Deux calendriers, et un seul est encore négociable
Les industriels suisses vivent sous deux régimes : le droit suisse pour leurs opérations, le droit européen pour leurs produits exportés. Les échéances ne se recouvrent pas.
| Date | Texte | Ce qui s'applique | Qui est concerné |
| 1er avril 2025 | Loi sur la sécurité de l'information (LSI) | Annonce de toute cyberattaque à l'OFCS sous 24 h | Exploitants d'infrastructures critiques suisses |
| 1er octobre 2025 | LSI | Amendes jusqu'à 100 000 CHF en cas de non-annonce | Idem |
| 11 juin 2026 | Cyber Resilience Act (UE 2024/2847) | Régime des organismes d'évaluation de la conformité | Organismes notifiés |
| 11 septembre 2026 | Cyber Resilience Act, art. 14 | Signalement des vulnérabilités exploitées et incidents graves, via la plateforme ENISA | Tout fabricant vendant dans l'UE, produits déjà sur le marché inclus |
| 11 décembre 2027 | Cyber Resilience Act | Application intégrale : sans conformité, pas de marquage CE | Matériel, logiciel et systèmes de commande vendus dans l'UE |
La ligne à retenir est la quatrième. Beaucoup d'industriels romands ont calé leur planification sur décembre 2027 et traitent 2026 comme une année de préparation. C'est une lecture erronée : l'obligation de signalement s'active en septembre prochain, indépendamment du basculement complet, et elle couvre l'existant. Un fabricant de commandes industrielles sans canal de divulgation ni procédure de notification a sept semaines pour en construire un. Les sanctions montent à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial, mais la vraie conséquence est ailleurs : sans conformité, pas de marquage CE, donc pas de vente.
L'obligation suisse : qui annonce, et qui en est dispensé
Une confusion circule encore : le NCSC et l'OFCS ne sont pas deux organismes. Le Centre national pour la cybersécurité est devenu l'Office fédéral de la cybersécurité (OFCS), rattaché au DDPS. Il n'y a qu'un interlocuteur.
L'obligation couvre neuf secteurs : autorités, énergie, élimination des déchets, finance, santé, information et communication, alimentation, sécurité publique, transports. Le signalement se fait sous 24 heures via le Cyber Security Hub environ 1 600 membres à fin 2025 et peut être complété sous quatorze jours.
L'exemption est moins connue : sont dispensées les entreprises de moins de 50 personnes et réalisant moins de 10 millions de francs de chiffre d'affaires ou de bilan dans le domaine lié à l'infrastructure critique. Les deux conditions sont cumulatives. Un sous-traitant de 60 personnes dans l'énergie est assujetti.
Ce que les signalements racontent
Le rapport annuel de l'OFCS (février 2026) donne 222 annonces obligatoires à fin 2025, puis 325 cumulées dans le rapport semestriel de mars 2026. Au second semestre 2025, elles viennent surtout du secteur administratif (25 %), de l'informatique et des télécommunications (18 %) et des banques et assurances (15,7 %). Les signalements volontaires ont atteint 64 733 en 2025, environ 2 000 de plus qu'en 2024.
Ce que ces chiffres ne disent pas : la part industrielle, faible dans les annonces obligatoires. Soit l'industrie manufacturière est moins ciblée, soit elle détecte moins. Notre lecture chez Fed Engineering penche pour la seconde : on ne signale que ce qu'on voit, et voir suppose des gens capables de regarder.
Pourquoi l'OT ne se pilote pas comme l'IT
La différence n'est pas une nuance technique, c'est une inversion de priorités. Elle explique pourquoi transposer une équipe IT sur un parc machine échoue.
| Critère | Environnement IT | Environnement OT / ICS |
| Priorité première | Confidentialité de la donnée | Disponibilité et sécurité des personnes |
| Cycle de vie des équipements | 3 à 5 ans | 15 à 30 ans |
| Fenêtre de mise à jour | Hebdomadaire, automatisée | Arrêt de production planifié, parfois annuel |
| Conséquence d'un incident | Fuite, service indisponible | Arrêt de ligne, dommage matériel, risque humain |
| Interlocuteur naturel | DSI | Production et maintenance |
La dernière ligne est celle qui coûte le plus cher. Sur la majorité des sites romands que nous accompagnons, le parc automate ne relève pas de la DSI et personne n'en est formellement propriétaire du point de vue sécurité. La gouvernance manque avant la technologie.
Le goulot n'est pas technologique, il est humain
ICT-Formation professionnelle Suisse a chiffré le besoin en septembre 2025 : 266 000 personnes travaillaient dans les métiers TIC en 2024, et il en faudra 128 600 de plus d'ici 2033. La formation en produira 44 400, la migration 29 800. Reste un déficit de 54 400 personnes. Deux tiers de ces professionnels travaillent hors du secteur TIC dans l'industrie, précisément. Les fourchettes de rémunération donnent le coût d'entrée.
| Fonction | Fourchette | Source |
| Analyste SOC | 75 000 – 130 000 CHF | Michael Page, étude publiée en avril 2026 |
| Ingénieur cybersécurité | 90 000 – 130 000 CHF (médiane 115 000) | swissdevjobs.ch |
| Information Security Officer | 130 000 – 180 000 CHF | Michael Page |
| CISO | 170 000 – 280 000 CHF | Michael Page |
Ces grilles concernent des profils IT. Pour un poste réellement OT quelqu'un qui lit un schéma de conduite autant qu'une table de flux l'offre se réduit et le positionnement se fait en haut de fourchette. Nous constatons quatre à six mois de délai sur ces mandats, contre huit à dix semaines sur un profil sécurité IT généraliste : la pénurie d'ingénieurs en Suisse sous sa forme la plus aiguë.
