Qui est soumis à l’obligation
La loi sur la sécurité de l’information (LSI) dresse la liste des autorités et organisations assujetties à son article 74b. L’OFCS cite par exemple les entreprises de l’approvisionnement en énergie et en eau potable, les entreprises de transport et les autorités cantonales ou communales. L’ordonnance sur la cybersécurité (OCyS) prévoit des exceptions, mais pas pour toutes les catégories : son exemption des entités de moins de 50 personnes et de 10 millions de francs ne vise que certaines d’entre elles.
Vous hésitez ? Selon l’OFCS, l’office indique aux organisations intéressées si elles sont soumises à l’obligation et rend une décision sur demande.
Ce qu’il faut signaler, et dans quels délais
Une cyberattaque doit être signalée lorsqu’elle met en péril le fonctionnement de l’infrastructure, entraîne une manipulation ou une fuite d’informations, est restée longtemps inaperçue ou s’accompagne de chantage, de menaces ou de contrainte.
La première communication intervient dans les 24 heures, même sans informations précises. Le signalement se complète ensuite dans les quatorze jours. Depuis le 1er octobre 2025, ne pas se conformer à une décision de l’OFCS fixant un délai pour signaler expose à une amende. La FAQ précise aussi que vous n’êtes pas tenu de fournir des informations susceptibles de vous incriminer pénalement.
Prestataires et fournisseurs : qui signale ?
L’obligation incombe toujours à l’organisation touchée par l’attaque. Si un fournisseur de logiciels ou de cloud est attaqué, c’est à lui de signaler, s’il est assujetti. L’OFCS demande toutefois aux utilisateurs de lui transmettre les indices qu’ils constatent.
Le cas inverse mérite attention : selon la FAQ de l’OFCS, un prestataire informatique qui subit une attaque alors que ses clients sont des infrastructures critiques doit faire une déclaration conformément à la LSI et à l’ordonnance sur la cybersécurité. Pour une commune, par exemple, le prestataire peut aussi signaler au nom de l’organisation touchée, à condition que ce soit documenté. En cas de doute sur votre propre situation, l’OFCS rend une décision sur demande.
Non assujetti : le signalement volontaire
Une entreprise non soumise peut annoncer un incident par le formulaire de déclaration volontaire de l’OFCS, qui le recommande. Ces annonces l’aident à repérer des tendances. Elles ne remplacent aucune autre démarche.
Trois annonces distinctes
OFCS. Pour les organisations assujetties, selon la LSI ; pour les autres, sur une base volontaire.
PFPDT. Selon l’article 24 de la loi sur la protection des données, le responsable du traitement annonce dans les meilleurs délais une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées. L’OFCS indique qu’il peut transmettre un signalement au PFPDT si le déclarant le demande expressément.
Assureur. Votre police cyber ou vos autres contrats ont leurs propres procédures. La loi sur le contrat d’assurance demande d’aviser l’assureur dès que vous avez connaissance du sinistre.
Exemple illustratif : un rançongiciel dans une fiduciaire
Une fiduciaire de 25 personnes découvre un lundi matin des fichiers chiffrés et une demande de rançon. Elle n’exploite pas d’infrastructure critique : aucune obligation de signaler à l’OFCS. Elle appelle la ligne d’urgence de son assureur cyber, isole les postes et documente la chronologie.
Les données de clients ont pu être consultées. La direction fait évaluer le risque pour les personnes concernées en vue d’une éventuelle annonce au PFPDT, puis remplit le formulaire volontaire de l’OFCS.
Checklist
- Assujettissement LSI vérifié, décision de l’OFCS demandée en cas de doute.
- Clients relevant d’infrastructures critiques identifiés.
- Responsable et suppléant capables de signaler en 24 heures.
- Évaluation du risque pour les données personnelles prévue.
- Numéro d’urgence et procédure de l’assureur accessibles hors ligne.
- Chronologie et décisions consignées dès la détection.
FAQ
Les particuliers doivent-ils signaler ?
Non. L’OFCS encourage toutefois les annonces volontaires.
Le signalement à l’OFCS vaut-il déclaration à l’assureur ?
Non. Ce sont deux démarches distinctes, avec des destinataires et des conditions différents.
Pour aller plus loin
Cyberattaque : quels frais vérifier · Assurance cyber · Gestion des sinistres
Sources consultées les 07 et 08.11.2026
- OFCS — Obligation de signaler les cyberattaques contre des infrastructures critiques.
- OFCS — Communiqué du 07.03.2025 sur l’entrée en vigueur.
- OFCS — FAQ concernant l’obligation de signaler.
- OFCS — Déclaration volontaire.
- Fedlex — Loi sur la protection des données, art. 24.
- Fedlex — Loi sur la sécurité de l’information (LSI), art. 74a à 74h.
- Fedlex — Ordonnance sur la cybersécurité (OCyS), art. 12 et 16.