Les obligations légales en cybersécurité : ce que tout dirigeant d’entreprise suisse doit savoir
Par SPIE ICS SA
Deux points méritent d'être notés :
1. Conformément à l’article 716a, alinéa 1.1, CO, le conseil d’administration est responsable de la cybersécurité.
2. La Suisse ne dispose pas d'une véritable « loi sur la cybersécurité ». Les règles et interdictions en la matière découlent de différentes lois.
La cybersécurité n’est plus uniquement une question de protection technique. Les entreprises suisses doivent désormais répondre à des obligations légales de plus en plus strictes, en particulier lorsqu’elles dépassent les 200 employés. Le paysage numérique évolue rapidement, les menaces se multiplient et la cybercriminalité représente aujourd’hui des coûts mondiaux estimés à plusieurs milliards de dollars. Dans ce contexte, les dirigeants ne peuvent plus considérer la sécurité des systèmes comme une simple formalité technique. Elle fait partie des responsabilités essentielles et engage directement l’entreprise sur la confidentialité, l’intégrité et la disponibilité des données.
Une prise de conscience nécessaire face aux nouvelles exigences
Dans des environnements où les organisations sont de plus en plus vulnérables aux cyberattaques, la prise de conscience doit être immédiate. Les dirigeants doivent comprendre que la réglementation suisse ne se limite pas à des obligations théoriques. Elle impose des actions concrètes pour protéger les données personnelles et professionnelles, éviter la violation de données et réduire le risque de vol de données. Une particularité suisse : la législation sur la protection des données prévoit des obligations générales en matière de cybersécurité. Une étude récente montre que les attaques exploitant des failles de sécurité dans les logiciels ou applications mobiles augmentent fortement, touchant aussi bien les grandes entreprises que les institutions publiques.
Les exigences légales s’étendent à toute la chaîne organisationnelle, depuis les équipes internes jusqu’aux partenaires externes. Chaque membre de l’entreprise devient ainsi un acteur clé de la sécurité.
Cybersécurité pour les entreprises exposées
Les entreprises de grande taille sont particulièrement exposées aux menaces. Leur dimension organisationnelle crée davantage de points d’entrée pour une cyberattaque et augmente le nombre de données sensibles à protéger.
Ces exigences incluent plusieurs volets:
- Mise en place d’un système formel de gestion de la cybersécurité
- Mise à jour continue pour réduire les failles de sécurité
- Documentation de chaque application critique
- Mise en conformité stricte avec les lois en vigueur dans les différents états concernés lorsque l’entreprise est internationale
- Maintien d’un centre de compétences interne ou externe capable de répondre rapidement à une menace
- Vérification continue de l’identité de l’expéditeur sur chaque message sensible
- Processus dédiés à la détection et au traitement d’un incident en ligne
Protection des données
La loi fédérale sur la protection des données impose aux entreprises le devoir de sécuriser les informations personnelles via des mesures techniques adaptées et régulièrement testées.
Normes minimales et obligations sectorielles
Les infrastructures critiques sont soumises à des obligations de déclaration (ISG/CSV) ainsi qu'à des obligations renforcées en matière de cybersécurité. D'autres obligations peuvent également découler de réglementations (par exemple, celles de la FINMA) ou de normes sectorielles.
Contrats et responsabilités
Les entreprises doivent souvent prouver leur conformité dans leurs relations contractuelles, notamment lorsqu’elles collaborent avec des partenaires technologiques ou des spécialistes externes. Il convient de noter que la réglementation européenne NIS 2 peut également avoir des répercussions directes sur la Suisse, dans la mesure où des fournisseurs suisses livrent leurs produits dans l'UE.
Les mesures indispensables pour garantir la résilience
Pour assurer le succès de leur stratégie de cybersécurité et rester en conformité avec la loi suisse, les entreprises doivent adopter une approche structurée.
Gouvernance et pilotage
Les dirigeants devraient mettre en place un comité dédié, ancré comme centre de compétences, et définir clairement les rôles des équipes internes et des prestataires.
Gestion du risque
Chaque organisation devrait dresser une cartographie de ses actifs, identifier les systèmes vulnérables aux cyberattaques et établir des plans de mitigation réalistes.
Formation continue
La formation des équipes reste indispensable. Les collaborateurs doivent reconnaître un message suspect, détecter un lien frauduleux et comprendre le rôle central de la vigilance quotidienne.
Protection technique
Les mesures techniques doivent inclure la segmentation du réseau, le monitoring des accès, la gestion rigoureuse des droits et la mise à jour systématique des environnements.
Plan d’intervention
L’entreprise doit prévoir des scénarios réalistes, préparer des exemples d’incidents possibles et garantir une réaction rapide en cas d’attaque.
Conclusion
La cybersécurité en Suisse repose sur une combinaison de conformité légale, de résilience opérationnelle et d’implication active de la direction. Elles doivent intégrer une approche globale, documentée et alignée sur les standards, sous peine de subir des incidents majeurs aux conséquences financières et réputationnelles lourdes. En maîtrisant les obligations et en structurant des processus robustes, les dirigeants posent les bases d’une sécurité durable et d’un succès stratégique.