Ce que coûte une équipe, ce que coûte son absence
Cas représentatif du tissu industriel romand : 180 collaborateurs, 42 millions de CHF de chiffre d'affaires dont 60 % à l'export vers l'UE, soit environ 25 millions de revenus exposés au Cyber Resilience Act.
| Poste de coût | Montant annuel |
| Responsable sécurité OT, salaire brut | 140 000 CHF |
| Charges patronales (environ 15 %, selon l'âge et le plan LPP) | 21 000 CHF |
| Certification et formation continue | 8 000 CHF |
| Appui externe ponctuel (audit, expertise normative) | 25 000 CHF |
| Total | 194 000 CHF |
Soit 0,78 % du chiffre d'affaires à protéger. À comparer au plafond de sanction du règlement, 2,5 % du chiffre d'affaires mondial, et surtout à la perte du marquage CE : elle ne se chiffre pas en amende mais en fermeture de marché.
Notre position chez Fed Engineering est directe : sur un site exportateur, externaliser toute la fonction sécurité OT est une erreur. Un prestataire audite, documente et repart, alors que la conformité au Cyber Resilience Act est une obligation continue de surveillance et de signalement sur toute la durée de vie du produit. Elle suppose quelqu'un qui reste. Le modèle qui marche combine un responsable interne et un appui externe sur les pics, pas l'inverse.
Quatre profils, dans cet ordre
Les entreprises qui réussissent leur montée en conformité ne recrutent pas quatre personnes d'un coup : elles séquencent.
- Le responsable sécurité OT. Premier recrutement, et le seul qui ne se délègue pas. Profil type : automaticien ou ingénieur électricien avec sept à douze ans de terrain, monté en compétence sécurité par certification. Un pur informaticien échoue ici : il ne parle pas la langue de la production.
- L'ingénieur réseaux industriels. Segmentation, cartographie des actifs, architecture. Souvent recrutable en interne parmi les équipes maintenance, avec dix-huit mois de formation.
- Le responsable conformité produit. Sous-estimé partout. Il porte le dossier CRA, la documentation technique et le canal de signalement. Un profil qualité ou affaires réglementaires reconverti va souvent plus vite qu'un recrutement externe.
- L'analyste détection. En dernier, et seulement si le volume le justifie. En dessous d'un certain seuil, un service externalisé de surveillance est plus efficace qu'un poste isolé.
Sur les deux premiers profils, la reconversion interne bat le recrutement externe une fois sur deux, à condition de financer la certification : les parcours sont détaillés dans notre article sur la formation continue des ingénieurs. Pour la partie externe, voir notre guide du recrutement d'ingénieurs en Suisse.
Questions fréquentes
Une PME suisse non exportatrice est-elle concernée par le Cyber Resilience Act ?
Pas directement. Mais si elle fournit un composant intégré dans un produit vendu dans l'UE, son client le lui répercutera par contrat. La contrainte remonte la chaîne d'approvisionnement.
La Suisse va-t-elle transposer NIS2 ?
Aucune reprise n'est prévue. La LSI et son obligation d'annonce constituent la réponse suisse, sur un périmètre plus étroit. Les entreprises suisses subissent NIS2 par leurs clients européens, pas par leur propre droit.
La CEI 62443 est-elle obligatoire en Suisse ?
Non, c'est une norme, pas une loi. Elle devient contractuellement exigible dans de nombreux appels d'offres industriels, ce qui produit le même effet.
Faut-il un CISO dans une entreprise industrielle de 200 personnes ?
Rarement. Un responsable sécurité OT rattaché à la direction technique couvre le besoin réel à un coût trois fois inférieur. Le titre se justifie à partir de plusieurs sites et d'un périmètre IT étendu.
Ressources et documents utiles
- Office fédéral de la cybersécurité (OFCS) obligation d'annonce et rapports semestriels
- Swissmem Cybersécurité industrielle
- Fedlex Loi sur la sécurité de l'information et ordonnance sur la cybersécurité
Lire aussi
- L'ingénieur 4.0 : compétences clés pour s'adapter à l'ère digitale
- Spécialisations d'avenir en ingénierie : robotique, IA, cleantech
- Automaticien en Suisse : combien gagne-t-on vraiment ?
- Les compétences numériques importantes dans le domaine du génie
- Permis de travail pour ingénieur étranger en Suisse
Sources
- OFCS, Rapport annuel 2025 (16.02.2026) et Rapport semestriel S2 2025 (30.03.2026) ; Conseil fédéral, communiqué du 07.03.2025 ; LSI et ordonnance sur la cybersécurité.
- Règlement (UE) 2024/2847 sur la cyberrésilience, art. 14 et 71 ; notes d'application Swissmem et SNV.
- ICT-Formation professionnelle Suisse, étude sur les besoins en personnel qualifié, septembre 2025.
- Michael Page, données salariales IT Suisse (avril 2026) ; swissdevjobs.ch.
