Cybersécurité · Zurich · CH / UE

Une sécurité qui se justifie.

Nous pensons la cybersécurité dans une perspective économique du conflit — l'investissement doit correspondre à la valeur de l'information. Cette négociation, nous la conduisons là où elle a sa place : entre conseil d'administration, juridique et compliance.

Comprendre la réglementation UE
Ce que nous faisons

Trois disciplines, une doctrine.

Du positionnement stratégique à l'évaluation juridiquement opposable, jusqu'à la pratique réglementaire. Indépendamment du secteur et de la taille, de la PME au grand groupe.

01 / Stratégie

Une stratégie qui relie.

Nous travaillons au niveau où les décisions de sécurité se prennent réellement — entre conseil d'administration, juridique et compliance. Besoin de protection, doctrine et logique d'investissement ne sont pas délégués ici ; ils sont négociés.

  • Doctrine de sécurité et positionnement stratégique
  • Évaluation des actifs et économie du risque
  • Priorisation des investissements et portefeuille sécurité
  • Pont vers le juridique, la compliance et l'audit
  • Dialogue avec la direction et le conseil d'administration
02 / Évaluation

Une sécurité juridiquement opposable.

Des évaluations indépendantes qui tiennent devant les assureurs, en due diligence et en procédure. Nous chiffrons ce que d'autres se contentent d'évoquer — état de l'art, devoir de diligence, potentiel de dommage.

  • Solidité face aux assureurs (primes et sinistres)
  • Vue cyber en due diligence (M&A · investissements)
  • État de l'art et devoir de diligence — opposable à l'audit
  • Accompagnement en procédure (arbitrage · autorité)
  • Modélisation du potentiel de dommage
03 / Réglementation

La réglementation, mise en pratique.

Nous traduisons les directives en réalité opérationnelle — sans théâtre du buzzword, avec des traces vérifiables. Solides à l'interface Suisse / UE, de la réglementation cyber à celle de l'IA.

  • Réglementation cyber UE — NIS-2 et Cyber Resilience Act
  • AI Act européen, gouvernance de l'IA et adoption sûre de l'IA
  • LSI suisse (ISG) et obligation d'annoncer à l'OFCS (BACS)
  • ISO 27001 / 27002
  • FINMA · DORA · sectoriel
  • Maturité d'audit et solidité face à l'autorité
Le paysage réglementaire

L'Europe resserre son périmètre.
Quel impact pour la Suisse ?

De NIS-2 au Cyber Resilience Act jusqu'à l'AI Act, l'UE formule son exigence la plus complète à ce jour en matière de cybersécurité — et, pour la première fois, pour l'usage de l'IA. Les entreprises suisses ne sont pas directement assujetties — mais via les filiales UE, les marchés UE et les chaînes d'approvisionnement, la pression passe presque sans interruption.

24h
Pré-alerte pour incidents significatifs — dans l'UE comme sous la LSI suisse depuis avril 2025.
35M€
Amende maximale sous l'AI Act européen pour pratiques d'IA interdites — ou 7 % du chiffre d'affaires mondial annuel.
2027
Application pleine du Cyber Resilience Act dès décembre 2027 — le même mois, les obligations haut risque de l'AI Act s'appliquent.

L'UE régule la cybersécurité selon deux axes. La directive NIS-2 oblige les organisations : 18 secteurs, gestion des risques, diligence sur la chaîne d'approvisionnement, annonce sous 24 heures — et la direction engage sa responsabilité personnelle.

Le Cyber Resilience Act s'adresse aux produits — tous les « produits avec éléments numériques » sur le marché intérieur de l'UE, du capteur IoT au logiciel autonome. La sécurité by design devient obligatoire, le marquage CE inclura la cybersécurité, et la responsabilité ne s'arrête pas à la vente.

  • Organisations NIS-2 : 18 secteurs, entreprises moyennes et grandesGestion des risques, concepts de sécurité, diligence sur la chaîne d'approvisionnement — responsabilité personnelle des organes de direction.
  • Produits CRA : security by design · gestion des vulnérabilités · mises à jourÉvaluation de conformité avant mise sur le marché ; support sur toute la durée de vie du produit.
  • Annonce 24 h pré-alerte · 72 h notification · 1 mois rapport finalSous le CRA en plus : vulnérabilités activement exploitées à l'ENISA dès septembre 2026.
  • Sanctions Jusqu'à 10 M€ ou 2 % (NIS-2) · jusqu'à 15 M€ ou 2,5 % (CRA)S'y ajoutent retrait du marché, retrait du marquage CE et interdictions temporaires d'activité pour les organes de direction.
L'UE traite la cybersécurité comme une discipline de compliance au même titre que la protection des données ou la lutte contre le blanchiment — avec des obligations vérifiables et des sanctions sensibles plutôt que de pieux souhaits.

