En bref. Une entreprise touchée par une cyberattaque en Suisse doit, dès la première heure, contenir l’attaque, conserver les preuves et vérifier ce qu’elle est tenue d’annoncer. Une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées s’annonce au PFPDT dans les meilleurs délais (art. 24 LPD). Les infrastructures critiques, banques et assurances comprises, signalent dans les 24 heures à l’Office fédéral de la cybersécurité les cyberattaques qui remplissent les critères légaux. L’accès indu à un système informatique n’est poursuivi que sur plainte, à déposer dans les trois mois dès que l’auteur est connu. Les autorités fédérales déconseillent de payer la rançon.
Lundi, 7 h 40. Plus aucun fichier ne s’ouvre. Sur chaque écran, le même message en anglais, un compte à rebours et une adresse de paiement en bitcoins. Quelqu’un propose de tout réinstaller depuis la sauvegarde du vendredi. Tant que l’on ignore par où l’attaquant est entré, il peut pourtant revenir par la même porte, et les traces qui permettraient de la trouver disparaissent avec la réinstallation.
L’Office fédéral de la cybersécurité (OFCS) a reçu 64’733 signalements en 2025. Entre l’entrée en vigueur de l’obligation de signaler, le 1er avril 2025, et la fin de l’année, 222 signalements obligatoires lui sont parvenus d’infrastructures critiques, dont 9,2 % pour des rançongiciels, selon son rapport annuel publié le 16 février 2026.
Quelle attaque touche votre entreprise ?
La qualification détermine les annonces, la plainte et ce que l’on peut espérer récupérer.
Un rançongiciel bloque vos systèmes
Les données sont chiffrées, souvent copiées avant de l’être, et une rançon est exigée sous menace de publication. L’accès indu à un système protégé (art. 143bis al. 1 CP), la détérioration de données (art. 144bis ch. 1 CP) et l’extorsion (art. 156 ch. 1 CP, cinq ans au plus) peuvent se cumuler.
Sur la rançon, la position des autorités est nette. Dans un communiqué commun du 16 octobre 2025, le Ministère public de la Confédération, fedpol et l’OFCS écrivent que « les autorités rappellent de ne pas payer de rançons, lesquelles contribuent à financer les activités des auteurs ». Ils recommandent de les consulter avant toute mesure en cas de demande de rançon.
Des données ont été copiées ou publiées
Fichiers clients, salaires, données d’employés. La soustraction de données spécialement protégées, dans un dessein d’enrichissement illégitime, est punie de cinq ans au plus (art. 143 al. 1 CP). Pour l’entreprise, la question immédiate est celle de l’annonce au PFPDT et de l’information des personnes concernées.
Un faux dirigeant ou un faux fournisseur a obtenu un virement
Un courriel qui imite le ton du directeur général, une facture dont seul l’IBAN a changé. Si l’auteur trompe astucieusement un collaborateur qui exécute lui-même le paiement, c’est une escroquerie (art. 146 al. 1 CP). S’il a manipulé un traitement de données, l’e-banking par exemple, l’utilisation frauduleuse d’un ordinateur entre en jeu (art. 147 al. 1 CP).
Tout se joue alors sur la vitesse. Les valeurs qui devront probablement être restituées au lésé peuvent être séquestrées (art. 263 al. 1 let. c CPP), encore faut-il qu’elles se trouvent toujours sur le compte de destination. Voir notre article Compte bancaire bloqué en Suisse et notre page fraude, escroquerie et recouvrement d’avoirs.
Les 72 premières heures, dans l’ordre
- Isoler sans effacer. Déconnecter les machines touchées, couper les accès à distance compromis, conserver les journaux. Identifier la voie d’entrée avant de réinstaller, c’est l’objectif premier que fixent les autorités.
- Réunir une cellule restreinte. Direction, informatique ou prestataire, avocat, et la personne qui connaît la police d’assurance. Une seule voix vers l’extérieur.
- Qualifier les annonces. PFPDT, OFCS si l’entreprise y est assujettie, assureur, chacun avec son critère et son délai.
- Bloquer l’argent. Appeler la banque le jour même, puis déposer plainte sans attendre la fin de l’analyse technique.
- Documenter. Chronologie à l’heure près, demande de rançon, adresses de portefeuille, en-têtes des courriels, journaux de connexion, factures falsifiées.
- Communiquer avec mesure. Consignes aux collaborateurs, information des clients si elle s’impose, et aucune négociation avec l’attaquant sans conseil.
Faut-il annoncer l’attaque, et à qui ?
Au PFPDT, en cas de violation de la sécurité des données
Le responsable du traitement annonce dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 24 al. 1 LPD). L’annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées (al. 2). Aucun délai en heures. Le sous-traitant, lui, annonce toute violation au responsable du traitement (al. 3).
