Quand on parle de cybersécurité, on imagine des pirates aguerris et des attaques spectaculaires. Deux informations de cette semaine suggèrent que le risque se trouve ailleurs : chez les prestataires auxquels on délègue, et dans les gestes ordinaires de chaque jour.
Premier constat : le risque est souvent chez le prestataire
Dans l’affaire PK Softech, ce n’est pas une caisse de pension qui a été attaquée, mais son fournisseur de logiciels. Pourtant, c’est ce que les caisses lui avaient confié qui est au cœur de l’enquête formelle du PFPDT : quelles données, sur quelle base juridique, avec quelle étendue. Interrogé par Blick, le Préposé n’exclut pas d’étendre l’enquête aux organes fédéraux concernés.
La leçon est simple et inconfortable : confier un traitement à un prestataire ne transfère pas la responsabilité. Le responsable de traitement doit pouvoir justifier ce qu’il a transmis, pourquoi, et comment il a encadré cette transmission.
Second constat : l’erreur de tous les jours
Selon le PFPDT, cité par Blick et repris par Galaxus, 455 violations de la sécurité des données ont été annoncées depuis le début de 2026, contre 343 sur toute l’année 2025. La plupart sont attribuées à une erreur humaine. Ce chiffre est rapporté par la presse et n’est pas directement comparable aux données du rapport d’activités 2025/26, dont nous n’avons pas pu vérifier le périmètre.
L’ordre de grandeur n’en reste pas moins parlant. Ce qui provoque le plus d’incidents annoncés n’est pas l’attaque sophistiquée, mais le message envoyé au mauvais destinataire, la pièce jointe erronée ou l’accès laissé ouvert.
Dans les deux cas, la sécurité ne dépend pas d’abord de la technologie, mais de l’organisation : savoir qui détient quelles données, qui peut y accéder, et ce qui se passe quand quelque chose tourne mal. C’est aussi la logique du droit suisse. La LPD demande de choisir et d’encadrer ses sous-traitants, de protéger les données par des mesures adaptées, et d’annoncer les violations à risque élevé dans les meilleurs délais.
Elle concerne autant l’attaque qui fait la une que la pièce jointe envoyée par erreur. Une entreprise qui a investi dans un pare-feu mais n’a jamais relu le contrat de son prestataire de paie, ni formé ses équipes aux envois en masse, a déplacé le risque sans le réduire.
Ce que les dirigeants de PME devraient en retenir
Il est tentant de ne regarder que la menace extérieure. Les deux faits de la semaine invitent à regarder à l’intérieur et en amont : ce que vos prestataires détiennent, et ce que vos équipes font au quotidien.
Une question simple permet de commencer. Si l’un de vos prestataires était attaqué demain, sauriez-vous, en une heure, ce qu’il détient de vous ?
Nos abonnés reçoivent chaque semaine une analyse des évolutions réglementaires, traduite en actions concrètes pour leur activité.
→ Rejoignez la newsletter pour ne manquer aucune évolution.
