Cybersécurité à Lausanne : audit, NIS2 et RGPD pour PME et ETI

Le Comité International Olympique (CIO) est l'une des organisations les plus ciblées par le cyberespionnage étatique en Suisse, notamment en période de Jeux Olympiques. Des groupes APT (Advanced Persistent Threat) étatiques russes (Fancy Bear/APT28) ont ciblé le CIO lors des JO de PyeongChang 2018 avec le malware Olympic Destroyer. Les PME vaudoises fournissant des services au CIO ou aux fédérations sportives peuvent être utilisées comme vecteur d'attaque indirect. CyberConform accompagne les fournisseurs du CIO pour répondre aux questionnaires de sécurité et atteindre le niveau exigé par le mouvement olympique, incluant la conformité nLPD et les normes ISO 27001.

La nLPD (nouvelle Loi fédérale sur la Protection des Données), en vigueur depuis le 1er septembre 2023, s'applique à toute personne morale traitant des données personnelles en Suisse, sans seuil de taille. Contrairement au RGPD, elle ne fait pas de distinction entre TPE, PME et grandes entreprises. Les startups de l'EPFL Innovation Park, les cabinets vaudois d'avocats et les PME de Lausanne sont tous concernés. Les obligations principales : (1) tenir un registre des activités de traitement (sauf TPE à activités simples), (2) conduire une analyse d'impact (AIPD) pour les traitements à risque élevé (données de santé, profilage), (3) notifier le PFPDT en cas de violation de données. CyberConform réalise votre diagnostic nLPD en 5 jours avec un plan de conformité priorisé.

Les spin-offs de l'EPFL traitent souvent des données de recherche à haute valeur (propriété intellectuelle, brevets en cours, données expérimentales) qui constituent des cibles prioritaires pour l'espionnage industriel. Les obligations de sécurité incluent : classification des données de recherche, contrôle d'accès basé sur les rôles (RBAC), chiffrement des données stockées sur des serveurs et des postes de travail, et politique stricte de BYOD (Bring Your Own Device). Si la spin-off traite des données personnelles de patients ou de sujets d'expérimentation, la nLPD et potentiellement le RGPD s'appliquent. CyberConform propose un pack sécurité spécial deeptech et spin-off universitaire à partir de 2 500 CHF HT, incluant l'audit RGPD/nLPD et les recommandations de sécurité adaptées aux équipes de R&D.

Un service de RSSI externalisé (Virtual CISO) proposé par CyberConform pour une entreprise lausannoise comprend la gouvernance cyber, la gestion des risques, la préparation aux audits nLPD et la formation des dirigeants. Les tarifs sur le marché vaudois (plus bas que Genève) démarrent à 2 200 CHF HT/mois pour 1 jour de présence mensuelle. Pour les fédérations sportives internationales ou les multinationales avec des besoins en anglais, des missions bilingues français/anglais sont proposées. Un forfait trimestriel (3 mois) est disponible à 5 800 CHF HT pour les startups de l'EPFL Innovation Park avec 6 jours d'intervention inclus.

En cas de cyberattaque à Lausanne, les étapes immédiates sont : (1) Isoler les systèmes affectés du réseau, (2) Appeler CyberConform pour intervention d'urgence sur Lausanne et le Canton de Vaud, (3) Déclarer l'incident à l'OFCS via le portail annonce.ncsc.admin.ch (recommandé, non obligatoire sauf secteurs réglementés), (4) Si données personnelles compromises : notifier le PFPDT (nLPD article 24) sous 72 h, (5) Contacter votre assureur cyber. Pour les fédérations sportives avec des obligations vis-à-vis du CIO ou des fédérations mères, prévoir une communication interne rapide aux instances dirigeantes. CyberConform dispose d'équipes basées en Suisse romande (Genève, Lausanne, Fribourg) pour des interventions rapides sur site.