Les personnes concernées sont informées lorsque leur protection l’exige ou que le PFPDT le demande (al. 4). Un point intéresse directement les dirigeants. L’annonce ne peut être utilisée dans une procédure pénale contre la personne tenue d’annoncer qu’avec son consentement (al. 6).
A l’OFCS, si l’entreprise exploite une infrastructure critique
Depuis le 1er avril 2025, les organisations énumérées à l’art. 74b LSI signalent à l’OFCS les cyberattaques visant leurs moyens informatiques (art. 74a al. 1 LSI). La liste comprend notamment les banques, les assurances et les infrastructures des marchés financiers, l’énergie, les hôpitaux de la liste cantonale, les télécommunications, l’informatique en nuage et les centres de calcul ayant leur siège en Suisse. Certaines petites structures sont exemptées, par exemple dans les médicaments lorsqu’elles emploient moins de 50 personnes et que leur chiffre d’affaires annuel ou le total de leur bilan ne dépasse pas 10 millions de francs dans le domaine concerné (art. 12 al. 2 OCyS). En cas de doute, l’OFCS renseigne et, sur demande, rend une décision (art. 74a al. 2 LSI).
Le signalement vise l’attaque qui met en péril le fonctionnement de l’infrastructure, entraîne une manipulation ou une fuite d’informations, reste longtemps indétectée ou s’accompagne de chantage, de menaces ou de contrainte (art. 74d LSI). Il intervient dans les 24 heures suivant la détection (art. 74e al. 1 LSI) et peut être complété dans les 14 jours (art. 16 al. 1 OCyS). La personne qui signale pour l’organisation n’est pas tenue d’y fournir des informations qui l’exposeraient à des poursuites pénales (art. 74e al. 4 LSI). Depuis le 1er octobre 2025, l’insoumission intentionnelle à une décision entrée en force de l’OFCS, rendue sous la menace de l’amende après un premier délai resté sans effet, est passible d’une amende de 100’000 francs au plus (art. 74g et 74h al. 1 LSI).
A l’assureur, aussitôt
L’ayant droit doit aviser l’assureur aussitôt qu’il a connaissance du sinistre et du droit qui en découle en sa faveur (art. 38 al. 1 LCA). Un retard fautif permet de réduire l’indemnité à ce qu’elle aurait été avec un avis donné à temps (al. 2). Beaucoup de polices cyber prévoient une ligne d’urgence et des prestataires désignés, à vérifier avant d’en mandater d’autres.
Porter plainte, contre qui et dans quel délai ?
Contre inconnu, le plus souvent, auprès de la police ou du Ministère public, par écrit ou oralement (art. 304 al. 1 CPP). Les autorités fédérales recommandent d’ailleurs une dénonciation pénale dans tous les cas.
L’accès indu n’est poursuivi que sur plainte (art. 143bis al. 1 CP), comme la détérioration de données, sauf dommage considérable, auquel cas la poursuite a lieu d’office (art. 144bis ch. 1 CP). La soustraction de données, l’escroquerie, l’utilisation frauduleuse d’un ordinateur et l’extorsion se poursuivent d’office, hors cas commis au préjudice de proches ou de familiers pour les trois premières. Le droit de porter plainte se prescrit par trois mois dès le jour où l’ayant droit a connu l’auteur (art. 31 CP). Face à un groupe anonyme, mieux vaut ne pas spéculer sur le point de départ de ce délai et déposer tôt.
Dans les dossiers d’hameçonnage, un argument revient. L’attaquant avait le mot de passe. Cela ne rend pas l’accès licite pour autant. Le Tribunal fédéral a jugé que se connecter sans droit au compte de messagerie d’autrui protégé par un mot de passe réalise l’accès indu, même si l’auteure avait trouvé le mot de passe par hasard sur un papier rangé dans un tiroir (ATF 145 IV 185).
Une plainte utile se construit comme un dossier, chronologie, pièces numérotées, éléments techniques expliqués en langage clair. Elle ouvre la voie au séquestre des fonds et à l’entraide internationale, et l’assureur peut la demander.
Ce que l’entreprise risque elle-même
Victime, l’entreprise reste responsable des données qu’elle traite. Les personnes privées qui, intentionnellement, ne respectent pas les exigences minimales de sécurité des données fixées par le Conseil fédéral encourent, sur plainte, une amende de 250’000 francs au plus (art. 61 let. c LPD). Dans une entreprise, l’amende frappe les personnes physiques responsables, y compris, à certaines conditions, les dirigeants (art. 64 al. 1 LPD). L’entreprise elle-même ne peut être condamnée qu’à une amende de 50’000 francs au plus, lorsque la poursuite de ces personnes exigerait des mesures d’instruction disproportionnées (art. 64 al. 2 LPD). Les contrats avec les clients prévoient souvent leurs propres obligations de notification. Les relire dans les premiers jours évite d’ajouter un litige contractuel à l’incident.
