Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer, d’ici juin 2027, un projet de loi fédérale sur la cybersécurité à soumettre à consultation.
Un choix que je considère comme significatif dans le parcours de la Suisse vers une gouvernance intégrée de la sécurité numérique.
La future loi réunira trois domaines :
- la cyberrésilience des produits logiciels et matériels ;
- la protection des données numériques les plus importantes ;
- les obligations de cybersécurité applicables aux prestataires de services cloud et d’hébergement.
Le nouveau cadre intégrera également l’obligation de signaler les cyberattaques visant les infrastructures critiques, déjà en vigueur depuis avril 2025.
Quel est le lien avec la réglementation européenne?
La NIS2 renforce la gestion des risques et la notification des incidents pour les entités relevant de son champ d’application. Le Cyber Resilience Act (CRA) concerne quant à lui la sécurité des produits comportant des éléments numériques.
La Suisse choisit sa propre voie législative. Toutefois, en matière de sécurité des produits, le Conseil fédéral cite expressément le Cyber Resilience Act européen comme référence, avec pour objectif de limiter les charges pour les entreprises.
Que doivent faire les entreprises actives entre Italie, l’Union européenne et la Suisse?
Il devient de plus en plus utile de coordonner la gestion des risques, la sécurité des fournisseurs et la réponse aux incidents, en vérifiant les obligations applicables dans chaque ordre juridique.
Nous sommes encore dans la phase d’élaboration : la nouvelle loi n’a pas été adoptée et le mandat n’introduit, à lui seul, de nouvelles obligations pour les entreprises.
En matière de traitement des données personnelles, le cadre de cybersécurité devra être coordonné avec la LPD fédérale et, pour les organismes publics cantonaux et communaux, avec les lois cantonales respectives sur la protection des données (LPDP).
Les indications du PFPDT sur la sécurité des données et de l’information devront également être prises en compte.
La nouvelle réglementation en matière de cybersécurité ne remplacera pas ces obligations existantes, mais les complétera sur le plan de la gestion des risques, les mesures techniques et organisationnelles et la réponse aux incidents.
Pour les organisations, il sera donc nécessaire de construire une gouvernance intégrée entre protection des données, sécurité de l’information et cybersécurité.
