Cyberattaque : décider en 24 heures

À 8 h 17, une équipe repère des connexions anormales. À 9 h, elle ignore encore si des données ont quitté le système. Pourtant, le chronomètre réglementaire peut déjà avoir commencé. Depuis le 1er avril 2025, certains exploitants d’infrastructures critiques doivent signaler à l’Office fédéral de la cybersécurité les attaques visées dans les 24 heures suivant leur détection. Le premier piège serait d’attendre un diagnostic parfait ; le second, d’annoncer sans avoir identifié le bon périmètre ni le responsable de la décision. Cette lecture suit les premières heures d’un incident : ce que l’organisation doit qualifier, qui décide, comment traiter les informations manquantes et pourquoi la communication devient aussi une question de confiance commerciale. Elle montre ensuite comment un spécialiste cyber pourrait transformer cette tension en exercice de crise achetable, puis en relation suivie — sans présenter un scénario comme une campagne déjà exécutée ni convertir les statistiques officielles en taille de marché.

L’obligation suisse de signaler une cyberattaque ajoute une décision réglementaire au traitement technique de certains incidents. Depuis le 1er avril 2025, les exploitants concernés doivent relier détection, périmètre, effets observés, responsabilité et transmission à l’OFCS dans un délai de 24 heures.

Le Parlement avait adopté la modification de la loi sur la sécurité de l’information le 29 septembre 2023. Le Conseil fédéral a ensuite fixé l’entrée en vigueur de la loi révisée et de l’ordonnance sur la cybersécurité au 1er avril 2025. La règle ne vise pas indistinctement toutes les entreprises : elle concerne les autorités et organisations définies comme exploitants d’infrastructures critiques, sous réserve des exceptions prévues.

Lecture du schéma. Le délai impose une décision suffisamment fondée, pas une certitude absolue. La première transmission peut être complétée dans les quatorze jours.

Alternative textuelle. L’équipe horodate le signal, qualifie le périmètre et les effets, puis transmet avant 24 heures si le seuil est franchi ou si l’incertitude ne peut pas être levée à temps. Les informations manquantes suivent dans le dossier définitif.

Sources du schéma. OFCS, Information sur l’obligation de signaler et Questions fréquentes.

L’OFCS cite notamment l’approvisionnement en énergie et en eau potable, les transports ainsi que les administrations cantonales et communales. Son rapport annuel 2025 renvoie aux articles 73 et suivants de la loi sur la sécurité de l’information, à l’article 74b pour les organisations assujetties et à l’ordonnance sur la cybersécurité pour les exceptions. Lorsqu’une organisation doute de son assujettissement, l’OFCS peut rendre une décision sur demande. Ce point est décisif : un intitulé de secteur ne suffit pas à conclure.

Les 24 heures commencent à la détection de la cyberattaque, pas à la fin de l’enquête technique. Une organisation concernée doit donc conserver l’heure du premier signal fiable, attribuer immédiatement la qualification et préparer un signalement même lorsque certaines informations restent inconnues.

Le mot « détection » oblige à distinguer trois instants : le signal brut, sa reconnaissance comme événement de sécurité et la découverte d’éléments qui peuvent déclencher l’obligation. Une procédure utile nomme la personne qui tranche cette articulation et garde une trace de ce qu’elle savait à chaque étape. Sans journal horodaté, la discussion se reconstruit après coup et la direction ne sait plus sur quelle base elle a décidé.

Les incidents franchissent le seuil de signalement lorsqu’ils touchent une organisation assujettie et présentent l’un des effets prévus : mise en péril du fonctionnement, manipulation ou fuite d’informations, détection tardive, chantage, menace ou contrainte. Une attaque sans conséquence sur la fonction critique n’entraîne pas automatiquement l’obligation.

Cette qualification — organisation puis événement — évite d’assimiler toute alerte à un dossier obligatoire. L’OFCS donne l’exemple d’une attaque par déni de service contre une application non critique : si les services essentiels ne sont pas affectés et qu’aucun risque de propagation n’apparaît, le seul arrêt de cette application ne suffit pas automatiquement.

Le dossier des premières heures doit répondre simplement : quelle fonction critique dépend du système atteint ? Quel effet est déjà constaté ? Quelles données ou informations pourraient avoir été manipulées ou divulguées ? Une extorsion accompagne-t-elle l’attaque ? Depuis combien de temps l’événement était-il présent avant sa découverte ? Les réponses peuvent évoluer ; leur origine et leur heure doivent rester visibles.

La décision appartient à l’organisation touchée, même lorsqu’un prestataire l’aide à analyser l’attaque ou à transmettre le signalement. Les équipes techniques établissent les faits, les métiers décrivent les conséquences, la direction attribue l’arbitrage et le partenaire prépare les preuves sans devenir responsable par défaut.

