Un changement de dispositif stratégique pour la Suisse

Le Conseil fédéral vient de lancer un mouvement de fond pour redéfinir le terrain de jeu de la sécurité nationale. D'ici juin 2027, le Département fédéral de la défense, de la protection de la population et des sports (DDPS) doit présenter un projet de loi fédérale sur la cybersécurité capable de regrouper trois interventions parlementaires distinctes en une seule disposition cohérente. Ce n'est pas une simple mise à jour tactique ; il s'agit d'une refonte structurelle visant à traiter les domaines des produits, des données et de l'infrastructure numérique sous un même commandement.

La fin du laisser-faire pour les produits techniques

La future législation va instaurer des règles de jeu beaucoup plus strictes pour les acteurs de la supply chain. Les fabricants, importateurs et commerçants de produits techniques - qu'il s'agisse de logiciels ou de matériel informatique - devront désormais se plier à des exigences contraignantes. Le gouvernement prévoit d'établir des bases solides pour la surveillance du marché afin d'interdire purement et simplement la distribution de produits présentant des failles de sécurité critiques.

Ce nouveau cadre s'appuiera directement sur le Cyber Resilience Act européen, agissant comme un standard de référence. Pour les entreprises opérant à l'international, cette harmonisation avec le modèle de l'UE devrait limiter la charge administrative en évitant des règles de conformité divergentes. Dans ce dispositif, chaque composant technique doit être considéré comme un joueur de défense en équipe : si un produit est vulnérable, c'est toute la chaîne de sécurité qui est compromise.

Consolidation du signalement et protection des données

Le nouveau projet de loi ne se contentera pas de réguler les produits ; il va consolider le dispositif de détection des menaces. Il intégrera notamment l'obligation de signaler les cyberattaques contre les infrastructures critiques, une mesure qui est déjà en vigueur depuis le 1er avril 2025 via la Loi sur la sécurité de l'information (LSI).

Au-delà du signalement, la loi devra fixer des obligations particulières pour la protection des données numériques importantes et définir le rôle crucial des fournisseurs d'hébergement et d'informatique en nuage. L'objectif est de créer une défense-in-depth où les acteurs de l'infrastructure numérique ne sont plus de simples spectateurs, mais des participants actifs aux obligations de collaboration et de défense face aux cybermenaces.

Une architecture législative unifiée pour plus d'agilité

L'un des enjeux majeurs de ce projet est la simplification du paysage juridique suisse. Actuellement, les interventions sont fragmentées entre plusieurs motions (notamment la 24.3810 sur les contrôles urgents, la 23.3002 sur les données essentielles et la 25.3011 sur le cloud). En regroupant ces thématiques dans un acte unique, la Suisse se dote d'un outil plus agile.

Cette centralisation permettra de réagir plus rapidement aux évolutions technologiques ou aux nouvelles normes européennes en modifiant un seul texte législatif plutôt que de multiplier les interventions. Cette approche proactive est indispensable pour contrer des menaces qui, elles, n'attendent pas la fin des processus de consultation parlementaire pour exploiter une vulnérabilité.

La mise en place de cette loi fédérale marquera une étape décisive dans la capacité de la Suisse à protéger son écosystème numérique face à des menaces toujours plus sophistiquées.