Les chiffres de la Confédération sont sans appel: les attaques par rançongiciel contre les entreprises suisses ont augmenté de près de 60 pour cent en 2025. Déléguer la cybersécurité comme un simple sujet informatique, c'est sous-estimer un risque d'affaires d'une portée existentielle. Les mesures les plus efficaces sont organisationnelles et relèvent de la direction.
Au second semestre 2025, 29’006 cyberincidents ont été annoncés volontairement en Suisse, auxquels s’ajoutent 145 attaques soumises à l’obligation de signaler. C’est ce qui ressort du dernier rapport semestriel de l’Office fédéral de la cybersécurité, résumé par le portail PME de la Confédération. Le rançongiciel reste la menace la plus fréquente pour les entreprises.
L’ampleur apparaît dans la comparaison. Près de 80 cas de rançongiciel ont été recensés au second semestre 2025, contre 47 sur la même période en 2024. Cela représente une hausse de 59 pour cent. La plupart des cas sont attribués au groupe Akira, qui chiffre les données des entreprises avant d’exiger une rançon.
Les attaques sur les messageries internes progressent aussi. Avec cette méthode, les criminels suivent le trafic des paiements et détournent les factures vers leurs propres comptes. Un seul cas signalé a causé un dommage de CHF 1,5 million. Avec 6’299 annonces, l’hameçonnage demeure également à un niveau élevé.
Une attaque réussie ne touche pas le service informatique, mais le modèle d’affaires. Arrêt de production, fuite de données clients et confiance entamée sont des conséquences que personne ne peut déléguer. C’est précisément pourquoi la cybersécurité devient une tâche de la direction supérieure.
Le radar mensuel des menaces de la plateforme spécialisée SwissCybersecurity.net le résume bien. Andreas Steinmann, responsable de la sécurité chez l’industriel V-Zug, met surtout en garde contre la vitesse croissante des attaques. L’intelligence artificielle accélère la détection des failles et rend les messages d’hameçonnage plus convaincants.
Le vrai risque ne se limite pas au chiffrement des données. De nombreux groupes menacent en plus de publier les informations dérobées. Même en reprenant vite son activité, on subit les suites de la fuite de données pour la réputation et les obligations légales.
Quiconque traite des données personnelles en Suisse a des devoirs. La loi révisée sur la protection des données exige d’annoncer les violations de la sécurité des données présentant un risque élevé dans les meilleurs délais au Préposé fédéral à la protection des données. Cette obligation s’applique quelle que soit la taille de l’entreprise.
La situation est plus stricte pour les exploitants d’infrastructures critiques. Depuis le 1er avril 2025, ils doivent signaler les cyberattaques à l’Office fédéral de la cybersécurité dans les 24 heures. Depuis le 1er octobre 2025, les manquements sont passibles d’amendes pouvant atteindre CHF 100’000. Pour la direction, cela signifie une chose: vous devez savoir quelles obligations s’appliquent à votre entreprise avant que le pire ne survienne.
La bonne nouvelle: les étapes les plus efficaces sont connues et finançables. Le responsable de la sécurité Andreas Steinmann cite trois priorités qui ont leur place dans chaque séance de direction.
D’abord, une authentification résistante à l’hameçonnage. Des procédés comme les passkeys ou FIDO2 rendent inutiles les mots de passe volés et les méthodes à deux facteurs faibles. Ensuite, une surface d’attaque réduite grâce à l’installation rapide des mises à jour et à la fermeture des accès distants ouverts. Enfin, la résilience: des sauvegardes testées et des plans d’urgence régulièrement exercés, et pas seulement archivés.
Sur ce dernier point, la Confédération apporte un appui direct. Comme le rapporte la publication spécialisée Inside IT, l’Office fédéral de la cybersécurité a publié en mai 2026 un concept d’urgence pensé pour les PME. Il comprend un modèle d’organisation de crise, des fiches d’urgence et une liste de contrôle pour la communication. L’accent porte volontairement sur la préparation organisationnelle, et non sur le détail technique.
La cybersécurité n’est pas un projet ponctuel, mais une posture de direction. Elle exige des responsabilités claires, des processus exercés et le courage de ne pas refouler le sujet. Qui avance ici protège non seulement des données, mais la capacité d’agir de toute l’entreprise.
Ce sont précisément ces questions de direction qui sont au cœur des journées de séminaire du KMU Leaders Campus. En échangeant avec d’autres dirigeants, on traduit un risque abstrait en décisions concrètes. Le partenaire du campus SWICO, association de la branche des TIC, offre lui aussi une orientation précieuse. La cybersécurité passe ainsi du second plan technique à ce qu’elle est vraiment: une tâche centrale de la direction d’entreprise.
SOURCES
ARTICLES COMPLÉMENTAIRES