NCSC suisse en cas d'attaque : qui contacter, quand et comment

Un vendredi soir, 22h15 — et maintenant ?

Vos serveurs sont chiffrés. Une note de rançon s'affiche sur quinze postes Windows 11. Le responsable IT vous appelle en panique. Vous avez 72 heures devant vous — pas pour payer, mais pour décider quels organismes prévenir, dans quel ordre, et avec quels éléments de preuve. Beaucoup de DSI suisses ignorent encore que le Centre national pour la cybersécurité (NCSC) n'est pas une police, ni un prestataire de remédiation : c'est un centre de coordination et d'alerte, gratuit, accessible 24/7, dont le rôle change fondamentalement selon la taille et le secteur de votre organisation.

Ce que fait réellement le NCSC — et ce qu'il ne fait pas

Mission et périmètre

Le NCSC, rattaché au Département fédéral des finances depuis 2023, centralise la gestion des cyberrisques à l'échelle nationale. Il opère le portail de signalement en ligne où toute organisation — PME, collectivité, particulier — peut déclarer un incident. Il publie également des alertes techniques, coordonne avec CERT.admin.ch pour les infrastructures fédérales, et alerte les secteurs critiques (énergie, santé, finance) via des canaux dédiés.

Ce que le NCSC ne fait pas : il n'envoie pas d'équipe de réponse à incident sur site chez une PME de 40 employés, ne prend pas en charge la remédiation technique, et n'a pas de pouvoir de sanction directe. La réponse opérationnelle reste à la charge de l'organisation et de ses prestataires.

Signalement : obligatoire ou volontaire ?

Pour la grande majorité des PME suisses, le signalement au NCSC reste volontaire en 2025. La loi fédérale sur la sécurité de l'information (LSI) prévoit une obligation de signalement pour les exploitants d'infrastructures critiques — banques systémiques, hôpitaux cantonaux, opérateurs télécom — mais les seuils ne s'appliquent pas encore aux fiduciaires de 30 personnes ou aux MSP de 80 endpoints.

Signaler reste néanmoins stratégique : le NCSC partage anonymement les indicateurs de compromission (IoC) avec d'autres entités suisses, ce qui peut stopper la propagation d'une campagne active. En 2024, le NCSC a traité plus de 49 000 signalements, dont une part croissante liée à des ransomwares ciblant des PME de moins de 100 collaborateurs.

La nLPD et l'obligation de notifier le PFPDT

Ce que dit la loi

La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 01.09.2023, introduit une obligation de notification au Préposé fédéral à la protection des données (PFPDT) en cas de violation de données présentant un risque élevé pour les personnes concernées. Contrairement au RGPD européen, le délai n'est pas de 72 heures fixes : la nLPD parle de notification « dans les meilleurs délais » après constat de la violation.

En pratique, le PFPDT (FDPIC) considère qu'un délai de 72 heures constitue une référence raisonnable, aligné sur la pratique européenne. Au-delà, l'absence de notification peut être qualifiée d'infraction, avec des amendes pouvant atteindre CHF 250 000 pour les personnes physiques responsables (art. 60 nLPD).

Critères de déclenchement

La notification au PFPDT s'impose si trois conditions sont réunies :

1. Une violation de données personnelles est avérée (exfiltration, accès non autorisé, chiffrement avec exposition probable).
2. La violation est susceptible d'engendrer un risque élevé : données de santé, données financières, données d'identification, combinaison permettant le profilage.
3. Votre organisation est responsable du traitement (maître du fichier au sens de la nLPD), pas seulement sous-traitant.

Si vous êtes un bureau fiduciaire hébergeant les données comptables de 200 PME clientes, un ransomware qui chiffre votre NAS déclenche presque automatiquement les trois critères.

Procédure de réponse à incident : qui fait quoi, dans quel ordre

Les acteurs internes

• DSI / responsable IT : isolation du segment réseau compromis (VLAN, firewall règles deny-all), preservation des logs (Event Viewer, Syslog, EDR), inventaire des endpoints affectés.
• RSSI (si existant) : qualification de l'incident (ransomware, APT, insider threat), évaluation de l'exposition de données personnelles, coordination avec la direction.
• Direction / CEO : décision de payer ou non (en Suisse, le paiement de rançon en crypto n'est pas illégal mais déconseillé par le NCSC), communication avec les clients si breach confirmé.
• Juriste ou DPO : évaluation des obligations légales (nLPD, contrats clients, assurance cyber), rédaction de la notification PFPDT.