Les délais en un coup d’oeil
- 24 heures. Signalement à l’OFCS pour les organisations assujetties, dès la détection (art. 74e al. 1 LSI).
- 14 jours. Complément du signalement lorsque toutes les informations n’étaient pas connues (art. 16 al. 1 OCyS).
- Dans les meilleurs délais. Annonce au PFPDT d’une violation de la sécurité des données à risque élevé (art. 24 al. 1 LPD).
- Aussitôt. Avis de sinistre à l’assureur (art. 38 al. 1 LCA).
- 3 mois. Plainte pour les infractions poursuivies sur plainte, dès que l’auteur est connu (art. 31 CP).
Questions fréquentes
Faut-il payer la rançon ?
Les autorités fédérales recommandent de ne pas payer, parce que les rançons financent les auteurs, et de les consulter avant toute mesure (communiqué du Ministère public de la Confédération, de fedpol et de l’OFCS du 16 octobre 2025). Un paiement ne garantit ni la restitution des données ni l’absence de publication.
Mon entreprise doit-elle signaler une cyberattaque à l’OFCS ?
Seulement si elle figure parmi les organisations énumérées à l’art. 74b LSI, notamment banques, assurances, énergie, télécommunications ou informatique en nuage, sans exception applicable. Le délai est alors de 24 heures dès la détection. Les autres entreprises peuvent signaler un incident volontairement.
Quand faut-il annoncer une fuite de données au PFPDT ?
Lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, dans les meilleurs délais, avec la nature de la violation, ses conséquences et les mesures prises (art. 24 al. 1 et 2 LPD).
Peut-on porter plainte contre des pirates inconnus ?
Oui, contre inconnu, auprès de la police ou du Ministère public (art. 304 al. 1 CPP). Pour l’accès indu, poursuivi sur plainte, le délai est de trois mois dès que l’auteur est connu (art. 31 CP). Une plainte rapide facilite le séquestre des fonds.
Un collaborateur a donné ses identifiants à un faux site. L’accès reste-t-il illicite ?
Oui. Le Tribunal fédéral a jugé que se connecter sans droit à un compte protégé par un mot de passe réalise l’accès indu, même lorsque le mot de passe avait été trouvé par hasard (ATF 145 IV 185). Ce qui compte, c’est l’absence d’autorisation.
Un virement frauduleux peut-il être récupéré ?
Parfois, si l’on agit vite. Les fonds qui devront probablement être restitués au lésé peuvent être séquestrés (art. 263 al. 1 let. c CPP), à condition d’être encore sur le compte de destination. Prévenir la banque le jour même et déposer plainte sans attendre.
L’assurance cyber couvre-t-elle l’incident ?
Cela dépend de la police. L’assureur doit être avisé aussitôt que l’entreprise a connaissance du sinistre, faute de quoi l’indemnité peut être réduite si le retard est fautif (art. 38 al. 1 et 2 LCA).
Bases légales et jurisprudence
Loi sur la protection des données (LPD) : art. 24, 61 et 64. Loi sur la sécurité de l’information (LSI) : art. 74a, 74b, 74d, 74e, 74g et 74h. Ordonnance sur la cybersécurité (OCyS) : art. 12 et 16. Code pénal (CP) : art. 31, 143, 143bis, 144bis, 146, 147 et 156. Code de procédure pénale (CPP) : art. 263 et 304. Loi sur le contrat d’assurance (LCA) : art. 38. Jurisprudence : ATF 145 IV 185.
Sources : Office fédéral de la cybersécurité, rapport annuel 2025 (16 février 2026). Ministère public de la Confédération, fedpol et OFCS, Cybercriminalité, le groupe AKIRA intensifie ses activités (16 octobre 2025). Conseil fédéral, obligation de signaler les cyberattaques (7 mars 2025). Sur Fedlex, LPD, LSI, OCyS, Code pénal et Code de procédure pénale.
Sur ce type de dossiers
Voir notre page avocat en droit du numérique à Genève et, pour le volet pénal, notre page avocat pénaliste à Genève.
Un premier rendez-vous, idéalement dans les jours qui suivent l’incident, permet de trier les annonces obligatoires, de préparer la plainte et de sécuriser ce qui peut encore l’être. L’Etude traite la cybercriminalité du côté des victimes comme de la défense, et Me Traussnig est intervenu dans le CAS Digital Finance Law de l’Université de Genève, sur les fraudes liées à la blockchain. Voir aussi Clés d’accès piratées, quand la facture IA explose et Deepfake et droit pénal suisse. Pour exposer une situation : +41 22 512 76 00 ou via le formulaire de contact.