L’OFCS précise qu’un prestataire informatique ou un fournisseur de services managés peut effectuer une annonce au nom d’un client dans certains cas, mais que cette délégation doit être documentée. Elle ne supprime pas la responsabilité de l’organisation concernée. Une adresse de groupe ou le nom générique d’un service ne remplace donc ni un titulaire ni son suppléant joignable.

L’incertitude doit être traitée dès l’alerte comme une information à attribuer, pas comme une raison d’attendre. Chaque fait est classé comme confirmé, probable ou inconnu ; chaque inconnue reçoit un responsable, une prochaine vérification et un effet explicite sur la décision.

L’OFCS indique qu’une première communication doit partir dans les 24 heures même si l’organisation ne dispose pas encore de toutes les informations. Le signalement définitif peut suivre dans les quatorze jours. Cette possibilité protège la vitesse, à condition de ne pas présenter une hypothèse comme un fait.

Trois scénarios rendent la décision plus lisible. Dans le premier, la fonction critique est clairement touchée : l’escalade et la transmission ne doivent pas attendre le rapport d’investigation. Dans le deuxième, l’effet reste incertain mais les indices concordent : l’organisation transmet ce qu’elle sait et documente les vérifications en cours. Dans le troisième, l’application atteinte n’a aucun lien démontré avec la fonction critique : l’équipe conserve le raisonnement, surveille la propagation et réévalue si de nouveaux faits apparaissent.

Cette discipline améliore également la communication avec les clients, partenaires et autorités. Une organisation peut dire ce qui est confirmé, ce qu’elle protège déjà et quand elle donnera la prochaine mise à jour. Elle évite ainsi deux ruptures de confiance : le silence sans échéance et l’assurance prématurée qui devra ensuite être corrigée.

Les signalements reçus par l’OFCS montrent que le dispositif a été réellement utilisé : 164 annonces obligatoires avaient été reçues après six mois et 222 à la fin de 2025. Ces nombres décrivent une activité déclarative ; ils ne mesurent ni toutes les attaques ni le nombre de mandats cyber accessibles.

Le bilan à six mois détaillait les attaques les plus fréquentes : dénis de service distribués, piratages, rançongiciels, vols d’identifiants, fuites de données et logiciels malveillants. Le rapport annuel, arrêté à fin décembre, plaçait le piratage devant les attaques par déni de service et recensait surtout des annonces provenant de l’administration publique, de l’information-communication, de la finance et de l’assurance.

Ces répartitions aident à concevoir des scénarios crédibles ; elles ne prédisent pas combien de prospects achèteront un exercice. Pour obtenir un bassin commercial défendable, il faut encore identifier les organisations accessibles, leur niveau de préparation, la personne qui porte le budget et la capacité du partenaire à livrer sans créer un goulot d’étranglement.

Une annonce bien préparée protège la confiance commerciale en donnant aux parties prenantes une chronologie fiable, des responsabilités nommées et une prochaine mise à jour. Elle ne prouve pas que l’incident est résolu ; elle prouve que l’organisation sait décider et communiquer sous contrainte.

Un donneur d’ordre, un assureur ou un partenaire ne demande pas seulement si un formulaire a été envoyé. Il veut comprendre ce qui est touché, quelles mesures d’urgence ont été prises, qui pilote la réponse et quand les inconnues seront levées. Le journal de décision devient alors un objet de confiance : il relie les faits techniques aux engagements commerciaux sans révéler inutilement des informations sensibles.

D’autres obligations peuvent courir en parallèle. Le PFPDT rappelle que le responsable du traitement doit annoncer dans les meilleurs délais une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L’OFCS précise que son formulaire peut, sur demande expresse, transmettre une annonce à certaines autorités tierces, notamment le PFPDT ou la FINMA. Cette facilité ne fusionne pas les seuils, les délais ni les responsabilités : chaque obligation doit être vérifiée pour le cas concret.

La confiance ne se maintient donc pas par une promesse de sécurité absolue. Elle se maintient par une parole exacte : heure connue, périmètre connu, limites connues, décision attribuée et rendez-vous de suivi annoncé.

Le premier achat peut être un exercice de crise borné qui teste la chaîne de décision avant un incident réel. Il doit produire un scénario, un chronomètre, un journal de décisions, une liste d’écarts et un plan d’amélioration ; il ne vend ni conformité garantie ni prise en charge illimitée.

