Aller au contenu
← Blog

Loi suisse sur la cybersécurité : ce que la décision du 25 septembre 2026 change pour un fabricant

Le Conseil fédéral a chargé le DDPS d'une loi fédérale sur la cybersécurité calquée sur le CRA, pour juin 2027. Ce qui attend les fabricants suisses, et par où commencer dans votre chaîne de build.

crasecuritysuisse

En bref. Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer d’ici juin 2027 un projet de loi fédérale sur la cybersécurité. Le texte s’inspirera du Cyber Resilience Act (CRA) européen et fixera des exigences contraignantes pour les fabricants, importateurs et commerçants de logiciels et de matériel, avec une surveillance du marché et la possibilité d’interdire la distribution de produits peu sûrs. Un produit vendu uniquement en Suisse, hors de portée du CRA aujourd’hui, entrera donc dans le même cadre. Ce que vous construisez maintenant pour le CRA servira deux fois.

Vous exportez déjà dans l’UE ? Rien de nouveau pour vous, et c’est la bonne nouvelle : le Conseil fédéral veut une loi harmonisée précisément pour vous éviter une deuxième conformité. Vous êtes une PME qui ne vend qu’en Suisse ? C’est pour vous que cette page est écrite.

➡️ Vérifier si votre produit est concerné : 3 minutes, sans e-mail

Ce que le Conseil fédéral a décidé🔗

Lors de sa séance du 25 septembre 2026, le Conseil fédéral a regroupé trois mandats du Parlement dans un seul projet de loi fédérale sur la cybersécurité, confié au DDPS avec un délai à juin 2027 :

  • la motion 24.3810, sur la cyberrésilience des produits numériques, celle qui avait déjà conduit au mandat du 20 août 2025 ;
  • la motion 23.3002, sur la protection des données numériques essentielles de la Suisse ;
  • la motion 25.3011, sur le rôle des fournisseurs d’hébergement et d’informatique en nuage.

Pour les fabricants, le communiqué est explicite. La loi fixera des « exigences contraignantes pour les fabricants, importateurs et commerçants de produits techniques », posera les bases de la surveillance du marché et permettra d’« interdire la distribution de produits peu sûrs ». Elle s’inspirera du CRA européen et devra « maintenir une charge administrative faible pour les entreprises ». L’argument central du Conseil fédéral : les entreprises actives à l’international respectent déjà le CRA, une loi suisse harmonisée leur évite une conformité supplémentaire.

Le reste du texte ne vous concerne pas directement : la loi sur la sécurité de l’information (LSI) reste la loi des autorités fédérales, l’obligation de signaler les cyberattaques contre les infrastructures critiques, en vigueur depuis le 1er avril 2025, est reprise, et les réglementations sectorielles (télécommunications, approvisionnement en électricité) restent en place.

Ce que cela change selon votre cas🔗

Vous vendez dans l’UE. Vous êtes déjà fabricant au sens du CRA, avec le signalement sous 24 heures depuis le 11 septembre 2026 et l’application complète le 11 décembre 2027. La loi suisse n’ajoute rien si elle reprend le CRA comme annoncé ; elle supprime au contraire le risque d’un second référentiel pour vos ventes en Suisse. Nous détaillons vos obligations par cas dans Le CRA s’applique-t-il aux PME suisses ?.

Vous vendez uniquement en Suisse. Aujourd’hui, aucune loi suisse n’exige de cybersécurité pour votre produit. C’est ce vide que le Conseil fédéral veut combler : exigences de conception, documentation, gestion des vulnérabilités, surveillance du marché et retrait des produits peu sûrs. Le contenu exact dépendra du projet du DDPS, mais la direction est donnée depuis le 20 août 2025 et confirmée le 25 septembre 2026 : le modèle est le CRA.

Vous fournissez un composant ou un firmware à un fabricant suisse. Votre client, s’il exporte, vous demande déjà un inventaire logiciel et un suivi des vulnérabilités. S’il ne vend qu’en Suisse, il vous les demandera dès que la loi sera en consultation, parce qu’il ne pourra pas attendre son entrée en vigueur pour reconstruire sa chaîne.

