« Est-ce que ça me concerne ? » C’est la première question que pose un dirigeant de PME face aux réglementations cyber. Et c’est la bonne question, parce que la réponse dépend beaucoup moins de la taille de l’entreprise que de ce qu’elle fait et de qui elle sert.
Cet article sert de point d’entrée. Vous y trouvez votre secteur, vous voyez ce qui s’applique à vous, et vous savez où creuser ensuite. Une précision avant de commencer : il s’agit d’une synthèse d’orientation, pas d’un avis juridique. Sur les cas limites, un juriste ou l’autorité de surveillance de votre branche restent les bons interlocuteurs.
Le socle commun : la nLPD, pour tout le monde
Commençons par le point le plus important, parce qu’il désamorce la moitié des questions.
La nouvelle loi sur la protection des données s’applique à toutes les entreprises suisses qui traitent des données personnelles. Aucun seuil d’effectif, aucun seuil de chiffre d’affaires, aucune liste de branches concernées. Si vous avez des clients, des fournisseurs ou des employés, vous traitez des données personnelles, donc vous êtes concerné.
Les obligations centrales sont les mêmes pour un salon de coiffure et pour une entreprise de cinquante personnes : informer les personnes de ce que vous faites de leurs données, sécuriser ces données par des mesures proportionnées, répondre aux demandes d’accès, et annoncer au PFPDT les violations qui présentent un risque élevé. Le détail figure dans notre article sur vos obligations nLPD.
Ce que le secteur change, ce n’est donc pas le principe. C’est l’intensité des mesures attendues, et surtout un point précis : le registre des traitements.
Qu’est-ce qui fait vraiment basculer un secteur ?
L’article 12 al. 5 LPD et l’article 24 OPDo dispensent du registre des traitements les entreprises qui comptent moins de 250 collaborateurs au 1er janvier de l’année. C’est une bonne nouvelle pour l’immense majorité des PME romandes.
Mais l’exemption tombe dans deux cas :
- le traitement de données sensibles à grande échelle ;
- le profilage à risque élevé.
Les données sensibles comprennent notamment les données de santé, les opinions religieuses ou politiques, l’appartenance syndicale, les données génétiques et biométriques, ainsi que les informations relatives à des poursuites pénales ou administratives.
C’est cette définition, et elle seule, qui explique pourquoi certains secteurs sont plus exposés que d’autres. Un cabinet médical, un cabinet de physiothérapie, une caisse de pension, une fiduciaire qui gère des dossiers de poursuites, une agence de placement ou un service social traitent des données sensibles de manière ordinaire. L’exemption ne s’applique probablement pas chez eux, même avec trois employés.
Depuis le 1er avril 2025, une obligation d'annoncer les cyberattaques à l'Office fédéral de la cybersécurité existe en droit suisse, avec des sanctions applicables depuis le 1er octobre 2025. Elle repose sur la loi sur la sécurité de l'information et vise uniquement les exploitants d'infrastructures critiques, pas les PME ordinaires. Beaucoup de dirigeants pensent le contraire. L'annonce volontaire reste évidemment possible, et elle est même encouragée : l'OFCS a reçu 64 733 déclarations volontaires en 2025, contre 62 954 en 2024.
Quelles obligations s’appliquent à votre secteur ?
Le tableau ci-dessous résume ce qui s’ajoute au socle nLPD selon l’activité. Lisez-le comme une orientation, pas comme une liste exhaustive.
| Secteur | Registre des traitements | Règles qui s’ajoutent | Point de vigilance principal |
|---|---|---|---|
| Commerce et vente en ligne | Exemption applicable en principe | RGPD si vous visez activement le marché de l’UE | Données de paiement, comptes clients, prestataires e-commerce étrangers |
| Services professionnels (fiduciaire, avocat, conseil) | Souvent obligatoire (poursuites, dossiers sensibles) | Secret professionnel et devoirs de la profession | Accès aux données de vos clients, exigences contractuelles de vos donneurs d’ordre |
| Santé et cabinets | Obligatoire en pratique | Règles cantonales et professionnelles propres à la santé | Données de santé à grande échelle, dossiers patients, prestataires de logiciels métier |
| Industrie et fabrication | Exemption applicable en principe | CRA et RED / EN 18031 si vous vendez des produits dans l’UE | Produits connectés, systèmes de production, exigences de vos clients européens |
| Construction et artisanat | Exemption applicable en principe | Aucune règle cyber sectorielle spécifique | Fraude au paiement, données de chantier, dépendance à un prestataire informatique |
| Secteur public et parapublic | Régime cantonal applicable | Lois cantonales sur la protection des données | Loi cantonale plutôt que nLPD pour les organes publics cantonaux |
| Informatique et prestataires | Selon les données traitées pour vos clients | NIS2 répercutée par contrat, exigences clients | Statut de sous-traitant, obligation d’annoncer toute violation à votre mandant |
Commerce, services professionnels et santé
Commerce et vente en ligne. Le socle nLPD suffit dans la plupart des cas. La question qui revient est celle du RGPD : un site accessible depuis l’Europe ne suffit pas à vous y soumettre, il faut viser activement ce marché, par exemple avec des prix en euros ou une livraison vers l’UE. Nous détaillons ce partage dans nLPD ou RGPD, lequel s’applique. Le vrai risque, ici, reste opérationnel : les données de paiement et les comptes clients sont une cible directe, comme le montre notre article sur le vol et fuite de données.
