Obligations légales

Fuite de données, cyberattaque : qui doit annoncer quoi, pays par pays.

Dans l'Union européenne, une violation de données personnelles se notifie à l'autorité de protection des données dans les 72 heures si possible (RGPD, art. 33). En Suisse, l'annonce au PFPDT se fait « dans les meilleurs délais », sans nombre d'heures. Les annonces de cyberattaque sous 24 heures (NIS2 dans l'Union, OFCS en Suisse) ne visent que des secteurs précis. Le tableau donne la règle, le délai et l'autorité pour chaque texte.

Les quatre textes dans un seul tableau

Chaque ligne renvoie au texte officiel. Les montants sont les maximums écrits dans la loi, pas des amendes habituelles.

Texte	Qui est concerné	Délai	À qui annoncer	Sanction prévue par le texte
nLPD (Suisse) LPD, art. 24	Tout responsable du traitement, donc toute entreprise qui traite des données personnelles, en cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes.	« Dans les meilleurs délais ». Aucun nombre d'heures dans la loi.	Au PFPDT, par le formulaire DataBreach. Aux personnes concernées si leur protection l'exige ou si le PFPDT le demande. Un sous-traitant annonce à son client.	Amende de 250'000 francs au plus pour la personne privée qui, intentionnellement, ne respecte pas les exigences minimales de sécurité (art. 61, sur plainte) ou une décision du PFPDT (art. 63).
Annonce à l'OFCS (Suisse) LSI, art. 74a à 74h	Les autorités et organisations listées à l'art. 74b : énergie, eau potable, transports, banques et assurances, hôpitaux, laboratoires, télécommunications, informatique en nuage et centres de calcul, entre autres. L'ordonnance prévoit des exceptions pour les petites entreprises.	24 heures après la détection de la cyberattaque. 14 jours pour compléter le signalement.	À l'OFCS, par le Cyber Security Hub ou le formulaire de signalement.	Amende de 100'000 francs au plus pour qui, intentionnellement, ne se conforme pas à une décision de l'OFCS (art. 74h).
RGPD (UE) art. 3, 33, 34, 83	Toute entreprise établie dans l'Union. Une entreprise sans établissement dans l'UE y est aussi soumise si elle offre des biens ou des services à des personnes qui se trouvent dans l'Union, ou si elle suit leur comportement (art. 3, par. 2).	Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque.	À l'autorité de contrôle compétente (en France, la CNIL). Aux personnes concernées si le risque est élevé. Un sous-traitant notifie son client.	Amende administrative jusqu'à 10'000'000 EUR ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, par. 4).
NIS2 (UE) directive (UE) 2022/2555	Les entités « essentielles » et « importantes » des secteurs listés en annexes I et II, à partir de la taille d'une entreprise moyenne, qui exercent leurs activités dans l'Union. Quelques activités sont visées quelle que soit leur taille (art. 2).	Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard un mois après (art. 23).	Au CSIRT ou à l'autorité compétente de l'État membre concerné.	Maximum d'au moins 10'000'000 EUR ou 2 % du chiffre d'affaires mondial (entités essentielles), d'au moins 7'000'000 EUR ou 1,4 % (entités importantes), art. 34.

Ai-je 72 heures pour annoncer une violation de données en Suisse ?

Non. Le délai de 72 heures vient du RGPD européen. L'art. 24 de la loi suisse sur la protection des données demande une annonce « dans les meilleurs délais », sans chiffre. L'annonce doit indiquer au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées.

Toutes les violations ne sont pas à annoncer. Le PFPDT précise que seules le sont celles qui sont susceptibles d'engendrer un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Il publie un guide sur cette notion de risque élevé.

Les 72 heures vous concernent seulement si le RGPD s'applique à votre traitement : par exemple si vous vendez à des particuliers en France, ou si vous êtes le sous-traitant d'un client européen qui, lui, doit notifier son autorité.