Cette offre réduit la friction d’entrée parce qu’elle n’exige pas de remplacer immédiatement les outils de sécurité. Le spécialiste observe comment le signal passe de l’exploitation au métier, de la qualification à la direction, puis de la décision au signalement simulé. La valeur réside dans les écarts rendus visibles : numéro inaccessible, critère ambigu, journal incomplet, suppléant absent ou communication client non attribuée.

Pour getfishnet, cette offre ne devient une opportunité qu’après quatre validations : un nombre suffisant de nouveaux comptes réellement accessibles, un partenaire légitime et disponible, un prix compatible avec le temps expert, et une possibilité d’encaissement sans déploiement lourd. Le nombre de comptes, le prix, la marge et le délai d’encaissement sont mesurés pendant le test initial. Aucune campagne ni aucun revenu n’est revendiqué pour cette lecture.

Un dispositif d’acquisition peut trouver les bons comptes en combinant signaux réglementaires, rôle de l’organisation, criticité opérationnelle et maturité de décision. Il écarte les entreprises hors périmètre, puis teste plusieurs canaux sans confondre intérêt éditorial, rendez-vous qualifié et revenu encaissé.

La recherche commence par une liste de comptes dont l’activité peut correspondre aux catégories officielles. Elle se précise avec les dépendances critiques, les annonces publiques, les recrutements sécurité, les exigences de donneurs d’ordre et les interlocuteurs capables de porter un exercice. Les canaux peuvent ensuite mêler moteurs de recherche, contenus, partenaires sectoriels, événements, réseaux professionnels, courriels, téléphone, messages vocaux et prospection de comptes stratégiques.

Lecture du schéma. Chaque étape possède une sortie. Une organisation hors périmètre, sans décideur ou sans besoin observable ne doit pas être poussée artificiellement vers une proposition.

Alternative textuelle. Les comptes sont repérés par des signaux défendables, qualifiés selon leur périmètre et leur besoin, puis approchés avec un angle précis. Seule une conversation confirmant l’utilité et l’économie conduit à une offre.

La matrice de décision reste volontairement simple :

La relation peut se poursuivre lorsque de nouveaux systèmes, fournisseurs, scénarios ou exigences clients rendent une nouvelle décision nécessaire. Le maintien ne repose pas sur un abonnement automatique : chaque intervention récurrente doit avoir un déclencheur, un propriétaire et un livrable.

Après l’exercice initial, le partenaire peut accompagner la correction des écarts, rejouer le scénario, intégrer un nouveau prestataire critique ou préparer une exigence de donneur d’ordre. Un service de permanence ou de réponse à incident n’a de sens que si ses responsabilités, ses délais et sa capacité réelle sont contractuellement définis. La continuité commerciale dépend autant de la qualité de cette livraison que de l’acquisition du premier compte.

Le pilotage suit donc quatre preuves séparées : conversation qualifiée, proposition acceptée, revenu encaissé et maintien lié à un besoin nouveau. La valeur mensuelle, la marge brute, le coût d’acquisition et la durée de relation sont établis à partir des résultats du test. Ce sont ces preuves qui autoriseraient un passage à l’échelle ; ni l’amende maximale de 100 000 francs ni les 222 signalements officiels ne peuvent les remplacer.

Les lectures et sources utiles séparent l’obligation OFCS, la protection des données et la confiance fournisseur. L’OFCS documente le périmètre, les délais, les canaux et le bilan 2025 ; le PFPDT précise le traitement des violations de données à risque élevé.

Les sources principales sont l’OFCS, Information sur l’obligation de signaler, Questions fréquentes, Six mois d’obligation de signaler et Rapport annuel 2025 ; la loi sur la sécurité de l’information et l’ordonnance sur la cybersécurité publiées dans Fedlex ; le PFPDT, Guide concernant l’annonce de violations de la sécurité des données et l’information des personnes concernées selon l’article 24 LPD.

La lecture sur la nouvelle LPD explique le seuil lié aux personnes concernées. Le marché IT et cybersécurité rassemble les analyses disponibles. Ces liens apparaissent ici, après le développement principal, afin de prolonger la décision sans détourner la première moitié de la lecture.

L’analyse conclut qu’une obligation de 24 heures peut soutenir une offre d’exercice de crise, mais ne prouve pas encore un marché rentable. Le passage à l’action exige un partenaire crédible, des comptes accessibles, un premier achat encaissable et une capacité suffisante pour tenir la promesse après la vente.

Le signal est documenté. La valeur commerciale reste à démontrer. C’est précisément le rôle du test d’éligibilité : confronter vos difficultés d’acquisition, votre expertise, votre capacité et votre économie au marché avant de construire une stratégie sur mesure. Si les conditions ne sont pas réunies, le verdict doit rester négatif ; si des synergies apparaissent, l’étape suivante est un dispositif borné, mesurable et assumé par les bons responsables.