Si elle réussit, une cyberattaque peut avoir des répercussions dévastatrices sur une commune, notamment en matière de disponibilité et de sécurité. Les signalements se font pour l’instant sur une base volontaire, de sorte qu’il manque à l’Office fédéral de la cybersécurité (OFCS) une vue d’ensemble des attaques et de leurs cibles. L’obligation de signalement lui donnera un meilleur aperçu général des cyberattaques visant les infrastructures critiques en Suisse et des procédés utilisés par les pirates informatiques. L’OFCS sera mieux placé pour évaluer l’état de la menace et pour avertir le plus tôt possible les exploitants d’infrastructures critiques. Pour une commune, une cyberattaque a un fort potentiel de nuisance qui peut aller jusqu’à mettre en péril son fonctionnement en cas de vol de données, de chantage, de menaces ou d’intimidation. C’est le cas en particulier s’il s’agit d’un ransomware . Pour que vous puissiez déjà vous informer sur l’introduction de l’obligation de signalement, l’OFCS a publié une page de renvoi avec des informations actualisées . En outre, l’OFCS organise le 27 mars 2025, entre 12h00 et 13h00, un brownbag lunch , ou miniconférence en ligne, au sujet l’obligation de signalement pour les communes suisses. Il est déjà possible de s’y inscrire en cliquant sur le lien suivant: s’inscrire . La conférence a lieu en allemand. Sandra Lüthi

En 2023, l’Office fédéral de la cybersécurité (OFCS) a organisé, en collaboration avec l’Association des Communes Suisses et des organisations partenaires de la cyberstratégie nationale (CSN), plusieurs événements de sensibilisation dans toutes les régions linguistiques de Suisse afin d’améliorer la prise de conscience des communes en matière de sécurité. L’objectif était de renforcer la sensibilisation à la cybersécurité et de favoriser les contacts directs entre l’OFCS, les partenaires CSN et les communes. Les résultats de l’enquête indiquent que les communes sont davantage conscientes des risques de sécurité et que des mesures concrètes ont été mises en œuvre pour renforcer la cybersécurité. «Les résultats montrent le succès de la collaboration avec les communes et les partenaires suisses», commente Sandra Lüthi, responsable de projet à l’OFCS. 85% constatent des améliorations dans les connaissances de leur commune en matière de sécurité. 90% recommandent les événements de sensibilisation. L’implémentation de Security.txt est passée de 246 à 813 communes entre déc. 2022 et oct. 2023. Tous les cantons ont reçu les modules du concept national de formation continue en 2023. CyberSafe a doublé la labellisation des communes suisses de janvier à octobre 2023. «Les résultats montrent le succès de la collaboration avec les communes et les partenaires suisses.» Sandra Lüthi, responsable de projet à l’OFCS Sandra Lüthi

En mettant en place une bonne communication de crise, les communes se positionnent comme des sources d’information essentielles et crédibles. Elles préviennent ainsi les spéculations, les indiscrétions et les fausses déclarations. Les cyberincidents exigent par conséquent de communiquer rapidement, de manière coordonnée et bien structurée, pour transmettre un sentiment de sécurité et retrouver la confiance des parties prenantes. Dans le cas d’une cyberattaque, cet exercice s’avère particulièrement délicat en raison de la complexité technique et des informations souvent incomplètes à disposition. Lorsqu’un acte malveillant est commis, les responsables doivent réagir rapidement et savoir s’adapter à l’évolution de la situation. La coordination du flux d’informations à l’interne et à l’externe nécessite des entretiens réguliers avec tous les acteurs concernés. La communication de crise requiert une bonne compréhension des émotions, de la transparence et la capacité de reconnaître les erreurs commises. En collaboration avec les cantons de Zurich et de Vaud, l’Office fédéral de la cybersécurité (OFCS) a élaboré des principes relatifs à la communication de crise et préparé des phrases types pour les communiqués de presse et les réponses aux questions posées par les médias. Toutes les informations sont publiées sur le site de l’OFCS: https://www.ncsc.admin.ch/ncsc/fr/home/infos-fuer/infos-behoerden/vorfall-was-nun/krisenkommunikation.html Annonce: Brown bag lunch en ligne le 23 mai 2024 sur les thèmes «Comment sensibiliser les autorités à la cybersécurité» et «Comment communiquer en cas de cyberattaque». Inscription Sandra Lüthi