Le calendrier qui compte🔗

DateCe qui s’appliqueÀ qui
11 septembre 2026Signalement CRA des vulnérabilités activement exploitées : alerte sous 24 h, notification sous 72 h, rapport sous 14 joursFabricants qui vendent dans l’UE, produits déjà livrés compris
Juin 2027Projet de loi fédérale sur la cybersécurité remis par le DDPS, puis consultationToute la Suisse
11 décembre 2027Application complète du CRA : annexe I, SBOM, mises à jour de sécurité, marquage CEFabricants qui vendent dans l’UE
Non datéAdoption par le Parlement et entrée en vigueur de la loi suisseFabricants, importateurs et commerçants en Suisse

Le communiqué ne donne aucune date au-delà de juin 2027. Nous ne la devinerons pas à votre place ; nous notons seulement que la mise en place d’une chaîne de livraison conforme prend des mois, pas des semaines, et que le CRA, lui, est déjà daté.

Par où commencer, dans votre chaîne🔗

Si la loi suisse reprend le CRA, les exigences seront celles de son annexe I : connaître ses composants, suivre leurs vulnérabilités, corriger et livrer des mises à jour de sécurité, signaler. Chacune se fabrique à un endroit précis de votre chaîne de développement, et c’est là que nous commençons, pas dans un classeur.

  1. Un inventaire logiciel (SBOM) généré à chaque build, au format CycloneDX, à partir de votre dépôt et non d’un tableur. Pour le C++ et le Rust baremetal, la méthode est publiée : SBOM et audit CVE en CI/CD pour l’embarqué baremetal.
  2. Un scan des CVE dans le pipeline, avec un seuil de sévérité qui bloque la release, et Dependency-Track chez vous pour surveiller chaque version livrée après sa sortie.
  3. Des déclarations VEX pour documenter les CVE qui ne vous touchent pas, afin que votre équipe ne corrige que ce qui compte.
  4. Une procédure de signalement testée à blanc : qui détecte, qui qualifie, qui déclare, en moins de 24 heures. Une procédure qui n’a jamais servi ne tient pas un vendredi soir.
  5. Les preuves rangées au fur et à mesure. Ce qu’une autorité de surveillance vous demandera est connu : la checklist, obligation par obligation.

Tout cela se branche sur votre GitLab, votre GitHub ou votre Jenkins existant, sans chaîne parallèle. Le wiki CRA & Dev montre chaque technique avec son code.

Ce que nous faisons pour vous🔗

Depuis Le Locle, nous auditons votre produit et votre chaîne, nous mettons en place SBOM, scan CVE et Dependency-Track dans votre CI, nous écrivons et testons votre procédure de signalement, et nous livrons les corrections dans votre code. Les prix sont publics et l’audit n’est pas facturé si votre produit est hors périmètre : notre offre CRA. Vous conservez le marquage CE, et vous arrivez à la loi suisse avec une chaîne déjà en place.

➡️ Vérifier si votre produit est concerné : 3 minutes, sans e-mail

Questions fréquentes🔗

La loi suisse sur la cybersécurité est-elle déjà en vigueur ?🔗

Non. Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer un projet d’ici juin 2027. Suivront une consultation, puis le débat parlementaire. Aucune date d’entrée en vigueur n’est annoncée.

Un produit vendu seulement en Suisse devra-t-il respecter le CRA ?🔗

Pas le CRA lui-même, qui ne vise que le marché de l’UE. Mais la future loi suisse s’en inspirera, avec des exigences contraignantes pour les fabricants, importateurs et commerçants et une surveillance du marché. Construire sa chaîne sur le CRA aujourd’hui, c’est se préparer aux deux.

J’exporte déjà dans l’UE : la loi suisse m’ajoute-t-elle des obligations ?🔗

Le Conseil fédéral annonce l’inverse : une loi harmonisée avec le CRA pour éviter une conformité supplémentaire aux entreprises actives à l’international. Le contenu exact dépendra du projet du DDPS.

Que faire en attendant le projet de loi ?🔗

Ce que le CRA exige déjà de tout fabricant qui vend dans l’UE : un inventaire logiciel à chaque build, un suivi des vulnérabilités, une procédure de signalement testée et des mises à jour de sécurité. Notre diagnostic en 3 minutes vous dit si votre produit est concerné et par où commencer.

Références🔗