Évaluation de la cyber-résilience : dans quelle mesure les communes et les entreprises suisses sont-elles résilientes face aux cyberattaques ?
L'Office fédéral de la cybersécurité (BACS) a mis au point un outil standardisé d'évaluation de la cyber-résilience et l'a testé pour la première fois en conditions réelles dans le canton d'Argovie. Les résultats montrent que des mesures de protection informatique de base sont en place, mais qu’un concept de résilience global et axé sur les processus fait encore défaut dans de nombreuses organisations.
Rédaction
-
6 juillet 2026
Photo : depositphoto/maxkabakov
La capacité à maintenir des services essentiels même après des cyberattaques et des perturbations informatiques revêt une importance croissante pour les organisations. Dans la pratique, cependant, il manque souvent un cadre structuré permettant d’évaluer son propre niveau de cyber-résilience et de le comparer à celui d’autres acteurs. Le BACS a donc, conformément à sa Méthode de cybersécurité et de résilience (CSRM) a mis au point l'évaluation de la cyber-résilience. Celle-ci permet aux organisations de procéder à une auto-évaluation autour de six objectifs de résilience et jette les bases d'une analyse comparative.
Contrairement à de nombreuses approches établies en matière de sécurité informatique, telles que le NIST CSF ou la norme ISO 27001, l'évaluation de la cyber-résilience se concentre délibérément sur les processus critiques pour l'activité d'une organisation et sur leurs dépendances vis-à-vis des systèmes informatiques (IT) et opérationnels (OT).
Projet pilote dans le canton d'Argovie
Un projet pilote a été mené dans le canton d'Argovie de mi-février à fin mars 2026 à des fins d'expérimentation pratique. Au total, 25 organisations y ont participé : 14 communes ainsi que 11 autres organisations issues des secteurs des services, de l'industrie, de l'informatique et des télécommunications, de l'approvisionnement en électricité et du bâtiment. Les organisations ont réalisé l'auto-évaluation de manière autonome. Le traitement du questionnaire a nécessité, selon les organisations, jusqu’à une journée de travail. Ce projet pilote a permis non seulement de tirer de premiers enseignements sur le fond, mais aussi de tester l’outil d’enquête numérique. Les retours d’expérience concernant l’ergonomie et la clarté des différentes questions sont directement pris en compte dans le perfectionnement de l’outil.
Principaux enseignements tirés du projet pilote
L'analyse fait ressortir une situation homogène dans les différents secteurs : de nombreuses organisations ont mis en place des mesures de protection de base, notamment en matière de sauvegarde des données, de contrôle d'accès ou de protection des systèmes informatiques. En revanche, on constate des faiblesses marquées dans l'intégration systématique de ces mesures à leurs propres processus métier. Ces lacunes sont particulièrement évidentes dans trois domaines :
Tout d'abord, lors du recensement structuré des dépendances entre l'informatique (IT) et les systèmes opérationnels (OT) tout au long des processus métier.
Deuxièmement, en matière de planification des situations d'urgence et de reprise après sinistre, où l'on constate souvent un manque de priorités clairement définies et d'exercices réguliers.
Troisièmement, la gestion des dépendances vis-à-vis des prestataires informatiques externes, un point faible récurrent dans tous les secteurs.
En résumé, on peut retenir que, dans de nombreuses organisations, la cyber-résilience repose encore sur des mesures isolées et non sur un concept global axé sur les processus. Alors que des mesures fondamentales de sécurité informatique sont souvent en place, la cyber-résilience, en tant qu’approche globale, n’est pas encore suffisamment ancrée dans de nombreux cas.
Valeur ajoutée pour les organisations, les cantons et la Confédération
Pour les organisations participantes, l'évaluation de la cyber-résilience offre un état des lieux structuré. Elle permet de mettre en évidence les points forts, d'identifier les angles morts et de hiérarchiser les mesures à prendre. L’analyse comparative permet en outre de se comparer à des acteurs similaires et constitue ainsi un outil précieux pour présenter de manière claire, en interne, les actions nécessaires à la direction. Pour les cantons et la Confédération, une utilisation à grande échelle du CyRA offre une vue d’ensemble du niveau de résilience de secteurs entiers. Cela jette les bases de mesures ciblées de soutien et de sensibilisation, ainsi que d’un pilotage fondé sur des données factuelles, en particulier dans les domaines d’action identifiés que sont la gestion des fournisseurs et le pilotage orienté processus de la sécurité informatique (IT) et des technologies opérationnelles (OT). L’utilité de cet outil augmente considérablement avec l’étendue de la base de données.
Les cantons, les associations et la Confédération disposent ainsi d'une vue d'ensemble du niveau de résilience de secteurs entiers.
Situation actuelle et perspectives
L'évaluation de la cyber-résilience en est actuellement au stade de prototype. Le projet pilote mené dans le canton d'Argovie a constitué le premier test pratique en conditions réelles. Sur la base des enseignements tirés, l'outil d'enquête numérique va désormais être perfectionné, dans le but de le mettre à la disposition d'un cercle d'utilisateurs plus large. Il s’agit notamment d’améliorer l’interface utilisateur, de rendre certaines questions plus compréhensibles et de réduire la charge de saisie. Ainsi, à l’avenir, les systèmes informatiques, applications et données partagés ne devront plus être saisis séparément pour chaque processus, mais pourront être affectés à plusieurs processus critiques pour l’activité. À moyen terme, une consolidation en un seul catalogue d’évaluation est prévue afin d’améliorer encore la comparabilité des résultats. À mesure que la base de données s’étoffe, l’évaluation de la cyber-résilience pourra devenir un outil central pour la gestion factuelle de la cyber-résilience aux niveaux régional et national.
Source : BACS
(Visité 79 fois, 3 visites aujourd'hui)
Plus d'articles sur le sujet
Progrès dans le renforcement de la cybersécurité
Hygiène numérique : des routines pour protéger nos données
2025 : 71% des entreprises mondiales touchées par au moins une usurpation d'identité
ACTUALITÉS SUR LA SÉCURITÉ
Restez informé sur les thèmes actuels de la sécurité - de manière pratique et fiable. Recevez des contenus exclusifs directement dans votre boîte de réception. Ne manquez aucune mise à jour.