Avec l'AI Act, l'UE régule pour la première fois l'usage de l'IA de manière globale — selon le risque, des pratiques interdites aux obligations de transparence en passant par les systèmes à haut risque. Le règlement porte au-delà de l'UE : il s'applique même lorsqu'un système est exploité hors de l'UE mais que son résultat y est utilisé. Les entreprises suisses entrent dans le champ plus vite que beaucoup ne le pensent.

Le droit n'est que la moitié de l'équation. Introduire l'IA crée de nouvelles surfaces d'attaque et de fuite : usage incontrôlé de l'IA par les collaborateurs, secrets d'affaires dans des modèles tiers, systèmes manipulables. Et dès que des données personnelles sont en jeu, la LPD révisée et le RGPD s'appliquent pleinement — la neutralité technologique ne protège pas de la surveillance.

  • Approche Fondée sur le risque — les obligations croissent avec la classe de risqueLes systèmes à haut risque exigent gestion des risques, qualité des données, surveillance humaine et documentation.
  • Calendrier Interdictions depuis 02 / 2025 · transparence dès 08 / 2026 · haut risque dès 12 / 2027Les échéances haut risque ont été reportées en 2026 par le « Digital Omnibus » à décembre 2027 et août 2028.
  • Sanctions Jusqu'à 35 M€ ou 7 % du CA mondial annuelPour les pratiques interdites ; autres infractions jusqu'à 15 M€ ou 3 %.
  • Données Les données personnelles dans les systèmes d'IA relèvent de la LPD et du RGPDLa LPD suisse révisée est technologiquement neutre — elle couvre pleinement l'usage de l'IA.
Introduire l'IA exige les deux : un cadre juridique qui tient devant l'autorité, et un cadre de sécurité qui empêche fuite de données et abus — avant la mise en production du premier système, pas après.

La Suisse n'est pas membre de l'UE — NIS-2, le CRA et l'AI Act ne s'y appliquent pas directement. Il serait pourtant illusoire de croire les entreprises suisses non concernées. L'effet passe par trois canaux, et il est bien réel.

i

Filiales UE

Un établissement dans l'espace UE est directement soumis au droit local de l'UE — avec toutes les obligations d'annonce et plafonds d'amendes.

ii

Services vers le marché UE

Celui qui offre depuis la Suisse des services numériques ou des systèmes d'IA dans l'UE entre souvent directement dans le champ — l'AI Act s'applique dès que le résultat est utilisé dans l'UE.

iii

Chaîne d'approvisionnement

Les clients UE sont tenus de contrôler leurs fournisseurs. Les obligations de l'UE sont ainsi répercutées « en amont » — par contrats plutôt que par lois.

En parallèle, la Suisse durcit son propre cadre. La loi sur la sécurité de l'information (LSI / ISG) est en vigueur depuis janvier 2024 ; depuis le 1 avril 2025, une obligation d'annonce dans les 24 heures s'applique aux exploitants d'infrastructures critiques vis-à-vis de l'Office fédéral de la cybersécurité (OFCS / BACS). En cas de manquement, des amendes jusqu'à CHF 100 000 sont prévues. Une extension du champ vers la logique de l'UE est prévisible.

La vraie question n'est pas « sommes-nous compliants ? » mais « sommes-nous résilients — et pouvons-nous le démontrer ? » Qui veut des réponses devrait les avoir avant l'incident, pas après.
Calendrier

Ce qui entre en vigueur, et quand.

La vague réglementaire ne commence pas en 2027 — elle est en marche depuis 2024. Les dates ci-dessous sont les piliers. La préparation commence plusieurs trimestres en amont.

  1. 01 · 2024
    LSI suisse en vigueur Premières obligations d'annonce pour les services fédéraux et les exploitants d'infrastructures critiques.
  2. 02 · 2025
    AI Act : interdictions en vigueur Les pratiques interdites — du social scoring à l'IA manipulatrice — sont proscrites.
  3. 04 · 2025
    CH : obligation d'annonce 24 h active Notification à l'OFCS obligatoire pour les exploitants d'infrastructures critiques.
  4. 08 · 2026
    AI Act : obligations de transparence L'interaction avec une IA et les contenus générés doivent être reconnaissables.
  5. 09 · 2026
    Obligations d'annonce CRA actives Vulnérabilités actives et incidents à annoncer — réalité des fabricants.
  6. 12 · 2027
    Application pleine du CRA · haut risque IA Pas de CE sans cyber — et l'IA à haut risque exige la démonstration complète.

Pas de discours commercial.
Quinze minutes de clarté sur ce que vous devez réellement protéger.

À propos de l'entreprise
Pour le confidentiel, privilégier Threema ou Signal — non par e-mail non chiffré