La Suisse face au Cyber Resilience Act : deux calendriers, un seul fabricant

Le raisonnement que l’on entend le plus souvent tient en une phrase : la Suisse n’est pas dans le marché intérieur, donc le Cyber Resilience Act ne la concerne pas. La conclusion est fausse pour deux raisons distinctes, et il vaut la peine de les séparer, parce qu’elles n’appellent pas les mêmes décisions.

La première tient au règlement européen lui-même, qui ne se soucie pas du siège du fabricant mais du marché sur lequel le produit arrive. La seconde tient au droit suisse, qui impose déjà, depuis le 1er avril 2025, une obligation d’annonce dont la liste des assujettis nomme expressément certains fabricants de logiciels.

Ce que la Suisse impose déjà

L’obligation de signaler les cyberattaques contre les infrastructures critiques est entrée en vigueur le 1er avril 2025. Elle a été introduite dans la loi sur la sécurité de l’information par la loi fédérale du 29 septembre 2023, et ses dispositions d’exécution figurent dans l’ordonnance du 7 mars 2025 sur la cybersécurité.¹

Le mécanisme est simple à décrire. Les autorités et organisations énumérées par la loi veillent à ce que les cyberattaques visant leurs moyens informatiques soient signalées à l’Office fédéral de la cybersécurité.² Une attaque doit être signalée lorsqu’elle met en péril le fonctionnement de l’infrastructure critique, lorsqu’elle a entraîné une manipulation ou une fuite d’informations, lorsqu’elle n’a pas été détectée pendant une période prolongée, ou lorsqu’elle s’accompagne de chantage, de menaces ou de contrainte.³ Le signalement intervient dans les 24 heures suivant la détection, et il est complété dès que de nouvelles informations sont disponibles.⁴

Deux détails de ce régime méritent d’être connus, parce qu’ils sont rarement rapportés.

Le premier est que celui qui assume l’obligation d’annonce n’est pas tenu de fournir, dans ce cadre, des informations qui l’exposeraient à des poursuites pénales.⁵ La garantie est explicite dans le texte, et elle change la manière dont une annonce se rédige.

Le second est que la loi, dans sa version en vigueur au 1er avril 2025, n’assortit pas cette obligation d’une disposition pénale : le texte ne prévoit ni amende ni sanction administrative pour l’annonce omise ou tardive.⁶ Cela ne rend pas l’obligation facultative, mais cela distingue nettement le régime suisse du régime européen, où les manquements aux obligations de signalement de l’article 14 sont passibles des amendes les plus élevées du règlement.

Le point que presque personne ne relève : les fabricants de logiciels sont déjà visés

La liste des assujettis suisses est longue et se lit comme un inventaire d’infrastructures critiques : énergie, banques et assurances, hôpitaux répertoriés, transports, télécommunications, services en nuage ayant un siège en Suisse, registres de noms de domaine, services servant à l’exercice des droits politiques.⁷

Sa dernière entrée est d’une autre nature. La loi assujettit également « les fabricants de matériel informatique ou de logiciels dont les produits sont utilisés par des infrastructures critiques », à la condition que le matériel ou le logiciel dispose d’un accès de télémaintenance ou serve à la commande et à la surveillance de systèmes et de processus techniques, ou encore à la garantie de la sécurité publique.⁸

Autrement dit : la Suisse fait déjà peser une obligation liée au produit sur des fabricants qui ne sont pas eux-mêmes des infrastructures critiques. C’est, dans son principe, la même intuition que celle du Cyber Resilience Act, à un stade beaucoup plus modeste, et par le seul biais de l’annonce plutôt que par celui des exigences de conception.

L’ordonnance prévoit par ailleurs des exemptions chiffrées, que l’on oublie de vérifier avant de conclure qu’on est assujetti : les hautes écoles de moins de deux mille étudiants en sont dispensées, et plusieurs catégories d’entreprises énergétiques le sont selon les niveaux de protection qui leur sont applicables.⁹

Enfin, l’obligation ne s’arrête pas aux frontières des serveurs : elle s’applique aux cyberattaques qui ont un effet en Suisse, même si les moyens informatiques concernés se trouvent à l’étranger.¹⁰ Une entreprise suisse dont l’infrastructure est hébergée ailleurs n’échappe donc à rien.