Dans une situation d’urgence, votre organisation se retrouve confrontée à des questions fondamentales qui ne se posent pas forcément au quotidien. Il peut s’agir d’un incendie ou d’un infarctus chez un collaborateur. Ou encore d’un cyberincident. Pour être préparé à pareilles situations, il faut disposer d’un plan de crise qui détaille le concept de communication de crise ainsi que l’organisation de crise et qui indique le nom de la personne à contacter. Ce sont là les bases qui permettent de réagir correctement dans une situation où le facteur temps est déterminant. Plus les collaborateurs saisissent la raison de certaines mesures et plus celles-ci reflètent les valeurs de l’organisation, plus elles sont comprises, acceptées et finalement appliquées par le personnel. Est-ce que les collaborateurs savent quelle est la personne qui est responsable de la sécurité? Comment celle-ci interagit-elle avec eux, par exemple lorsqu’un logiciel doit être mis à jour? Est-ce facile pour les membres du personnel de signaler un incident ou de communiquer leurs soupçons? Les responsables de la sécurité doivent trouver un langage commun avec les collaborateurs; ils doivent être d’un abord facile et avoir une attitude constructive afin de pouvoir mettre en œuvre les mesures si possible sans qu’elles ne suscitent de résistances. En matière de cybersécurité, la liste des choses à ne pas faire est interminable. C’est pourquoi les communes devraient miser sur l’approche consistant à donner à leurs collaborateurs quelques consignes de base quant au comportement à adopter, formulées de manière compréhensible, plutôt que de leur dresser une liste d’interdits. Idéalement, on soulignera dans chaque communication en quoi les mesures proposées revêtent une utilité pour le collaborateur en tant que partie intégrante de l’organisation, et pourquoi il importe de les appliquer et de contribuer ainsi à la sécurité. Plus les personnes voient une utilité à quelque chose, moins il y a de résistance et plus le soutien est grand. Sandra Lüthi

Il est essentiel que vous preniez des précautions pour vous préparer au mieux à un éventuel incident de cybersécurité. Etablissez, en collaboration avec votre responsable informatique, les prescriptions de sécurité minimales qui sont contraignantes sur les plans organisationnel, humain et technique. Définissez avec votre responsable informatique les processus et les responsabilités à assumer durant l’exploitation normale et en cas d’incident de cybersécurité. Inscrivez ces mesures dans un plan de gestion de la continuité des activités et intégrez-y aussi un plan de communication et de gestion de crise ainsi que les coordonnées d’une personne à joindre en cas d’urgence. Vous trouverez d’autres conseils au sujet de la collaboration avec les prestataires de services informatiques sur le site Internet du Centre national pour la cybersécurité (NCSC) . Sensibilisez et formez vos collaborateurs. Le site Internet s-u-p-e-r.ch propose des contenus mis à jour régulièrement. En outre, la nouvelle formation en ligne du Réseau national de sécurité (RNS) sera à votre disposition dès le milieu de l’année 2023. Les administrations de petite taille ou de taille moyenne peuvent également être intéressées par les formations en ligne EBAS destinées aux PME . Pare-feux: limitez et surveillez le trafic entrant et sortant. Bloquez toutes les pièces jointes aux courriels qui peuvent exécuter des macros. Courriels: bloquez la réception de courriels contenant des fichiers dangereux sur votre passerelle de messagerie (E-Mail Gateway). Vous trouverez sur https://www.govcert.ch/downloads/blocked-filetypes.txt la liste complète des types de fichiers dont vous devez vous méfier. Veillez cependant à retirer de la liste tout type de fichier qui pourrait être utile pour l’exécution de vos processus d’affaires. Sauvegardes régulières: sauvegardez vos données sur trois générations au moins (selon le principe grand-père, père, fils). Disposez d’au moins une sauvegarde distincte ( offline ) et externe ( offsite ). Cela signifie que vous devez enregistrer vos données localement sur trois clés USB ou plus, dont une au moins est conservée dans un emplacement externe, déconnectée de tout réseau et ordinateur. Antivirus: prêtez une attention accrue aux alertes de vos systèmes antivirus, en particulier si elles concernent vos serveurs internes. Logiciels: utilisez uniquement des logiciels qui sont pris en charge par le fabricant et sur lesquels des correctifs de sécurité sont appliqués. Effectuez régulièrement les mises à jour ainsi que les correctifs de sécurité. Systèmes: mettez à jour les systèmes auxquels vous accédez par Internet aussitôt qu’un correctif majeur est disponible. Enregistrez un contact de sécurité sur le site Internet de la commune. Vous trouverez de plus amples informations sur la norme «security.txt» en consultant le site Internet du NCSC . Authentification à plusieurs facteurs: mettez en place une authentification à plusieurs facteurs à chaque fois que cela est possible. Cela est particulièrement important pour les systèmes accessibles par Internet, comme les services en nuage. Informations: www.ncsc.ch Sandra Lüthi