Séquence d'activation des organismes externes

1. H+0 à H+2 — Isolation et triage : couper les accès VPN, désactiver les comptes compromis (AD/Entra ID), conserver une image forensique d'au moins un endpoint chiffré avant tout nettoyage.
2. H+2 à H+6 — Signalement NCSC via le portail en ligne (15 minutes max, ne bloque pas la remédiation). Ouvrir un ticket chez votre prestataire de réponse à incident ou SOC externalisé.
3. H+6 à H+24 — Évaluation juridique : les données personnelles sont-elles exposées ? Si oui, préparer la notification PFPDT. Si vous êtes sous-traitant, notifier votre client responsable de traitement dans les 24 heures (exigence contractuelle typique).
4. H+24 à H+72 — Notification formelle au PFPDT si seuil de risque atteint. Contacter votre assureur cyber (police en CHF, délai de déclaration souvent 48-72 heures). Informer les clients directement affectés.
5. H+72 à J+14 — Remédiation, rebuild des systèmes depuis backups vérifiés, déploiement des correctifs manquants (patch Tuesday en retard, configurations CIS Benchmark non appliquées). Post-mortem documenté.

Ce que le NCSC attend dans un signalement

Le formulaire NCSC demande : type d'incident, date et heure de détection, secteur d'activité, nombre d'employés, systèmes affectés, indicateurs techniques disponibles (hash SHA-256 du binaire malveillant, IP C2 si identifiée, extension des fichiers chiffrés). Vous n'êtes pas obligé de tout fournir immédiatement — un signalement partiel est préférable à l'absence de signalement.

FINMA, cantons, police : les autres acteurs à connaître

FINMA pour les établissements régulés

Si votre organisation est sous supervision FINMA (banque, gestionnaire de fortune, assurance), la FINMA impose une notification d'incident « immédiate » (circulaire 2008/21, mise à jour 2023). En parallèle du NCSC, la FINMA doit être notifiée séparément, avec un rapport d'incident structuré. Les deux signalements ne se substituent pas l'un à l'autre.

Police cantonale et Ministère public

Un ransomware est une infraction pénale (art. 143bis CP, accès indu à un système informatique ; art. 144bis CP, détérioration de données). Porter plainte auprès de la police cantonale permet d'ouvrir une instruction, d'obtenir des réquisitions aux opérateurs pour identifier les attaquants, et de constituer un dossier pour votre assureur. Ce n'est pas en conflit avec le signalement NCSC — ce sont deux démarches parallèles.

Communication aux clients et partenaires

La nLPD n'impose pas systématiquement d'informer les personnes concernées — uniquement si cela est nécessaire pour leur protection. Mais vos contrats de service peuvent l'exiger. Vérifiez les clauses de breach notification dans vos SLA : un délai de 24 à 48 heures est courant dans les contrats MSP ou d'infogérance en Suisse romande.

Cas pratique : fiduciaire vaudoise, 35 employés, 180 endpoints

Contexte : Fiduciaire basée à Morges, 35 collaborateurs, 180 endpoints mixtes (80 Windows 11 23H2, 60 macOS 14 Sonoma, 40 iPads en BYOD partiel). Héberge les données comptables de 320 PME clientes, dont 15 avec données RH sensibles. Infrastructure on-premise partielle + Microsoft 365 tenant.

L'incident : Vendredi 14.03.2025, 21h47. Un technicien de garde détecte que les partages SMB du serveur de fichiers principal affichent des extensions .locked sur environ 40 000 fichiers. Le vecteur : un compte de service avec un mot de passe faible, accessible via RDP sur le port TCP 3389 exposé directement sur internet (règle firewall héritée, non auditée).

Évaluation rapide :

• Données personnelles exposées : oui (fiches salaires, données bancaires clients PME).
• Risque élevé au sens nLPD : oui (données financières + identification).
• Nombre d'endpoints chiffrés confirmés : 12 postes Windows ayant des partages montés.
• Backups : snapshots Veeam de H-24 sur NAS séparé — NAS non compromis (VLAN dédié, pas de RDP).

