Appréciation de la cyberrésilience (CyRA) : Quel est le niveau de résilience des communes et des entreprises suisses face aux cyberattaques ?
L’Office fédéral de la cybersécurité (OFCS) a testé pour la première fois dans le canton d’Argovie un outil d’évaluation de la cyberrésilience standardisé, en conditions réelles. Les résultats obtenus montrent que des mesures de protection informatiques de base existent déjà, mais que beaucoup d’organisations manquent encore d’un concept de résilience global, orienté sur les processus.
Il est important que les organisations soient capables de continuer à fournir leurs prestations essentielles en cas de cyberattaques et de pannes informatiques. Or dans la pratique, il manque généralement aux organisations une base structurée pour évaluer leur propre cyberrésilience et se comparer à d’autres acteurs. L’OFCS a donc développé l’appréciation de la cyberrésilience (CyRA), conformément à sa méthode de cybersécurité et de résilience (MCSR). Cela doit permettre aux organisations de s’autoévaluer en tenant compte des six objectifs centraux de la cyberrésilience et de créer ainsi la base d’une analyse comparative. À la différence de nombreuses approches établies en matière de sécurité informatique, comme le cadre de cybersécurité NIST CSF ou la série de normes ISO 27000, la CyRA se concentre délibérément sur les processus considérés comme critiques pour l’organisation et leurs dépendances aux systèmes de technologie de l’information (TI) et de technologie opérationnelle (TO).
Projet pilote mené dans le canton d’Argovie
Le projet pilote a été mené dans le canton d’Argovie de mi-février à fin mars 2026. Au total, 25 organisations y ont participé, dont quatorze communes et onze autres organisations dans le secteur des services, de l’industrie, de l’informatique et des télécommunications, de l’approvisionnement en électricité et de la construction. Les organisations se sont évaluées, de manière indépendante. Selon l’organisation, le traitement du catalogue de contrôle a demandé jusqu’à un jour de travail. Le projet pilote a non seulement permis d’obtenir de premiers résultats concernant le contenu, mais aussi de tester l’outil d’enquête numérique. Les retours concernant le guide de l’utilisateur et l’intelligibilité de certaines questions servent directement à développer l’outil en question.
Principaux enseignements tirés du projet pilote
L’évaluation montre que la situation est la même dans les différents secteurs : de nombreuses organisations appliquent déjà des mesures de protection basiques, par exemple dans le domaine de la sécurité des données, des contrôles d’accès ou de la protection des systèmes informatiques. En revanche, les organisations ont de nettes lacunes en ce qui concerne la mise en lien systématique de ces mesures avec leurs propres processus d’affaires. Les lacunes sont notables dans trois domaines : premièrement, dans la saisie structurée des dépendances aux systèmes TI et TO tout au long des processus d’affaires ; deuxièmement, dans la planification d’urgence et la planification de la restauration, où il manque souvent des priorités clairement établies et des exercices réguliers ; troisièmement, dans la gestion des dépendances vis-à-vis de fournisseurs informatiques externes, un schéma de vulnérabilité récurrent et intersectoriel. En résumé, la cyberrésilience repose encore dans de nombreuses organisations sur des mesures ponctuelles et non pas sur un concept global orienté sur les processus. Alors que les mesures de sécurité informatique de base sont bien établies, la cyberrésilience, en tant que concept intégral, n’est pas encore suffisamment ancrée dans toutes les organisations.
Plus-value pour les organisations, les cantons et la Confédération
La CyRA permet aux organisations participantes de faire un état des lieux structuré. Les points forts sont mis en évidence, les angles morts identifiés et les mesures priorisées. L’analyse comparative est en outre un moyen de se confronter à des acteurs similaires ; il s’agit d’un instrument précieux pour expliquer clairement à la hiérarchie dans quels domaines il faut agir en interne. L’utilisation élargie de la CyRA permet aux cantons et à la Confédération d’avoir une vue agrégée de l’état de la cyberrésilience dans tous les secteurs. Une telle base sert à mettre en œuvre des mesures de soutien et de sensibilisation ciblées et à piloter, grâce à des données factuelles, les champs d’action identifiés, que sont l’administration des fournisseurs et la gestion de la sécurité TI et TO tout au long des processus considérés comme critiques pour l’entreprise. Plus la base de données est vaste et de qualité, plus l’utilité de l’outil d’évaluation croît.
Les organisations, les cantons et la Confédération peuvent ainsi avoir une vue agrégée de l’état de la cyberrésilience de secteurs entiers.
État actuel et perspectives
La CyRA n’en est encore qu’au stade de prototype. Le projet pilote mené dans le canton d’Argovie constitue un premier test en conditions réelles. Sur la base des enseignements tirés, l’outil d’enquête numérique sera développé dans le but d’être mis à la disposition d’un cercle d’utilisateurs plus large. Il faut notamment pour cela améliorer le guide de l’utilisateur et l’intelligibilité de certaines questions ainsi que réduire la charge de travail liée à la saisie. À l’avenir, les données, les applications et les systèmes informatiques partagés ne devront plus être saisis séparément pour chaque processus, mais pourront être attribués à plusieurs processus considérés comme critiques pour l’entreprise. À moyen terme, une consolidation selon un seul catalogue de contrôle est prévue, ce qui améliorera encore la comparabilité des résultats. Plus la base de données sera vaste, plus la CyRA deviendra un instrument clé d’une gestion de la cyberrésilience fondée sur des données factuelles au niveau régional et national.