Ce que la Suisse n’a pas encore

Sur les produits eux-mêmes, en revanche, il n’y a rien. Le Conseil fédéral l’a écrit lui-même, en toutes lettres, dans son communiqué du 20 août 2025 : il n’existe en Suisse pratiquement aucune directive sur la cyberrésilience des produits numériques.¹¹

Le même jour, il a chargé le Département de la défense d’élaborer un projet destiné à la procédure de consultation, en collaboration avec le département en charge de la communication et celui de l’économie. Le travail revient à l’Office fédéral de la cybersécurité, avec l’Office fédéral de la communication et le Secrétariat d’État à l’économie, et l’échéance annoncée est l’automne 2026. Les futures bases légales doivent fixer des règles sur la sécurité lors du développement et de la mise sur le marché des produits comportant des éléments numériques, organiser la surveillance du marché, et permettre d’interdire l’importation et la distribution d’appareils peu sûrs.¹²

Deux éléments de ce communiqué méritent d’être lus avec attention.

Le premier est l’origine parlementaire du chantier : la motion 24.3810, déposée par la Commission de la politique de sécurité du Conseil des États, qui charge le Conseil fédéral de combler cette lacune.¹³ Le dossier n’est donc pas une initiative administrative isolée, il porte un mandat.

Le second est la manière dont le communiqué formule son objectif d’alignement : il s’agit de tenir compte du contexte international, notamment du règlement européen, et de concevoir une législation adaptée à la place économique suisse, en veillant à ce que les entreprises suisses actives à l’international ne subissent pas de contraintes supplémentaires en raison de contradictions juridiques.¹⁴ Le Conseil fédéral traite donc la cyberrésilience des produits comme un chantier législatif suisse à coordonner avec l’Union, et non comme une matière déjà réglée par la reconnaissance mutuelle.

Pourquoi un fabricant suisse est déjà dans le champ du règlement européen

Le Cyber Resilience Act ne s’intéresse pas à la nationalité du fabricant. Il s’applique aux produits comportant des éléments numériques mis à disposition sur le marché de l’Union.¹⁵ Un fabricant établi en Suisse est donc concerné dès qu’un produit relevant du champ y est mis à disposition, directement ou par sa chaîne de distribution.

Le règlement organise d’ailleurs cette situation en détail plutôt que de l’ignorer. Il définit les obligations du mandataire, celles de l’importateur et celles du distributeur, et prévoit les cas dans lesquels un importateur ou un distributeur se voit appliquer les obligations du fabricant.¹⁶

La preuve la plus nette de cette portée se trouve dans le mécanisme d’annonce. Lorsqu’un fabricant n’a pas d’établissement principal dans l’Union, le règlement désigne lui-même le CSIRT auquel il doit adresser ses signalements, selon un ordre de rattachement : l’État membre du mandataire, à défaut celui de l’importateur qui met sur le marché le plus grand nombre de ses produits, à défaut celui du distributeur, à défaut celui où se trouvent le plus grand nombre de ses utilisateurs.¹⁷ Une règle destinée aux fabricants hors Union est une règle qui les vise.

Les deux calendriers, côte à côte

L’essentiel tient dans leur décalage.

Du côté européen, les obligations de signalement de l’article 14 s’appliquent à partir du 11 septembre 2026, et l’ensemble du règlement à partir du 11 décembre 2027.¹⁸

Du côté suisse, l’obligation d’annonce liée aux infrastructures critiques est en vigueur depuis le 1er avril 2025, et le projet sur la cyberrésilience des produits doit seulement partir en consultation à l’automne 2026.¹⁹ Une procédure de consultation n’est pas une loi : viendront ensuite le message, les débats parlementaires, le délai référendaire et l’entrée en vigueur.

