455 signalements de failles de sécurité en Suisse en 2026

Contexte

En bref

• 455 signalements de failles en 2026
• 343 signalements pour l’ensemble de 2025
• Enquête fédérale visant un fournisseur informatique externe
• Extension possible à des entités fédérales et à des caisses de pension

Faits clés

• Signalements 2026 : 455
• Signalements 2025 : 343 sur l’ensemble de l’année
• Autorité : PFPDT, Adrian Lobsiger
• Enquête : ouverte la semaine dernière
• Objectif actuel : fournisseur informatique externe

BERNE — Au cours de 2026, 455 signalements de violations de la sécurité des données en Suisse ont déjà été reçus par le Préposé fédéral à la protection des données et à la transparence (PFPDT). Adrian Lobsiger l’a déclaré dans une interview accordée au Sonntagsblick.

La comparaison indiquée dans la source porte sur les 343 signalements enregistrés sur l’ensemble de 2025. Le texte précise toutefois que le nombre effectif des incidents serait nettement supérieur, car un nombre élevé de cas ne sont pas signalés. Les 455 signalements représentent donc ce qui est parvenu à l’autorité, et non le total des incidents survenus.

L’enquête sur les caisses de pension

À la suite de la cyberattaque contre une société qui fournit des programmes informatiques à plusieurs caisses de pension suisses, le PFPDT a ouvert la semaine dernière une enquête formelle. La procédure concerne pour le moment le fournisseur informatique externe. Lobsiger n’a pas exclu qu’elle puisse être étendue par la suite à des organismes fédéraux et à des caisses de pension.

La source distingue la donnée déjà recueillie de l’enquête toujours ouverte. L’extension n’est pas décrite comme une décision prise, mais comme une possibilité que le Préposé n’a pas exclue. Pour des raisons liées au secret de l’instruction, Lobsiger n’a pas pu fournir davantage de détails sur le cas spécifique.

Le nœud de la gestion des données

Au-delà de l’épisode spécifique, le PFPDT a averti que relier les données entre elles et supprimer les barrières entre les silos peut accroître le risque de violations de la sécurité. L’autorité a indiqué deux précautions : ne transmettre que les données strictement nécessaires et travailler de préférence avec des données de test anonymisées.

Cette indication n’impute pas de violation au fournisseur et n’identifie pas la cause de l’attaque contre les caisses de pension. Elle relie en revanche le risque à la manière dont les données sont interconnectées, transmises et utilisées lors des tests. La source ne dit pas lesquels de ces éléments sont présents dans le cas examiné par le PFPDT ; le lien reste donc un avertissement général, et non un constat établi dans le cadre de la procédure.

Details pratiques

La comparaison permise par les données

Le nombre de signalements exige une lecture précise, car les deux périodes de référence ne coïncident pas. En 2025, le décompte couvre l'année entière ; pour 2026, la source parle de 455 signalements déjà reçus au cours de l'année. Le total 2026 a donc dépassé celui de 2025, mais le texte ne présente pas les deux valeurs comme correspondant à des périodes équivalentes.

La différence arithmétique est de 112 signalements. Rapportée aux 343 de l'ensemble de l'année 2025, elle équivaut à environ 33%. Il s'agit d'un calcul fondé sur les valeurs indiquées, et non d'un pourcentage annoncé par l'IFPDT. Il ne permet pas de transformer ce chiffre en prévision pour la fin de 2026, car la source ne précise pas quelle partie de l'année est couverte par les 455 signalements.

Une hausse à ne pas surinterpréter

Il y a ensuite une deuxième limite. L'IFPDT précise que de nombreux cas ne sont pas signalés et que le nombre réel des incidents serait nettement supérieur. Les signalements constituent donc une mesure des incidents communiqués à l'autorité ; le texte n'indique pas le nombre de cas exclus du décompte. Il n'est donc pas possible de déduire des seuls 455 et 343 le nombre total des violations, ni de déterminer dans quelle mesure l'absence de signalement pèse dans la comparaison entre les deux périodes.

Cette distinction permet également d'éviter d'établir un lien de causalité non documenté. La source présente dans le même cadre l'augmentation des signalements et l'attaque contre le fournisseur de logiciels des caisses de pension, mais elle n'affirme pas que cet épisode soit compris dans les 455, qu'il soit à l'origine du dépassement du chiffre de 2025 ou qu'il explique une part déterminée de l'augmentation.

Deux niveaux distincts

Le premier élément est donc agrégé : il s'agit de signalements reçus par l'IFPDT en Suisse. Le second est circonscrit : une enquête formelle ouverte à la suite d'une attaque contre un fournisseur de logiciels de plusieurs caisses de pension. Le seul lien vérifiable entre les deux est celui indiqué par le texte : le second fait a conduit à l'ouverture de l'enquête, tandis que le premier décrit le volume des signalements. Distinguer ces deux niveaux permet de lire les chiffres sans les transformer en explication du cas particulier.

Points cles

Menace numérique et responsabilités encore à clarifier

Dans l'interview, Lobsiger a qualifié de «réelle» la menace représentée par l'intelligence artificielle. Dans le même passage, il a toutefois distingué la menace technologique de l'analyse des causes : dans la grande majorité des attaques signalées, a-t-il affirmé, le point faible n'est pas la technologie, mais l'erreur humaine.

Les deux indications décrivent des plans différents. La première est une évaluation de la menace de l'intelligence artificielle ; la seconde concerne ce qui ressort de l'analyse des causes des attaques déjà signalées. La source ne dit pas que l'intelligence artificielle a été utilisée lors de l'attaque contre le fournisseur des caisses de pension. Elle ne dit pas non plus que, dans ce cas, le point faible ait été une erreur humaine. Attribuer l'une de ces deux causes à la procédure en cours irait au-delà des informations disponibles.

La phase d'instruction

En ce qui concerne également les responsabilités, le cadre reste ouvert. L'enquête formelle est, pour l'heure, dirigée contre le fournisseur informatique externe. Lobsiger n'a pas exclu une extension aux entités fédérales et aux caisses de pension, mais le texte ne présente pas cette éventualité comme une décision déjà prise. Le secret de l'instruction empêche en outre de connaître davantage de détails sur le cas précis.

La source n'indique pas quelles données ont été concernées, combien de caisses de pension sont touchées, ni quelle a été l'issue de l'attaque. Elle ne fait état ni de l'issue de l'enquête ni de sanctions. Ces omissions ne permettent pas de mesurer l'impact concret de l'épisode et n'autorisent pas à désigner des responsables au-delà du périmètre actuel de la procédure.

Le point établi

Trois éléments restent vérifiables. Le premier est le volume des signalements transmis à l'IFPDT et le fait que le nombre réel de cas soit considéré comme plus élevé en raison de la présence de cas non signalés. Le deuxième est l'ouverture d'une procédure fédérale à la suite d'une attaque contre un fournisseur de logiciels de plusieurs caisses de pension suisses. Le troisième est la mise en garde de l'IFPDT concernant l'exposition accrue liée à l'interconnexion des données, ainsi que sa préférence pour des données de test anonymisées.

Ces éléments dessinent un cadre national de la sécurité des données, mais pas une reconstitution complète de l'attaque. Restent distincts la donnée statistique, l'évaluation générale concernant l'intelligence artificielle, l'erreur humaine relevée dans la majorité des cas signalés et la responsabilité qui fait encore l'objet de l'enquête. C'est cette distinction, plus que les chiffres pris isolément, qui définit ce que la source permet aujourd'hui d'affirmer.

Source: tio.ch