Un plan de réponse aux cyberattaques fixe à l'avance qui décide, qui alerter, comment restaurer les données et quoi dire aux clients. En Suisse, une petite ou moyenne entreprise (PME) reste responsable de son propre incident. L'Office fédéral de la cybersécurité (OFCS) n'intervient qu'en appui. Ce document répond donc à la question « que faire après une cyberattaque », annonces aux autorités comprises.
Ce plan complète les bases de la cybersécurité PME, comme les mises à jour et la double authentification. Il ne remplace pas la prévention : il organise les heures qui suivent une attaque. Cet article distingue les faits rapportés par nos sources et notre propre analyse.
Chiffres clés
- 6 % des PME suisses ont subi une cyberattaque grave en trois ans, selon l'étude « Cybersécurité des PME 2026 », contre 4 % en 2024 et en 2025.
- 7 % des PME ont déjà été victimes d'extorsion, selon la même étude.
- Neuf PME sur dix font des sauvegardes, mais un quart seulement teste régulièrement leur restauration.
- 40 % des PME seraient prêtes à signaler un incident à l'OFCS.
- La ligne d'astreinte de l'OFCS fonctionne 24h/24 ; les incidents y sont classés sur quatre niveaux, de « faible » à « critique ».
- Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent signaler leurs cyberincidents à l'OFCS.
Pourquoi une PME a-t-elle besoin d'un plan écrit ?
Parce que personne ne gère l'incident à sa place. « En Suisse, la gestion des incidents relève de la responsabilité propre de l'organisation touchée, l'OFCS agit de manière subsidiaire », explique Roman Hüssy au magazine PME. Il est coresponsable du Govcert, l'équipe d'intervention de l'OFCS.
L'office n'a aucun pouvoir de directive. C'est l'entreprise qui choisit entre une analyse forensique, pour comprendre l'attaque, et des mesures immédiates pour la contenir. Notre analyse : ce choix se prend plus sereinement s'il a été discuté avant l'incident.
Ce type de plan reste peu répandu. Selon l'étude cybersécurité PME 2026, publiée le 22 octobre 2026, les plans d'urgence sont nettement moins fréquents que les mesures techniques. L'étude ne chiffre pas précisément leur part. Les audits de sécurité et le contrôle des fournisseurs accusent le même retard.
Pour mesurer son point de départ, un test cybersécurité PME donne un premier état des lieux. Les entreprises qui cherchent un cadre plus complet peuvent s'appuyer sur la norme minimale TIC (technologies de l'information et de la communication) de la Confédération.
Qui fait quoi pendant une cyberattaque ?
La première décision consiste à nommer une personne responsable au niveau de la direction. L'étude 2026 en fait sa première piste et observe que davantage de PME le font. La cybersécurité devient ainsi une affaire de direction, plus seulement de service informatique.
Notre analyse : un plan utile répartit au moins trois rôles, avec des noms et non des fonctions vagues.
- la personne qui décide : couper un système, choisir l'analyse ou la remise en route, porter plainte ;
- la personne ou le prestataire qui mène le travail technique et applique les recommandations reçues ;
- la personne qui parle aux collaborateurs, aux clients et aux autorités.
Quels contacts inscrire dans le plan ?
Une liste de contacts à jour est la partie la plus simple du plan, et la plus souvent négligée. Roman Hüssy cite parmi les erreurs fréquentes des données de contact obsolètes, qui ralentissent les alertes.
Nos sources permettent d'en poser la base :
- l'OFCS, joignable par un formulaire de signalement ou par sa ligne d'astreinte 24h/24 ;
- le Préposé fédéral à la protection des données et à la transparence (PFPDT), à Berne, dont la hotline répond du lundi au vendredi de 10 h à 11 h 30, au 058 462 43 95 ;
- les prestataires informatiques et les fournisseurs de logiciels qui détiennent des données de l'entreprise.
Les prestataires méritent une place à part. Fin septembre 2026, une attaque contre un fournisseur de logiciel a permis de voler des données de la caisse de pension de la Ville de Zurich. Ces données lui avaient été transférées en vue d'un changement de système de gestion. Notre analyse : une PME doit savoir qui détient ses données, et qui appeler chez chacun.
Pourquoi tester ses sauvegardes, et pas seulement les faire ?
Une sauvegarde ne protège que si elle se restaure à temps. Selon l'étude 2026, neuf PME sur dix font des sauvegardes, mais un quart seulement teste régulièrement leur restauration.
« Il ne suffit pas de sauvegarder les données. Les PME doivent tester régulièrement si elles peuvent reprendre rapidement leur activité après une cyberattaque », souligne Anu Anthamatten, cheffe de projet chez digitalswitzerland.