Services professionnels. Fiduciaires, avocats, cabinets de conseil et gérances cumulent deux contraintes. D’abord le secret professionnel ou le devoir de discrétion propre à leur activité. Ensuite la nLPD, avec une nuance de taille : dès qu’un dossier contient des poursuites, une procédure pénale ou administrative, on est dans les données sensibles. Une fiduciaire qui gère des recouvrements devrait donc considérer le registre comme applicable.
Santé et cabinets. C’est le secteur le plus encadré. Les données de santé sont sensibles par définition, et un cabinet en traite à grande échelle même avec une petite patientèle. Le registre des traitements s’impose en pratique. À cela s’ajoutent des règles cantonales et professionnelles propres à la santé, qui varient d’un canton à l’autre : elles se vérifient auprès du service de la santé publique de votre canton, pas dans un article général comme celui-ci.
Industrie, construction et informatique
Industrie et fabrication. Si vos produits comportent des éléments numériques et sont vendus dans l’Union européenne, deux textes vous concernent directement. Le règlement (UE) 2024/2847, dit CRA, impose l’annonce des vulnérabilités activement exploitées dès septembre 2026, ses obligations principales s’appliquant fin 2027. Et la directive RED, avec les normes EN 18031, est obligatoire depuis le 1er août 2025 pour les équipements radio connectés vendus dans l’UE. Ces deux sujets ont leurs articles dédiés : le CRA et la RED et les normes EN 18031. Côté production, la sécurité des systèmes industriels relève plutôt du cadre IEC 62443.
Construction et artisanat. Aucune réglementation cyber sectorielle ne vise ces métiers. Le socle nLPD s’applique, et c’est tout. Cela ne veut pas dire que le risque est faible : la fraude au paiement et l’usurpation d’identité par email frappent durement ces entreprises, souvent parce que l’informatique est entièrement déléguée à un prestataire sans que personne ne vérifie ce qui est réellement en place.
Informatique et prestataires. Vous êtes dans une position particulière : vos obligations viennent autant de vos clients que de la loi. Si vous traitez des données pour le compte d’un client, vous êtes sous-traitant, et vous devez lui annoncer toute violation sans condition de seuil de risque. Si vous fournissez des entreprises européennes soumises à NIS2, attendez-vous à voir des exigences de sécurité arriver par voie contractuelle. C’est le mécanisme décrit dans notre article sur les attaques par la chaîne d’approvisionnement.
Secteur public, parapublic, finance et assurance
Secteur public et parapublic. Les organes publics cantonaux et communaux ne relèvent en principe pas de la nLPD fédérale, mais de la loi cantonale sur la protection des données. À Fribourg, c’est la LPrD cantonale qui s’applique, avec son autorité de surveillance propre : voir la protection des données dans le canton de Fribourg. Les entreprises privées qui travaillent pour une collectivité restent, elles, soumises à la nLPD, et se voient souvent imposer des exigences de sécurité dans les marchés publics.
Finance et assurance. Ce secteur est soumis à une surveillance prudentielle qui ajoute ses propres exigences en matière de sécurité des systèmes, de gestion des risques et d’annonce des incidents, en plus de la nLPD. Ces règles évoluent régulièrement et dépendent du statut exact de l’établissement. Nous ne les détaillons pas ici volontairement : la source à consulter est l’autorité de surveillance dont vous dépendez, ou votre conseil juridique habituel.
Quel que soit votre secteur, les mêmes mesures reviennent : inventaire des données, accès restreints, authentification à deux facteurs, sauvegardes testées, marche à suivre en cas d'incident. Les obligations sectorielles s'ajoutent par-dessus, elles ne remplacent jamais ces fondations. C'est encourageant, parce que cela veut dire qu'un même effort sert à la fois la conformité et la sécurité réelle. L'étude PME Cybersécurité 2025 rappelle d'ailleurs l'urgence : 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt.
Par où commencer dans votre cas ?
Trois questions suffisent à vous situer.
- Traitez-vous des données sensibles ? Santé, poursuites, opinions politiques ou religieuses, appartenance syndicale, données biométriques. Si oui, le registre des traitements vous concerne probablement, quelle que soit votre taille. Le test nLPD vous répond en cinq questions.
- Vendez-vous des produits ou des services dans l’Union européenne ? Si oui, regardez du côté du CRA, de la RED et du RGPD selon ce que vous vendez et à qui.
- Vos clients vous imposent-ils des exigences de sécurité ? Un questionnaire fournisseur, une clause contractuelle, un audit demandé. C’est souvent par là que NIS2 et les exigences européennes vous atteignent, bien avant toute obligation légale suisse.
Si vous répondez non aux trois, votre feuille de route se résume au socle nLPD et aux mesures de sécurité de base. C’est déjà beaucoup, et c’est faisable.
Pour situer votre entreprise en trois minutes, le check-up cyber vous donne un score et vos trois priorités. L’ensemble des textes applicables aux entreprises suisses est regroupé dans le pilier Réglementations.