Un fabricant suisse qui exporte vers l’Union se trouve donc, en 2026 et 2027, soumis à des obligations européennes complètes alors que le texte suisse censé s’y articuler n’existe pas encore. C’est la conséquence pratique la plus importante de ce dossier, et elle ne dépend d’aucun pronostic : elle se lit dans les deux calendriers.

Ce que cela implique, sobrement

Trois questions se posent, dans cet ordre, et aucune n’exige d’attendre le texte suisse.

La première est celle du champ : vos produits sont-ils des produits comportant des éléments numériques au sens du règlement, et sont-ils mis à disposition sur le marché de l’Union, y compris par un distributeur que vous ne contrôlez pas ?

La deuxième est celle de l’annonce, parce qu’elle arrive en premier dans les deux ordres juridiques. Un fabricant peut relever à la fois de l’obligation suisse des 24 heures et de la chaîne européenne des 24 heures, 72 heures et 14 jours, avec deux destinataires différents et deux définitions différentes de ce qui déclenche l’annonce.

La troisième est celle de la période d’assistance, qui, elle, ne se rattrape pas après coup : elle se décide au moment où le produit est conçu et se déclare au moment où il est vendu.

Cette revue suivra le projet suisse à mesure qu’il paraîtra, et datera chaque mise à jour. La procédure de consultation, quand elle s’ouvrira, sera publiée sur le portail fédéral des consultations : c’est le document qu’il faudra lire, pas les commentaires qui en seront faits.

Notes

1. Loi fédérale du 18 décembre 2020 sur la sécurité de l’information (LSI), RS 128, état au 1er avril 2025 ; art. 74a à 74f introduits par la loi fédérale du 29 septembre 2023 (RO 2024 257 ; 2025 173 ; FF 2023 84). Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS), RS 128.51, art. 1, let. d. ↩

2. LSI, art. 74a, al. 1. ↩

3. LSI, art. 74d, let. a à d. ↩

4. LSI, art. 74e, al. 1 et 3. Le délai de 24 heures est également rappelé par l’Office fédéral de la cybersécurité, « Information sur l’obligation de signaler ». ↩

5. LSI, art. 74e, al. 4. ↩

6. Constat tiré de la lecture du texte consolidé de la LSI dans son état au 1er avril 2025 : les art. 74a à 74f ne comportent aucune disposition pénale, et la loi n’en prévoit pas ailleurs pour ce manquement. Sur l’état ultérieur du droit, se reporter à la version en vigueur au jour de la lecture. ↩

7. LSI, art. 74b, al. 1, let. a à t. ↩

8. LSI, art. 74b, al. 1, let. u. ↩

9. OCyS, art. 12, al. 1. ↩

10. LSI, art. 74b, al. 3. ↩

11. Conseil fédéral, communiqué du 20 août 2025, « Le Conseil fédéral souhaite renforcer la cyberrésilience des produits numériques ». ↩

12. Même communiqué. ↩

13. Motion 24.3810, « Réalisation de contrôles de cybersécurité urgents et nécessaires », Commission de la politique de sécurité du Conseil des États, citée par le communiqué précité. ↩

14. Même communiqué, section « Législation en phase avec le contexte international ». On relèvera que ce texte date l’entrée en vigueur du règlement européen au 11 décembre 2024, alors que l’art. 71, par. 1, du règlement conduit au 10 décembre 2024. ↩

15. Règlement (UE) 2024/2847, art. 2, par. 1. ↩

16. Règlement (UE) 2024/2847, art. 18 (mandataires), art. 19 (importateurs), art. 20 (distributeurs) et art. 22 (autres cas dans lesquels les obligations des fabricants s’appliquent). ↩

17. Règlement (UE) 2024/2847, art. 14, par. 7, troisième alinéa, let. a à d. ↩

18. Règlement (UE) 2024/2847, art. 71, par. 2. ↩

19. LSI, art. 74a à 74f, en vigueur depuis le 1er avril 2025 ; communiqué du Conseil fédéral du 20 août 2025 pour l’échéance de l’automne 2026. ↩