Mon entreprise doit-elle annoncer une cyberattaque à l'OFCS sous 24 heures ?

Seulement si elle figure dans la liste de l'art. 74b de la loi sur la sécurité de l'information. L'obligation est en vigueur depuis le 1er avril 2025 et vise les exploitants d'infrastructures critiques. L'OFCS l'écrit clairement : pour les entreprises qui ne font pas partie des infrastructures critiques, il n'existe actuellement aucune obligation légale de signaler les cyberincidents. Le signalement volontaire reste recommandé.

Un test simple en trois questions :

Votre activité figure-t-elle dans la liste de l'art. 74b (énergie, eau, transports, santé, finance, télécommunications, informatique en nuage, etc.) ?
Si oui, entrez-vous dans une exception de l'ordonnance sur la cybersécurité prévue pour les petites entreprises ?
En cas de doute, demandez à l'OFCS : la loi l'oblige à vous renseigner et, sur demande, à rendre une décision (art. 74a).

Attention au cas du prestataire informatique. Selon la FAQ de l'OFCS, si vous subissez une attaque et que vos clients sont des infrastructures critiques, un signalement est attendu.

Quelle différence entre l'annonce à l'OFCS et l'annonce nLPD ?

Elles ne protègent pas la même chose. L'annonce nLPD protège les personnes dont les données ont fui : elle va au PFPDT. L'annonce à l'OFCS sert à repérer tôt les modes d'attaque contre les infrastructures critiques et à avertir les autres victimes possibles. Une même attaque peut déclencher les deux. Le formulaire de l'OFCS permet de demander la transmission du signalement au PFPDT.

Ni l'une ni l'autre n'est une plainte pénale. Pour cela, il faut s'adresser à la police cantonale.

Entreprise suisse avec des clients dans l'UE : RGPD et NIS2

NIS2 est une directive : chaque État membre la transpose dans sa loi et désigne ses autorités. En règle générale, elle ne s'applique pas directement à une petite entreprise établie en Suisse qui n'exerce pas dans l'Union une activité visée par le texte. Elle vous atteint par vos clients. L'art. 21 oblige les entités régulées à gérer « la sécurité de la chaîne d'approvisionnement », y compris la relation avec leurs fournisseurs et prestataires directs. En pratique, votre client européen vous envoie un questionnaire de sécurité ou ajoute des clauses à votre contrat.

Côté RGPD, si vous traitez des données pour un client européen, attendez-vous à devoir lui signaler toute violation « dans les meilleurs délais » (art. 33, par. 2) et à prouver vos mesures de sécurité.

Et en France ?

Le RGPD s'applique directement. Une violation de données personnelles se notifie à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures, lorsqu'elle présente un risque pour les personnes. Pour NIS2, l'ANSSI suit la transposition et publie les textes et le référentiel applicables. Vérifiez l'état d'avancement sur sa page avant de vous engager par contrat.

Et en Belgique ?

Le RGPD s'applique directement. Une violation de données personnelles se notifie à l'Autorité de protection des données (APD) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque. La notification se fait par le portail de l'APD, dans l'une des trois langues nationales. Les notifications envoyées par e-mail ne sont pas traitées.

NIS2 est transposée par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité, dite loi NIS2, entrée en vigueur le 18 octobre 2024. Les entités « essentielles » et « importantes » des secteurs listés dans ses annexes notifient leurs incidents significatifs au CSIRT national, le Centre pour la Cybersécurité Belgique (CCB) : alerte précoce dans les 24 heures, notification dans les 72 heures (24 heures pour les prestataires de services de confiance), rapport final au plus tard un mois après. Elles doivent aussi s'enregistrer auprès du CCB. Les autres entreprises peuvent écrire au CCB, voir la première heure.

Et en Allemagne et en Autriche ?

