La sécurité informatique d'une PME suisse repose d'abord sur quelques gestes de base : installer vite les mises à jour, protéger les accès, former l'équipe au hameçonnage et savoir qui appeler en cas d'incident. L'Office fédéral de la cybersécurité (OFCS), centre de compétences de la Confédération, publie des alertes et des recommandations pour les entreprises et reçoit leurs signalements. Ces mesures comptent, car un tiers des PME helvétiques ont déjà subi une cyberattaque, selon le magazine PME.
Cette page donne la vue d'ensemble du sujet. Elle complète la rubrique consacrée à protéger son entreprise, et distingue ce que disent les sources de notre propre analyse.
Chiffres clés
- Un tiers des PME helvétiques ont déjà subi une cyberattaque, selon le magazine PME.
- Le Govcert de l'OFCS classe les incidents selon un modèle à quatre niveaux, de « faible » à « critique ».
- La ligne d'astreinte de l'OFCS fonctionne 24h/24.
- Les exploitants d'infrastructures critiques doivent signaler leurs cyberincidents à l'OFCS depuis le 1er avril 2025.
- Le 21 octobre 2026, l'OFCS a signalé deux vulnérabilités critiques dans PHP, exploitables sans authentification.
Pourquoi une petite entreprise est-elle visée ?
Une PME n'a pas besoin d'être choisie pour être touchée. Beaucoup d'attaques sont automatisées : elles balaient Internet à la recherche de logiciels vulnérables, quel que soit leur propriétaire.
Le magazine en ligne Republik en a fait l'expérience en 2026. Des inconnus ont exploité une faille de Metabase, un outil d'analyse de données. Beaucoup d'éléments suggèrent une vague large et automatisée, visant toutes les installations de cet outil. Les attaquants y cherchaient des identifiants et des clés de services d'intelligence artificielle revendables.
Le second risque passe par les prestataires. Fin septembre 2026, une attaque contre un fournisseur de logiciel a permis de voler des données de la caisse de pension de la Ville de Zurich. La Caisse de pension bernoise et la Caisse d'assurance du corps enseignant bernois ont aussi perdu des données par un fournisseur externe. Ce mécanisme s'appelle une attaque par la chaîne d'approvisionnement.
Notre analyse : pour une PME, la protection ne s'arrête donc pas à ses propres ordinateurs. Elle suppose de savoir quels prestataires détiennent ses données.
Pourquoi les mises à jour passent-elles en premier ?
Une faille connue devient une porte d'entrée dès que des attaquants savent l'exploiter. Le correctif ne protège que s'il est installé.
Le cas Republik l'illustre. « La faille de sécurité était connue depuis le 6 août, mais nous n'avons pas pris à temps les contre-mesures nécessaires », a reconnu le magazine. Un accès non autorisé était en cours depuis août.
Exemple daté : le 21 octobre 2026, l'OFCS a recommandé de mettre à jour immédiatement les systèmes utilisant PHP. Deux vulnérabilités critiques pouvaient permettre d'exécuter du code malveillant sur un serveur, sans authentification. L'office demandait de vérifier les serveurs web, mais aussi les applications et les appareils qui intègrent PHP comme composant.
Pour une PME, ce conseil vise aussi le site internet, la boutique en ligne et les outils hébergés chez un prestataire. Roman Hüssy, coresponsable du Govcert à l'OFCS, cite une erreur fréquente : appliquer seulement une partie des recommandations, ce qui laisse les attaquants se propager.
Mot de passe ou double authentification : que choisir ?
L'authentification est le contrôle qui vérifie l'identité d'un utilisateur avant de lui ouvrir un système. Les identifiants volés sont une cible en soi, comme l'a montré la recherche de clés d'accès dans l'affaire Republik.
Le 19 octobre 2026, l'OFCS a publié « Cinq étapes pour une authentification sécurisée ». L'office y compare plusieurs moyens : mot de passe, clé d'accès ou carte à puce. Il propose une classification des moyens, des modes et des services d'authentification selon la sécurité qu'ils offrent.