L'enjeu se mesure en temps de travail. Parmi les 44 PME touchées de l'échantillon, le gros travail de remise en état revient 16 fois, autant que la charge émotionnelle. Le dommage financier n'arrive qu'ensuite, avec 10 mentions.
Notre analyse : le plan peut fixer la fréquence des tests de restauration et la personne qui les mène. Nos sources ne donnent ni règle sur les sauvegardes hors ligne ni fréquence recommandée.
Que faire dans les premières heures après une cyberattaque ?
Le circuit décrit par l'OFCS commence par un contact. L'entreprise touchée joint l'office par formulaire ou par la ligne d'astreinte. Le Govcert fournit alors, selon Roman Hüssy, les premiers secours et une première évaluation technique, « comme un service d'incendie ». L'incident est ensuite classé selon sa gravité.
Les recommandations reçues doivent être appliquées jusqu'au bout. Roman Hüssy cite leur mise en œuvre partielle comme une erreur fréquente, car elle laisse les attaquants se propager.
Le cas du magazine en ligne Republik, en 2026, montre le coût d'un retard. Des inconnus ont exploité une faille de Metabase, un outil d'analyse de données. « La faille de sécurité était connue depuis le 6 août, mais nous n'avons pas pris à temps les contre-mesures nécessaires », a reconnu le magazine.
Pour les logiciels malveillants, l'OFCS a publié le 6 octobre 2026 les mesures à prendre en cas de suspicion d'infection. Notre analyse : le plan gagne à renvoyer vers ces pages officielles plutôt qu'à recopier des consignes techniques appelées à changer.
Quelles annonces faire après l'incident ?
Trois démarches reviennent dans les cas suisses récents, et elles ne visent pas les mêmes destinataires.
| Démarche | Qui est concerné | Ce que disent nos sources |
|---|---|---|
| Signalement à l'OFCS | Toute entreprise ; obligatoire pour les exploitants d'infrastructures critiques | Volontaire pour une PME ; obligation de signaler sans délai depuis le 1er avril 2025 pour les infrastructures critiques |
| Annonce au PFPDT | Entreprise dont des données personnelles ont pu être touchées | Republik et le fournisseur PK Softech ont signalé leur incident au Préposé |
| Plainte pénale | Entreprise victime de l'attaque | La caisse de pension de la Ville de Zurich a déposé une plainte pénale |
L'OFCS reçoit les signalements volontaires des entreprises et les aide à mener les démarches nécessaires. Pour une PME qui n'exploite pas d'infrastructure critique, ce signalement reste facultatif.
Le Préposé est l'autorité de surveillance de la protection des données. Il veille à ce que les entreprises privées ne traitent pas de données personnelles de manière illicite. Ses questions donnent une idée de ce qu'une PME doit pouvoir documenter.
Exemple daté : PK Softech, fournisseur de logiciels de plusieurs caisses de pension, a signalé une attaque au Préposé le 8 octobre 2026. Le 23 octobre 2026, celui-ci a ouvert une enquête formelle contre l'entreprise. Il veut établir trois points :
- les données personnelles que les caisses avaient confiées au fournisseur ;
- le cadre juridique de ces transferts et son application en pratique ;
- l'étendue des informations volées.
Notre analyse : une PME qui tient un inventaire de ses données et de ses prestataires peut répondre plus vite à ces questions. Le plan est le bon endroit pour le conserver.
Comment informer les clients et le personnel ?
Les personnes concernées veulent d'abord savoir ce qui fonctionne encore. La Ville de Zurich a indiqué que sa caisse et le versement des rentes restaient fonctionnels. La caisse de pension de La Poste a précisé que la fortune de prévoyance et les rentes n'étaient pas menacées.
Elles veulent ensuite savoir quelles données sont en jeu. La caisse de La Poste a listé les données qui pouvaient avoir été touchées, comme le nom, l'adresse et le numéro d'assurance sociale. Republik a détaillé les catégories consultées et précisé qu'aucune donnée de carte de crédit n'avait fuité.
Notre analyse : une fuite rend les escroqueries plus crédibles. Des coordonnées combinées à un numéro IBAN permettent d'écrire un courriel frauduleux très ciblé. Mettre en garde clients et collaborateurs contre ces messages a donc sa place dans la communication prévue par le plan.
Le calendrier compte aussi. Dans le cas des caisses de pension, il revenait à chaque caisse d'informer les personnes concernées une fois son analyse terminée.
Ce que nos sources ne précisent pas
- Les conditions légales et le délai d'une annonce au PFPDT après une violation de données.
- Une règle sur les sauvegardes hors ligne ou une fréquence de test recommandée.
- Un modèle officiel de plan de réponse destiné aux PME, ou la part exacte des PME qui en ont un.
D'autres ressources figurent dans la rubrique protéger son entreprise.
