La plupart des PME suisses savent qu’une cyberattaque est possible. Beaucoup moins savent qui décroche le téléphone, qui décide de couper quoi et qui prévient les clients le jour où elle survient. L’Office fédéral de la cybersécurité met à disposition un modèle destiné précisément à combler ce vide.

Un outil né dans les communes, transposé aux entreprises

Le point de départ remonte à novembre 2025. Constatant, à la lumière d’incidents passés et d’une enquête menée en 2025 par l’association « Ma Commune », que beaucoup de communes pouvaient mieux se préparer, l’OFCS a lancé avec son réseau de partenaires un projet destiné à améliorer leur cyberrésilience de manière simple et pratique. Il en est sorti un modèle de concept d’urgence accompagné d’outils concrets.

Le 18 mai 2026, l’office a annoncé la suite : plusieurs cyberincidents ayant touché des PME suisses ayant montré la même impréparation, la version communale a été adaptée aux petites et moyennes entreprises. Le modèle, une feuille d’urgence, un plan d’urgence et une vidéo explicative sont accessibles librement sur le site de l’office, avec un formulaire de retour pour les faire évoluer.

Ce que l’OFCS entend par concept d’urgence

La définition retenue est volontairement resserrée. Un concept d’urgence est un élément de la gestion des risques qui permet d’anticiper les problèmes et leurs répercussions plutôt que de les analyser après coup. Il doit comprendre quatre composants : une organisation de crise, une stratégie de communication, des contacts d’urgence centralisés et des mesures concrètes.

Ces quatre éléments forment, selon l’office, la base d’une réaction coordonnée. Ce sont aussi ceux qui manquent le plus souvent le jour venu. Notre guide sur le plan de réponse aux incidents aborde la même matière sous un angle rédactionnel.

Quatre phases, dont la première commence avant l’attaque

Le modèle découpe la gestion d’un cyberincident en quatre phases, dont la première commence bien avant l’incident.

La phase 1 est celle de la préparation. Elle repose sur la protection de base, c’est-à-dire un nombre minimal prédéfini de mesures techniques et organisationnelles. Elle inclut aussi les plans destinés à maîtriser l’incident avant qu’il ne dégénère en crise, la définition des processus les plus importants à maintenir, et un examen critique de sa propre chaîne logistique.

La phase 2 démarre à la détection. L’office rappelle que chaque minute compte et renvoie à la fiche d’urgence, qui indique à qui signaler l’incident et comment le décrire correctement. Nous détaillons ces réflexes dans notre guide sur les vingt-quatre premières heures.

La phase 3 est celle de la maîtrise. Si l’incident ne peut pas être clos rapidement ou si les conséquences sont graves, le plan d’urgence et de crise est activé. L’OFCS insiste sur un point : les responsabilités doivent être attribuées à l’avance. L’organisation d’urgence, ou la cellule de crise selon la gravité, coordonne les mesures, décide de faire appel à une aide extérieure et prend en charge la communication interne et externe.

La phase 4, souvent escamotée, est celle du traitement ultérieur. Un débriefing structuré permet d’en tirer des enseignements et d’améliorer la planification.

La fiche d’urgence, le document le plus utile

La fiche d’urgence est le document qui rend le service le plus immédiat. Elle tient sur une page, se stocke aussi en version papier, et répond à deux questions dans le désordre desquelles beaucoup d’entreprises perdent leurs premières heures : qui alerter, et avec quelles informations. Savoir qui contacter et dans quel ordre évite les appels dispersés qui font perdre un temps précieux.

Deux webinaires, dont un en français

Les 2 et 9 septembre 2026, de 12h à 13h, l’OFCS organise un brown bag lunch en ligne destiné aux PME suisses pour présenter le concept d’urgence et les outils associés. La séance du 2 septembre se tient en français, celle du 9 septembre en allemand. Les deux seront ensuite visionnables sur la chaîne YouTube de l’office, et l’inscription se fait depuis la page de l’OFCS consacrée au concept d’urgence.

Une heure sur la pause de midi, gratuite, en français. Lors de la manifestation PME du 2 juin 2026, un expert de l’office résumait la position ainsi : la question n’est pas de savoir si une PME sera touchée, mais quand, et un plan d’urgence est la clé de la cyberrésilience.

En conclusion

Un modèle générique ne remplace pas une réflexion sur votre entreprise. Il fait cependant quelque chose que peu de documents réussissent : il transforme une intention vague en une liste de décisions à prendre, chacune assortie d’un nom et d’un numéro de téléphone. Le travail qui reste consiste à confronter ce squelette à vos processus réels, à vos prestataires informatiques et à vos obligations contractuelles, puis à vérifier une fois par an que les noms inscrits sont toujours les bons.