La norme minimale pour les technologies de l'information et de la communication (TIC) est le référentiel de cybersécurité de la Confédération. Élaborée par l'Office fédéral pour l'approvisionnement économique du pays (OFAE), elle relève depuis mars 2024 de l'Office fédéral de la cybersécurité (OFCS). Obligatoire pour l'électricité et le gaz, elle est recommandée aux autres organisations, PME comprises.
Pour une petite ou moyenne entreprise (PME), elle sert surtout de liste de contrôle. L'OFCS la présente comme une « liste de contrôle pour la sécurité technique de base ». Elle prolonge ainsi les gestes de la cybersécurité PME par un cadre plus structuré.
Cette page explique d'où vient la norme, ce qu'elle contient et comment une PME peut s'en servir. Elle distingue les faits publiés par la Confédération, les déclarations des experts et notre propre analyse.
Qu'est-ce que la norme minimale TIC ?
La norme minimale TIC est un référentiel de sécurité informatique destiné à protéger les infrastructures critiques des cyberrisques. Sont visés des secteurs vitaux comme l'électricité, l'approvisionnement en eau, les transports publics ou les denrées alimentaires.
Son point de départ est un principe posé par l'OFCS. Chaque entreprise ou organisation doit d'abord se protéger elle-même. Mais quand des infrastructures critiques sont en jeu, l'État doit veiller à leur bon fonctionnement.
Ce devoir découle de la loi du 17 juin 2016 sur l'approvisionnement du pays (LAP ; RS 531). Selon l'OFCS, la norme traduit la volonté de l'État de protéger la population, l'économie, les institutions et les administrations.
Qui a publié la norme minimale TIC, et qui la gère aujourd'hui ?
La norme est née à l'OFAE. Cet office a élaboré des mesures préventives pour renforcer la résilience des infrastructures informatiques critiques. Il a ensuite décliné la norme générale en normes propres à chaque secteur.
Les compétences ont changé avec la création de l'OFCS, centre de compétences de la Confédération en cybersécurité. Depuis mars 2024, c'est l'OFCS qui est responsable de la norme minimale TIC.
Pour élaborer les normes sectorielles, l'OFCS travaille avec les interprofessions des secteurs critiques concernés. Les branches participent ainsi à l'adaptation du référentiel.
Pour qui la norme est-elle obligatoire ?
La norme est une recommandation pour tous les exploitants d'infrastructures critiques. Elle n'est contraignante que pour deux secteurs :
- l'électricité, depuis le 1er juillet 2024 ;
- le gaz, depuis le 1er juillet 2025.
Pour les autres entreprises, elle reste facultative. L'OFCS précise qu'elle les aide aussi à améliorer leur propre résilience informatique. Une PME de services, un commerce ou un artisan peuvent donc l'utiliser librement, sans obligation de se conformer.
Que contient concrètement le référentiel ?
Le référentiel se compose de plusieurs documents publiés par l'OFCS. La page officielle en propose trois types :
- le document de référence « TIC - Normes minimales - 2023 », en PDF, mis en ligne le 20 décembre 2024 ;
- un outil d'auto-évaluation au format Excel (révision 5), publié le 2 juin 2023 ;
- des normes minimales sectorielles.
Les normes sectorielles couvrent plusieurs domaines. Il s'agit de l'approvisionnement en eau, des eaux usées, de l'approvisionnement en denrées alimentaires et en gaz. S'y ajoutent les transports publics, l'électricité, l'élimination des déchets, le chauffage et le froid à distance, ainsi que les biens culturels numériques.
Notre analyse : l'outil d'auto-évaluation est la porte d'entrée la plus pratique pour une PME. Il permet de mesurer où elle se situe avant de décider quoi améliorer.
Comment une PME peut-elle appliquer la norme minimale TIC ?
Une PME peut partir des mesures techniques que l'OFCS rattache à la norme minimale TIC. Sur sa page consacrée à la protection de base, l'office en cite six :
- recenser l'environnement TIC, c'est-à-dire savoir quels appareils, logiciels et services l'entreprise utilise ;
- sauvegarder les données ;
- installer les mises à jour de sécurité ;
- utiliser un antivirus et des pare-feu ;
- sécuriser les accès à distance ;
- segmenter les réseaux, pour qu'une intrusion ne gagne pas tout le système.
La technique ne suffit pas, insiste l'OFCS. Les mesures organisationnelles doivent la compléter. L'office cite notamment la sensibilisation du personnel, l'authentification à plusieurs facteurs et des responsabilités claires pour le cloud et l'informatique externalisée.
L'OFCS en fait une mission de direction, pas une simple tâche du service informatique. La direction décide où investir pour protéger les processus critiques. Quand une mesure coûte cher, l'office recommande de peser son coût face au risque de ne rien faire.
