Pour les DSI du secteur public, l’enjeu de la conformité réglementaire en Suisse n’est plus de choisir par où commencer, mais de comprendre que ces trois chantiers obéissent à la même logique de fond : cartographier ce que l’on possède, maîtriser ce que l’on déploie et documenter ce que l’on décide.

Le triptyque réglementaire suisse de 2026

• La loi sur la sécurité de l’information (LSI), complétée par l’ordonnance sur la cybersécurité entrée en vigueur le 1^er avril 2025, impose aux exploitants d’infrastructures critiques, dont de nombreuses autorités cantonales et communales, de signaler toute cyberattaque significative à l’OFCS dans les 24 heures. Les sanctions, jusqu’à 100 000 francs, s’appliquent depuis le 1^er octobre 2025.
• La gouvernance de l’IA suit en Suisse une trajectoire différente de celle de l’Union européenne. Le Conseil fédéral a choisi, le 12 février 2025, de ratifier la Convention-cadre du Conseil de l’Europe sur l’IA et de privilégier une réglementation sectorielle plutôt qu’un texte horizontal. Un projet de consultation est attendu d’ici fin 2026.
• La nLPD, applicable depuis le 1^er septembre 2023, reste le socle de la gouvernance des données pour les organes fédéraux et les entités privées. Le PFPDT a enregistré 363 violations durant l’exercice 2024 et 2025. Pour les cantons et les communes, ce sont les lois cantonales, distinctes mais harmonisées, qui s’appliquent.

Traiter ces chantiers en silo est contre-productif : les périmètres se recoupent, les ressources publiques sont limitées, et les autorités de surveillance échangent déjà entre elles.

LSI : nouvelles responsabilités et obligations pour les DSI du secteur public

La loi sur la sécurité de l’information impose un signalement dans les 24 heures suivant la détection d’une attaque qui met en péril une infrastructure, entraîne une fuite de données ou s’accompagne de chantage. Si les informations manquent, l’OFCS accorde 14 jours supplémentaires pour compléter le dossier. 3 prérequis sont indispensables : un dispositif de détection opérationnel, une procédure d’escalade testée, une chaîne de responsabilité claire jusqu’à la direction.

Les incidents de 2026 l’illustrent concrètement. En août, la commune de Martigny-Combe a signalé à l’OFCS un accès non autorisé à sa messagerie, quelques mois après l’attaque par rançongiciel du groupe Akira contre la commune de Vétroz. En juillet, le piratage d’une fiduciaire d’Yverdon-les-Bains a exposé les données de 15 communes vaudoises. Fin septembre, la commune tessinoise de Manno a subi un chiffrement partiel de ses serveurs, résolu grâce à ses sauvegardes. Dans chaque cas, la rapidité du signalement a fait la différence.

IA : une approche sectorielle plutôt qu’un règlement unique

Contrairement à l’Union européenne, la Suisse n’a pas de loi horizontale classant les systèmes d’IA par niveau de risque. Le Conseil fédéral décline plutôt les principes de la Convention du Conseil de l’Europe (transparence, non-discrimination, surveillance) secteur par secteur, en commençant par la santé et les transports. Un projet de consultation est attendu d’ici fin 2026, et le conseiller fédéral Albert Rösti a défendu en juillet 2026 une régulation volontairement « minimale ».

Pour les administrations qui déploient des chatbots, des outils d’aide à la décision ou de détection de fraude, l’absence de classification suisse ne dispense de rien : le traitement de données personnelles reste intégralement soumis à la nLPD ou à la loi cantonale. Par ailleurs, les organismes travaillant avec des partenaires européens peuvent être concernés par l’AI Act de façon extraterritoriale, ses obligations de transparence étant en vigueur depuis le 2 août 2026.

Le Shadow AI, c’est-à-dire l’usage d’outils d’IA non validés par la DSI, reste un risque de conformité réel, convention ou pas.

nLPD : les fondamentaux à ne pas négliger

Plus de deux ans après son entrée en vigueur, la nLPD reste insuffisamment appliquée dans de nombreux organismes publics. En 2026, 3 chantiers méritent une attention particulière : la mise à jour du registre des traitements, la révision des bases légales et des durées de conservation, le renforcement des mesures de sécurité techniques.

Une spécificité suisse à retenir : le PFPDT (Préposé Fédéral à la Protection des Données et à la Transparence) surveille les organes fédéraux et les personnes privées, mais les administrations cantonales et communales relèvent en principe des préposés cantonaux. Autre différence avec le RGPD : la nLPD n’impose pas de délai chiffré de notification. L’article 24 exige d’annoncer « dans les meilleurs délais » dès qu’un risque élevé est identifié.

Conformité réglementaire en Suisse : les risques en cas de non-conformité

Pour la LSI, le défaut de signalement expose à une amende pouvant atteindre 100 000 francs. Pour la nLPD, les infractions intentionnelles peuvent être punies jusqu’à 250 000 francs, une amende pénale prononcée par les autorités cantonales et visant d’abord la personne physique responsable, pas l’organisation. Le PFPDT, lui, ne prononce pas d’amende : il peut ordonner l’adaptation ou la cessation d’un traitement, un risque opérationnel souvent plus immédiat qu’une sanction financière.

Au-delà des amendes, les risques concrets incluent la suspension d’un service numérique, la mise en demeure publique et la responsabilité pénale individuelle. Vétroz, Martigny-Combe et Manno rappellent qu’une commune de taille modeste est une cible aussi probable qu’une grande administration.

Construire une stratégie de conformité intégrée

Une instance transverse réunissant la DSI, le ou la RSSI et le ou la conseillère à la protection des données est le prérequis de toute démarche sérieuse. Elle doit disposer d’un mandat clair et d’un budget dédié.

La cartographie commune doit couvrir 3 dimensions : les actifs numériques critiques (LSI), les traitements de données personnelles et leurs bases légales (nLPD ou loi cantonale), les systèmes d’IA en production avec leur niveau de sensibilité. Un tableau de bord minimal suit : le taux de couverture des infrastructures critiques, le délai de signalement d’un incident à l’OFCS, le pourcentage de traitements disposant d’une base légale documentée, le nombre de systèmes d’IA inventoriés.

Pour la conformité réglementaire en Suisse, 3 chantiers sont prioritaires pour le 2^nd semestre 2026 : vérifier son statut d’infrastructure critique auprès de l’OFCS, inventorier les systèmes d’IA en production, réviser le registre des traitements et les durées de conservation.

Vous pouvez également lire nos articles : 

→ Swiss Government Cloud : un an après son lancement, où en est le projet à 319 millions de francs

→ Cybersécurité en Suisse : checklist opérationnelle pour les administrations cantonales

→ Résilience du SI bancaire en Suisse : ce que les cyberattaques de 2026 révèlent sur les vulnérabilités des chaînes d’approvisionnement IT