Actions chronologiques :

1. 21h55 — DSI isole le VLAN serveurs, coupe les sessions RDP actives, désactive le compte de service compromis dans Active Directory.
2. 22h30 — Signalement NCSC via le portail en ligne. Informations fournies : ransomware de type LockBit 3.x (hypothèse basée sur la note de rançon), extension .locked, IP source C2 extraite des logs firewall (195.x.x.x, bloc AS russe), environ 40 000 fichiers affectés, secteur fiduciaire, 35 employés.
3. Samedi 15.03.2025, 08h00 — Appel avec l'assureur cyber (police CHF 500 000 de couverture, franchise CHF 10 000). L'assureur mandate un prestataire de réponse à incident basé à Lausanne.
4. 15.03.2025, 14h00 — Évaluation forensique : le NAS backup est intact. Le prestataire confirme que le ransomware n'a pas exfiltré de données (pas de trafic sortant anormal vers des IP externes les 48h précédentes, selon les logs NGF). Cela réduit le risque nLPD.
5. 15.03.2025, 17h00 — Décision : pas de notification PFPDT immédiate (chiffrement sans exfiltration confirmée, risque résiduel faible après analyse forensique). Notification conservatoire maintenue en veille pour 48h supplémentaires.
6. 16.03.2025 — Plainte déposée à la police cantonale vaudoise (cybercriminalité). Restore depuis backup Veeam H-24 : 6 heures de RTO effectif. Port TCP 3389 fermé, accès distants basculés sur VPN avec MFA.
7. 17.03.2025 — Communication aux 320 clients : incident de disponibilité résolu, aucune exfiltration de données confirmée. Pas de notification nLPD déclenchée.

Coût total estimé : CHF 28 000 (prestataire IR : CHF 14 000, heures internes IT : CHF 6 000, perte de productivité 2 jours : CHF 8 000). Couvert à 90 % par l'assurance après franchise. Sans backup opérationnel, le coût de reconstruction aurait dépassé CHF 120 000.

Récapitulatif opérationnel

1. Isoler avant tout : couper le segment réseau compromis dans les 30 premières minutes. Ne pas éteindre les machines — les artefacts en mémoire vive ont une valeur forensique.
2. Signaler au NCSC : le portail de signalement prend moins de 15 minutes. Faites-le dans les 6 heures, même avec des informations partielles. C'est gratuit et sans conséquence réglementaire directe.
3. Évaluer l'exposition nLPD : données personnelles touchées ? Risque élevé ? Si oui, notifier le PFPDT dans les meilleurs délais (72h de référence). Mandater le DPO ou un juriste spécialisé.
4. Notifier l'assureur cyber dans le délai contractuel (souvent 24-48h). Ne pas commencer la remédiation avant accord si votre police l'exige.
5. Porter plainte à la police cantonale pour toute intrusion avérée — même si vous ne poursuivez pas activement. Cela ouvre des droits (réquisitions) et constitue le dossier assurance.
6. Si régulé FINMA : notification parallèle et séparée, sans attendre la résolution de l'incident.
7. Post-mortem dans les 14 jours : identifier le vecteur initial, documenter la chronologie, mettre à jour le registre des violations (art. 12 nLPD, obligation de tenir un registre interne).
8. Vérifier les sous-traitants : si vous êtes responsable de traitement, vous devez notifier vos sous-traitants exposés. Si vous êtes sous-traitant, notifiez votre client dans les délais contractuels.
9. Ne pas payer sans conseil juridique : le paiement de rançon n'est pas illégal en Suisse mais peut violer des sanctions internationales si le groupe ransomware est listé par l'OFAC américain.
10. Tester annuellement : un exercice tabletop de 2 heures avec DSI, RSSI et direction vaut mieux que 10 pages de procédure jamais lues.

Les équipes de SynGuard accompagnent les PME romandes dans la structuration de leur réponse à incident, de la cartographie des endpoints à la documentation post-breach — sans remplacer les organismes officiels que cet article détaille.

Sources

• Centre national pour la cybersécurité (NCSC) — Portail officiel, signalements d'incidents, alertes et statistiques annuelles.
• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé en vigueur depuis le 01.09.2023, notamment art. 24 (notification) et art. 60 (sanctions).
• Préposé fédéral à la protection des données et à la transparence (PFPDT/FDPIC) — Autorité de surveillance nLPD, procédure de notification des violations de données.
• Autorité fédérale de surveillance des marchés financiers (FINMA) — Obligations de notification pour les établissements régulés, circulaires cyber.
• Portail de signalement d'incidents — NCSC — Formulaire de déclaration en ligne, accessible à toutes les organisations suisses.