Le RGPD s'y applique tel quel : même délai de 72 heures, même logique de risque. Seule l'autorité change. En Autriche, la notification va à la Datenschutzbehörde, qui met un formulaire en ligne à disposition. En Allemagne, les entreprises privées relèvent en règle générale de l'autorité de protection des données de leur Land : la liste est publiée par le BfDI.

NIS2 y est transposée dans la loi nationale :

Allemagne : la loi sur le BSI (BSIG, § 32), en vigueur depuis le 6 décembre 2025. Les entités « particulièrement importantes » et « importantes » envoient une première alerte dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après, à un guichet commun du BSI et du BBK. L'enregistrement se fait sur le portail du BSI, qui propose aussi un test pour savoir si l'on est concerné.
Autriche : la loi NISG 2026, appliquée depuis le 1er octobre 2026 par le nouvel Office fédéral de la cybersécurité (Bundesamt für Cybersicherheit). Les entités « essentielles » et « importantes » alertent leur CSIRT dans les 24 heures, notifient dans les 72 heures et remettent un rapport final un mois après au plus tard.

Pour savoir si votre entreprise entre dans ces catégories, vérifiez auprès de l'autorité : les seuils et les secteurs sont fixés par chaque loi nationale.

Ce que ces textes attendent de votre sécurité

Ces textes demandent la même chose avec d'autres mots : des mesures techniques et organisationnelles adaptées au risque (LPD art. 8, RGPD art. 32, NIS2 art. 21). Le RGPD cite même « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité » de ces mesures.

Pour savoir où vous en êtes : le scan gratuit de Ryze Cyber, un questionnaire de 10 questions.
Pour tester : la Red Team essaie d'entrer, dans un cadre signé, et remet un rapport classé par gravité. Voir comment se passe un test d'intrusion.
Pour tenir dans la durée : la Blue Team durcit les accès et les sauvegardes et vérifie chaque mois. Voir Red Team et Blue Team.

Cette page explique la règle générale et cite les textes. Ce n'est pas un conseil juridique. Pour votre cas, vérifiez auprès de l'autorité de votre pays ou d'un juriste.

Questions fréquentes

La nLPD impose-t-elle un délai de 72 heures ?

Non. L'art. 24 de la loi suisse demande une annonce au PFPDT « dans les meilleurs délais », sans nombre d'heures. Les 72 heures viennent de l'art. 33 du RGPD et ne s'appliquent que si ce règlement vous concerne.

En Suisse, une PME ordinaire doit-elle annoncer une cyberattaque à l'OFCS ?

Non, sauf si elle exploite une infrastructure critique listée à l'art. 74b de la loi sur la sécurité de l'information. Pour les autres entreprises, l'OFCS indique qu'il n'existe pas d'obligation légale. Il recommande un signalement volontaire.

Qui risque l'amende de 250'000 francs prévue par la nLPD ?

Les dispositions pénales de la loi visent des personnes privées qui agissent intentionnellement, par exemple en ne respectant pas les exigences minimales de sécurité. Si l'amende ne dépasse pas 50'000 francs et que l'enquête pour identifier la personne serait disproportionnée, l'autorité peut condamner l'entreprise à sa place (art. 64).

NIS2 s'applique-t-elle à une petite entreprise suisse ?

Pas directement dans le cas général : la directive vise des entités actives dans l'Union, à partir de la taille d'une entreprise moyenne, dans des secteurs précis. Elle vous touche par contrat, parce que vos clients régulés doivent sécuriser leur chaîne d'approvisionnement.

Faut-il aussi prévenir les personnes dont les données ont fui ?

En droit suisse, oui lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l'exige. Sous le RGPD, oui lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Vous ne savez pas où vous en êtes ?

Le scan gratuit de Ryze Cyber est un questionnaire de 10 questions. Il prend deux minutes, le score s'affiche tout de suite et rien n'est testé sur vos systèmes.

Faire le scan gratuit →

Sources

Dernière mise à jour : 8 octobre 2026