, avec des informations complémentaires à fournir dans les 14 jours.
• Données à caractère personnel à haut risque, Suisse : le PFPDT conformément à l’article 24 de la loi suisse sur la protection des données (LPD).
• Données à caractère personnel présentant un intérêt pour l’UE : autorité de contrôle compétente, dans un délai de 72 heures conformément à l’article 33 du RGPD.
• Entité relevant de la directive NIS 2 : autorité nationale ou CSIRT, 24 heures, 72 heures, un mois.
• Entités soumises à la surveillance de la FINMA : notification préliminaire dans les 24 heures, rapport formel dans les 72 heures.
• Fabricants de produits numériques à compter de septembre 2026 : ENISA et CSIRT, 24 et 72 heures.

L’erreur la plus courante n’est pas de manquer le délai, mais de supposer qu’une notification remplace l’autre. Ce n’est pas le cas. Pour les établissements financiers de l’UE, les exigences sectorielles prévues par la directive DORA prévalent également.

Quelle solution de sécurité répondre à quel besoin ?

Pour les petites structures, les fournisseurs et les cabinets médicaux ne disposant pas de leur propre service informatique, les suites professionnelles compactes constituent un point de départ pragmatique : elles couvrent la protection des terminaux, les pare-feu, la défense contre les ransomwares et, dans une certaine mesure, la sauvegarde et le chiffrement, répondant ainsi à plusieurs des mesures de sécurité requises dans une seule et même offre. Le comparatif suivant évalue les trois produits mentionnés en fonction des critères qui font réellement pencher la balance lors d’achats motivés par la conformité.

Concernant les restrictions : la mention « Voir la note » fait référence à des fonctionnalités dont l’étendue varie en fonction de l’édition, du niveau de licence et de la version, et qui doivent être vérifiées à l’aide de la description actuelle du produit avant l’achat — cela s’applique en particulier aux modules serveur, aux quotas VPN et aux consoles de gestion. Le terme « partiel » fait référence à un ensemble de fonctionnalités limité, tel qu’un simple aperçu de l’état plutôt qu’une gestion complète des politiques. Ces trois produits sont des suites de sécurité pour terminaux destinées aux petits environnements et ne remplacent pas une plateforme EDR ou XDR ; les gammes de produits des fabricants respectifs, destinées aux grandes entreprises, sont conçues pour les organisations particulièrement critiques et pour les tests d’efficacité requis. En ce qui concerne le point « Utilisation dans les administrations publiques allemandes et les infrastructures KRITIS », il convient de noter que le BSI maintient jusqu’en 2026 son avertissement de 2022 au titre de l’article 7 de la BSIG concernant les produits Kaspersky ; le fabricant conteste cette évaluation. Pour les administrations publiques allemandes et les opérateurs d’infrastructures critiques, il s’agit d’un critère d’exclusion ; pour les autres entreprises, cela constitue une décision de risque devant faire l’objet d’une documentation dans le cadre du processus d’évaluation des fournisseurs.

Un logiciel de sécurité suffit-il pour répondre aux exigences ?

Non, et cette attente conduit régulièrement à des investissements malavisés. Les deux réglementations exigent des processus, des preuves et des responsabilités clairement définies. Une licence ne crée pas à elle seule une chaîne hiérarchique, un cadre basé sur les rôles ni une évaluation de l’efficacité.

Cependant, la technologie joue un rôle significatif — et mesurable qui plus est : la protection des terminaux et la sécurité des serveurs répondent aux exigences de sécurité des réseaux et des systèmes ; l’authentification multifactorielle (MFA) et la gestion des mots de passe traitent du contrôle d’accès ; la sauvegarde et la restauration testée garantissent la continuité d’activité ; le chiffrement satisfait aux exigences cryptographiques ; et un outil de mise à jour logicielle gère la gestion des vulnérabilités. Il est logique de suivre l’ordre inverse : clarifier d’abord l’étendue de l’impact, puis identifier les lacunes, et ce n’est qu’ensuite qu’il faut acquérir les solutions. Ceux qui achètent d’abord finissent par payer deux fois : une fois pour la licence et une fois pour le consultant qui doit rattraper son retard sur la documentation.

Quelles mesures concrètes les entreprises devraient-elles prendre dans les semaines à venir ?

Une démarche qui a fait ses preuves dans la pratique :

1. Répertorier les entités juridiques : quelle entreprise est implantée où, dans quel secteur, avec combien de salariés et quels indicateurs clés ?
2. Évaluer l’ampleur de l’impact par entité et par domaine d’activité, et consigner par écrit la justification des résultats — même si les conclusions sont négatives.
3. Effectuer les enregistrements : portail BSI en Allemagne, Autorité de cybersécurité en Autriche à partir d’octobre 2026, Cyber Security Hub pour les entités soumises à des obligations de déclaration en Suisse.
4. Élaborer un plan de signalement : déclencheurs, destinataires, délais, responsables et représentation en dehors des heures de bureau.
5. Réalisez une analyse des écarts par rapport aux dix domaines d’action, y compris une liste hiérarchisée des mesures et des échéances.
6. Passer en revue les contrats avec les prestataires de services informatiques afin de vérifier les obligations de déclaration et les exigences de sécurité.
7. Impliquer la direction : approuver les documents, organiser des formations et définir les risques résiduels acceptables.
8. Tester intégralement un processus de reprise et consigner sa durée.

Le point 8 est le plus révélateur. Il démontre, en l’espace d’une seule journée, à quel point le reste du système est réellement résilient.

Suggestions de titres

• La cybersécurité en Suisse et dans l’UE : qui doit signaler quoi d’ici 2026 ?
• Exigences de déclaration de l’ISG et seuils de la directive NIS 2 : quelles obligations s’appliquent en fonction de la taille de votre entreprise ?
• 24 heures pour signaler un incident : délais, seuils et responsabilité en vertu de l’ISG et de la directive NIS-2