Obligation d’annonce des cyberattaques : ce que la LSI change pour vous

Depuis le 1er avril 2025, la loi sur la sécurité de l’information impose d’annoncer certaines cyberattaques à l’OFCS dans les 24 heures. Information générale : ne constitue pas un avis juridique.

Qui est concerné ? L’obligation vise les exploitants d’infrastructures critiques au sens de la LSI : énergie, approvisionnement en eau, transports, santé, finance, administrations, télécommunications, entre autres. L’OFCS estime qu’environ 300 organisations sont directement visées. Mais le cercle réel est bien plus large : les organisations soumises répercutent contractuellement des exigences de notification sur leurs prestataires. Si vous fournissez un service IT, un logiciel ou une prestation critique à un hôpital, une commune ou un distributeur d’énergie, votre contrat contient probablement déjà, ou contiendra bientôt, une clause de notification d’incident en quelques heures.

Ce qu’il faut annoncer, et quand : les cyberattaques qui menacent le fonctionnement de l’infrastructure critique, entraînent une fuite ou une manipulation de données, ou impliquent chantage, menace ou contrainte. Le délai est de 24 heures après la découverte, avec un rapport complémentaire attendu sous 14 jours, à adresser à l’Office fédéral de la cybersécurité (OFCS) via son portail d’annonce. Depuis le 1er octobre 2025, le non-respect peut coûter jusqu’à CHF 100 000.

Pourquoi 24 heures est un délai intenable sans préparation : dans les premières heures d’un incident, l’équipe est occupée à contenir l’attaque, pas à rédiger des annonces. Les informations demandées (nature de l’attaque, systèmes touchés, chronologie, mesures prises) supposent un registre d’incident tenu en temps réel. Si votre processus consiste à reconstituer les faits après coup dans un document Word, le délai de 24 heures sera dépassé avant même que la question de l’annonce ne soit posée.

Comment s’organiser : les 4 briques. Un registre d’incidents structuré, où chaque événement de sécurité est consigné avec horodatage, systèmes concernés et mesures prises, au fil de l’eau. Un seuil de déclenchement écrit, qui définit qui décide qu’un incident est annonçable, sur quels critères, et qui envoie l’annonce (une personne, un suppléant, pas un comité). Un dossier d’annonce pré-rempli, où les informations stables (identité, secteur, contacts, description de l’infrastructure) sont prêtes à l’avance : le jour J, seuls les faits de l’incident restent à compléter. Un test annuel : un exercice sur table d’une heure suffit à vérifier que la chaîne fonctionne et que les accès au portail d’annonce sont valides.

Le point souvent oublié : la preuve. En cas de contrôle ou de litige, vous devrez démontrer que l’annonce a été faite dans les délais et que la chronologie fournie est fidèle. Un registre horodaté et scellé cryptographiquement transforme cette démonstration en simple export. C’est précisément ce que fait PREVORN : la timeline d’incident est construite en temps réel, scellée, et le dossier d’annonce se génère depuis le registre.