Pour aller plus loin, la rubrique protéger son entreprise rassemble nos pages pratiques sur le sujet.
Chiffres clés
- Mars 2024 : l'OFCS reprend la responsabilité de la norme minimale TIC.
- 1er juillet 2024 : la norme devient contraignante pour le secteur de l'électricité.
- 1er juillet 2025 : elle le devient pour le secteur du gaz.
- Plus de 80 % des PME suisses font leurs mises à jour logicielles, selon l'étude « PME Cybersécurité 2026 ».
- Une PME sur quatre seulement vérifie qu'elle peut restaurer ses sauvegardes, selon la même étude.
Où en sont les PME suisses face à ce référentiel ?
L'étude « PME Cybersécurité 2026 », menée par la Mobilière avec plusieurs partenaires, donne un état des lieux. L'OFCS en a relayé les résultats le 22 octobre 2026.
Sur le plan technique, les PME s'en sortent plutôt bien. Plus de 80 % installent les mises à jour logicielles et neuf sur dix sauvegardent leurs données. L'authentification multifacteur fait partie du quotidien de nombreuses entreprises.
Le retard est organisationnel. Environ un tiers seulement forme régulièrement son personnel ou fait l'inventaire de ses systèmes informatiques. Une PME sur quatre seulement vérifie qu'elle peut vraiment restaurer ses données en cas d'urgence.
Notre analyse : l'inventaire des systèmes est justement la première mesure technique liée à la norme minimale TIC. C'est là qu'une PME a le plus de marge.
L'enjeu reste concret. « Au cours des trois dernières années, quelque 35'000 PME suisses ont subi une cyberattaque », déclare Jesús Pampín, responsable du centre de compétences Cyber Risk de la Mobilière.
Exemple daté : que montre la faille PHP du 21 octobre 2026 ?
Le mercredi 21 octobre 2026, deux failles critiques ont été signalées dans PHP, un langage de programmation utilisé par de très nombreux sites web. L'OFCS a recommandé de mettre à jour immédiatement les systèmes concernés.
Ces failles permettaient de prendre le contrôle d'un site sans mot de passe, selon le magazine PME. Les attaquants pouvaient aussi voler des données ou installer des logiciels malveillants. Des détails avaient fuité avant que le correctif soit disponible.
Plusieurs hébergeurs suisses ont alors coupé l'accès aux sites de leurs clients. Chez Cyon, à Bâle, plus de 100'000 sites web se sont retrouvés hors ligne. Les clients de l'éditeur saint-gallois Bexio, surtout des PME, ont subi une interruption de plusieurs heures, selon le portail « Inside Paradeplatz ».
Notre analyse : l'épisode illustre deux mesures de la liste de l'OFCS. Il faut savoir quels sites et outils reposent sur PHP, ce qui suppose un inventaire. Et il faut pouvoir installer un correctif rapidement.
Combien une faille peut-elle coûter à une PME ?
Le coût dépend de ce qui était prévu. « Dans le meilleur des cas, les entreprises ne supportent que les coûts d'une mise à jour d'urgence et de petites actualisations logicielles », explique Nicolas Mayencourt, fondateur et CEO de l'entreprise bernoise Dreamlab Technologies, à Blick, cité par le magazine PME.
Un site hors ligne pendant des heures ou des jours entraîne des pertes de chiffre d'affaires. Une boutique en ligne n'enregistre plus de commandes et un prestataire peut perdre des réservations.
Le pire scénario est le chantage après une intrusion. « Cela se chiffre rapidement en millions », avertit Nicolas Mayencourt. Selon lui, il y a déjà eu en Suisse des faillites dues à des attaques par rançongiciel.
L'expert rappelle aussi que les mesures fondamentales « ne sont généralement même pas particulièrement coûteuses ». Il cite des logiciels à jour, des sauvegardes régulières conservées hors ligne et l'authentification à deux facteurs pour les systèmes sensibles. Ces précautions empêchent les attaquants de se propager librement dans le réseau.
Notre analyse : ces conseils recoupent largement les mesures que l'OFCS associe à la norme minimale TIC. Le référentiel n'empêche pas toute attaque, mais il limite les dégâts quand une faille survient.
Ce que nos sources ne précisent pas
Les pages web de l'OFCS ne détaillent pas la structure interne du document de référence. Son contenu complet figure dans le PDF « TIC - Normes minimales - 2023 », que nous n'avons pas analysé pour cette page.
Nos sources ne donnent pas non plus de budget type pour une PME. Elles ne précisent pas davantage le temps nécessaire pour remplir l'outil d'auto-évaluation.
