Publié le 20 juillet 2026
Security Awareness Training Suisse : obligation légale ou option ?
Ce que la loi exige réellement
La loi révisée sur la protection des données (nLPD) n'impose pas explicitement de formation au phishing. L'art. 8 LPD exige cependant de tout responsable des « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles contre tout accès non autorisé. Le phishing étant de loin le point d'entrée le plus fréquent d'une fuite de données, la sensibilisation des collaborateurs compte, pour de nombreux conseillers juridiques et en protection des données, parmi ces mesures – même si la loi n'emploie jamais le mot « formation ».
Où cela devient de facto une obligation : certifications et audits
Toute entreprise visant ou détenant une certification ISO 27001 ne peut pas faire l'impasse sur des mesures de sensibilisation à la sécurité : l'annexe A de la norme (contrôle A.6.3, anciennement A.7.2.2) exige explicitement un programme de sensibilisation des collaborateurs, avec preuve qu'il a réellement été mis en œuvre. Lors d'audits clients en B2B – par exemple lorsqu'un donneur d'ordre important examine votre chaîne d'approvisionnement – la question de tests de phishing documentés fait désormais partie du catalogue standard.
Les cyberassurances le demandent déjà
Une part croissante des assureurs cyber exige, à la conclusion du contrat ou au plus tard en cas de sinistre, une preuve des mesures de sensibilisation mises en œuvre. En l'absence de cette preuve, l'obligation de prestation de l'assurance peut être limitée en cas de sinistre, ou la prime augmentée – un point de plus en plus explicitement abordé lors des négociations contractuelles.
Ce qui compte comme preuve – et ce qui ne compte pas
Une présentation ponctuelle datant de trois ans ou un PDF envoyé en masse et jamais lu ne constitue guère une preuve solide en pratique. Ce qui compte, ce sont des exercices récurrents et documentés avec une progression mesurable – idéalement horodatés et accompagnés d'une évaluation compréhensible par équipe ou département, sans exposer individuellement les collaborateurs.
La différence entre remplir une obligation et avoir un réel impact
Même si votre secteur ou votre assurance n'exige pas (encore) de preuve explicite, le risque réel demeure : selon les rapports récurrents du NCSC, le phishing est l'une des voies les plus fréquentes par lesquelles les entreprises suisses sont compromises. Une preuve qui n'existe que sur le papier ne protège personne – ce qui compte, c'est que la formation change réellement les comportements.
Le point de départ le plus simple
PhishingRadar apporte précisément ce double bénéfice : des simulations réalistes et récurrentes pour une véritable progression, et une preuve limitée dans le temps et vérifiable publiquement par collaborateur pour les audits, assurances et demandes clients. Un essai gratuit montre en quelques minutes à quoi cela ressemble en pratique.
Testez votre équipe dès aujourd'hui
Essayez l'accès de démonstration gratuit ou inscrivez directement votre entreprise.