Infrastructures critiques dans le collimateur : ce que les exploitants peuvent faire

À propos de cette offre

Les cyberattaques contre les infrastructures critiques frappent une société en plein cœur. Une fourniture d'énergie paralysée, des lignes téléphoniques muettes, un arrêt des trains et des routes : des scénarios effrayants qui peuvent aussi devenir réalité en Suisse. Pour garantir la sécurité de l'approvisionnement en Suisse, les exploitants d'infrastructures critiques doivent agir dès maintenant. Quels sont les domaines d'action pour renforcer la protection contre les cybermenaces ?

C'est une idée fantomatique : soudainement et sans intervention des exploitants, les vannes d'un barrage hydroélectrique s'ouvrent. 500 litres par seconde s'écoulent de manière incontrôlée pendant plusieurs heures. C'est ce qui s'est passé au printemps 2025 dans l'ouest de la Norvège. L'événement n'a pas eu de conséquences graves. Néanmoins, il suscite des inquiétudes : car ce sont des hackers russes qui ont pris le contrôle à distance du barrage.

Ce n'est pas un cas isolé : selon le rapport actuel Forescout Global Threat Roundup, plus de 900 millions de cyberattaques sont documentées chaque année dans le monde. Les infrastructures critiques telles que les installations de télécommunication, les hôpitaux, les transports ou encore les centrales électriques sont de plus en plus ciblées par les cybercriminels. La Suisse n'est pas à l'abri : bien que le pays ait jusqu'à présent été épargné par de grandes pannes dues à des attaques par logiciels malveillants, le danger s'intensifie aussi ici. Depuis avril 2025, les exploitants d'infrastructures critiques sont tenus de signaler les cyberattaques dans les 24 heures à l'Office fédéral de la cybersécurité (OFCyber). Rien que dans les six premiers mois, 164 attaques ont été signalées – presque une attaque par jour.

Mesures fédérales

À différents niveaux, la Confédération a pris ces dernières années des mesures pour réduire les risques cybernétiques des infrastructures critiques. Depuis plusieurs années, un catalogue de recommandations concrètes existe sous la forme des « normes minimales TIC ». Elles sont obligatoires depuis 2024 pour le secteur de l'électricité, et depuis 2025 pour les fournisseurs de gaz. Ces normes minimales constituent une bonne ligne directrice destinée à aider les exploitants d'infrastructures critiques à évaluer les risques cybernétiques et à améliorer la résilience de leurs systèmes.

En juin 2023, le Conseil fédéral a également actualisé la Stratégie nationale de protection des infrastructures critiques (SKI). Elle comprend huit mesures pour maintenir et améliorer la sécurité de l'approvisionnement en Suisse. L'une d'elles est la vérification régulière des infrastructures critiques pour détecter les vulnérabilités et risques sérieux ainsi que les possibilités d'amélioration de la résilience. De plus, l'Office fédéral de la protection de la population (OFPP) a été chargé de tenir un registre périodiquement mis à jour des objets essentiels et des entreprises exploitantes, appelé inventaire des infrastructures critiques (inventaire SKI).

La sécurité de la chaîne d'approvisionnement est centrale

Les différents efforts de la Confédération sont importants et soulignent la gravité de la situation. Mais des mesures préventives mises en œuvre au niveau des exploitants – dans la gestion, les processus et la technique – sont également indispensables. C'est là que réside l'un des problèmes : de nombreuses entreprises dans le domaine des infrastructures critiques ne sont pas encore suffisamment conscientes de leur vulnérabilité accrue due à la numérisation et des risques liés aux cybermenaces. En particulier dans le domaine de la sécurité de la chaîne d'approvisionnement, la sensibilisation fait souvent défaut. Le problème fondamental réside dans la dépendance à l'égard du matériel et des logiciels étrangers. Si les composants matériels et logiciels présentent des configurations lacunaires ou des erreurs, ils peuvent pénétrer inaperçus en Suisse via la chaîne d'approvisionnement.

Chaque secteur d'infrastructure est exposé à une menace spécifique : les cyberattaques peuvent s'accompagner de chantage, de vol de données ou d'une paralysie de l'exploitation. Ce n'est que lorsque la connaissance de la menace spécifique est présente que des mesures de sensibilisation et de protection adéquates peuvent être développées.