Obligation d’annonce des cyberattaques : ce que la LSI change pour vous

Depuis le 1er avril 2025, la loi sur la sécurité de l’information impose d’annoncer certaines cyberattaques à l’OFCS dans les 24 heures. Information générale : ne constitue pas un avis juridique.

Qui est concerné ? L’obligation vise les exploitants d’infrastructures critiques au sens de la LSI : énergie, approvisionnement en eau, transports, santé, finance, administrations, télécommunications, entre autres. Le périmètre exact dépend de la catégorie d’organisation et de son activité. Les exigences peuvent aussi être répercutées contractuellement sur des prestataires.

Ce qu’il faut annoncer, et quand : les cyberattaques qui menacent le fonctionnement de l’infrastructure critique, entraînent une fuite ou une manipulation de données, ou impliquent chantage, menace ou contrainte. Le délai est de 24 heures après la découverte. Si toutes les informations requises ne sont pas disponibles lors du signalement initial, l’OFCS prévoit un délai pour compléter le signalement. Depuis le 1er octobre 2025, le non-respect peut coûter jusqu’à CHF 100’000.

Pourquoi 24 heures est un délai intenable sans préparation : dans les premières heures d’un incident, l’équipe est occupée à contenir l’attaque, pas à rédiger des annonces. Les informations demandées (nature de l’attaque, systèmes touchés, chronologie, mesures prises) supposent un registre d’incident tenu en temps réel. Si votre processus consiste à reconstituer les faits après coup dans un document Word, le délai de 24 heures sera dépassé avant même que la question de l’annonce ne soit posée.

Comment s’organiser : les 4 briques. Un registre d’incidents structuré, où chaque événement de sécurité est consigné avec horodatage, systèmes concernés et mesures prises, au fil de l’eau. Un seuil de déclenchement écrit, qui définit qui décide qu’un incident est annonçable, sur quels critères, et qui envoie l’annonce (une personne, un suppléant, pas un comité). Un dossier d’annonce pré-rempli, où les informations stables (identité, secteur, contacts, description de l’infrastructure) sont prêtes à l’avance : le jour J, seuls les faits de l’incident restent à compléter. Un test annuel : un exercice sur table d’une heure suffit à vérifier que la chaîne fonctionne et que les accès au portail d’annonce sont valides.

Le point souvent oublié : la preuve. En cas de contrôle ou de litige, vous devrez démontrer que l’annonce a été faite dans les délais et que la chronologie fournie est fidèle. Un registre horodaté et scellé cryptographiquement transforme cette démonstration en simple export. C’est précisément ce que fait PREVORN : la timeline d’incident est construite en temps réel, scellée, et le dossier d’annonce se génère depuis le registre.