Notre analyse : une PME gagne à faire l'inventaire de ses accès sensibles, comme la messagerie, l'e-banking ou l'administration du site. Elle peut ensuite choisir pour chacun un moyen plus solide qu'un simple mot de passe.
Comment préparer l'équipe au hameçonnage ?
Le hameçonnage consiste à piéger une personne par un faux message pour obtenir ses données ou ses accès. Les escrocs adaptent sans cesse leurs scénarios, ce qui rend la sensibilisation régulière utile.
L'OFCS publie chaque semaine des exemples concrets. Le 20 octobre 2026, il décrivait de fausses réservations d'hôtels servant à prendre le contrôle de comptes TWINT et d'e-banking. Le 13 octobre 2026, il mettait en garde contre des boutiques en ligne qui affichent un domaine .ch mais sont établies à l'étranger.
Notre analyse : les fuites de données rendent ces messages plus crédibles. Une combinaison de coordonnées, d'IBAN et de données personnelles permet d'écrire un courriel très ciblé. Le Cyber Security Month 2026 de l'OFCS portait d'ailleurs sur l'« oversharing », le partage excessif d'informations.
Ce partage concerne aussi les outils d'intelligence artificielle (IA). Le 16 octobre 2026, l'OFCS rappelait qu'introduire sans précaution des informations confidentielles ou commerciales dans une IA peut exposer ces données.
Que faire si l'entreprise subit une cyberattaque ?
En Suisse, l'entreprise touchée reste responsable de la gestion de son incident. « L'OFCS agit de manière subsidiaire », explique Roman Hüssy. Le Govcert fonctionne, selon lui, « comme un service d'incendie » : premiers secours et première évaluation technique.
Le circuit est simple. L'entreprise contacte l'OFCS par un formulaire ou par la ligne d'astreinte. L'incident est ensuite classé selon sa gravité. L'office n'a aucun pouvoir de directive : l'entreprise choisit elle-même entre une analyse forensique et des mesures immédiates.
Un plan de réaction préparé à l'avance répond à la seconde erreur citée par Roman Hüssy : des données de contact obsolètes, qui ralentissent les alertes. La liste des personnes à joindre, en interne et chez les prestataires, mérite donc une mise à jour régulière.
D'autres démarches peuvent suivre. La caisse de pension de la Ville de Zurich a déposé une plainte pénale. Republik a signalé sa fuite au Préposé fédéral à la protection des données et à la transparence. Pour les logiciels malveillants, l'OFCS a publié le 6 octobre 2026 les mesures à prendre en cas de suspicion d'infection.
Quels outils l'OFCS propose-t-il aux entreprises ?
L'OFCS est le premier interlocuteur des entreprises pour la cybersécurité en Suisse. Son site propose un profil « Entreprises et autorités » et un profil « Spécialistes IT ».
| Outil de l'OFCS | À quoi il sert pour une PME |
|---|---|
| Signalement volontaire | Annoncer un cyberincident et obtenir de l'aide pour les démarches |
| Ligne d'astreinte 24h/24 | Joindre le Govcert lors d'un incident en cours |
| Annonce de vulnérabilités | Signaler une faille ; l'OFCS lui attribue un numéro CVE |
| Alertes et revues hebdomadaires | Suivre les failles à corriger et les arnaques du moment |
| Statistiques des signalements | Mesurer les menaces signalées en Suisse |
Le signalement reste facultatif pour une PME. L'obligation de déclarer, en vigueur depuis le 1er avril 2025, vise les exploitants d'infrastructures critiques.
Ce que nos sources ne précisent pas
Les pages de l'OFCS et les articles consultés pour cette page ne détaillent pas de règle sur les sauvegardes hors ligne. Ils ne donnent pas non plus de budget type ni de liste de contrôle propre aux PME.
Sources
- Office fédéral de la cybersécurité
- Cyberattaque contre les caisses de pension (2clics.com, 16 octobre 2026)
