Fuite de données dans les caisses de pension : pourquoi les entreprises ne paient guère d’amendes en Suisse

Nom, numéro AVS, salaire, avoir de prévoyance : de telles informations concernant des dizaines de milliers d’assurés pourraient se trouver entre les mains de criminels depuis la fin septembre. Des inconnus se sont alors introduits, à l’aide d’un logiciel malveillant, dans une partie de l’infrastructure informatique de PK Softech AG, une entreprise de Reinach (BL) qui développe des logiciels pour les caisses de pension. Le 08.10.2026, le Conseil fédéral a confirmé une fuite de données chez ce fournisseur de Publica, la Caisse fédérale de pensions. Depuis, la caisse de pension de la Ville de Zurich et celle du canton du Tessin ont elles aussi fait savoir que des données personnelles de leurs assurés avaient probablement été dérobées.

La Confédération elle-même juge sérieuse la fuite de données chez PK Softech : dans une note d’information confidentielle, elle qualifie l’incident de « grave », selon le « Blick ». L’affaire soulève une question déjà restée ouverte après l’attaque contre l’entreprise informatique Xplain en 2023 : qui doit répondre des conséquences lorsqu’une entreprise ne parvient pas à protéger les données qui lui ont été confiées. Le droit suisse y apporte une réponse lapidaire. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) ne peut pas infliger d’amendes. Selon la loi sur la protection des données, seul est punissable celui qui agit intentionnellement. Ce sont en principe des personnes physiques qui sont mises à l’amende, et non des entreprises.

Ce qui s’est passé chez le fournisseur de Publica

Selon le Conseil fédéral, c’est le fournisseur de logiciels lui-même qui a détecté l’attaque. Il a aussitôt déposé une plainte pénale et informé les services fédéraux compétents, Publica et d’autres clients. L’environnement touché a été « immédiatement déconnecté du réseau », a indiqué PK Softech, qui dit avoir fait appel à des spécialistes externes. « Nous regrettons vivement cet incident. » L’entreprise a précisé à « Watson » : « La fuite de données confirmée provient de l’infrastructure informatique de PK Softech, et non des systèmes de nos clients. » Le Ministère public de la Confédération enquête. Selon le Conseil fédéral, aucun service fédéral autre que Publica n’entretient de relations d’affaires avec l’entreprise.

Les liens sont anciens. Depuis 2017, Publica utilise une application de prévoyance de PK Softech ; le marché avait alors été adjugé pour 12,6 millions de francs, pour une durée maximale de 16 ans options comprises, rapporte « Inside IT ». Fin 2025, Publica comptait quelque 70’000 assurés actifs et 41’600 bénéficiaires de rentes, pour un total du bilan de 44,9 milliards de francs. Elle assure notamment le personnel de l’administration fédérale et du domaine des EPF.

Selon Publica, les données potentiellement concernées sont le nom, le prénom, la date de naissance, le numéro AVS, l’adresse, les numéros de téléphone et les adresses électroniques, ainsi que des données de prévoyance comme le salaire, le salaire assuré et l’avoir de prévoyance, de même que l’état civil et des informations sur les conjoints ou partenaires de vie. Les fonds de prévoyance eux-mêmes ne sont pas touchés. « Pour nous, c’est le pire qui puisse arriver », a déclaré à la SRF la responsable de la communication, Beatrice Rychen.

Une enquête du « Tages-Anzeiger », que citent « Netzwoche », « Inside IT » et « Watson », va plus loin. Selon elle, certains jeux de données contiennent aussi des coordonnées bancaires et des informations sur les enfants. L’employeur y figurerait en outre, y compris pour des personnes qui travaillent sous une identité d’emprunt pour fedpol ou le Service de renseignement. Toujours selon cet article, le Conseil fédéral et les autorités de sécurité partent du principe que les données de pratiquement tous les employés actuels et anciens de la Confédération et des entreprises proches de la Confédération ont fuité ; seuls les membres en fonction du Conseil fédéral feraient exception. Publica ne confirme pas cette ampleur. « La question de savoir quelles personnes et quelles données sont réellement touchées fait toujours l’objet de vérifications approfondies », a déclaré Beatrice Rychen le 20.10.2026. « Les vérifications se poursuivent », a-t-elle dit le 23.10.2026 à « Watson ». Au 30.10.2026, aucune confirmation ni correction de cette ampleur n’avait été rendue publique.

Les caisses touchées

Selon le PFPDT, l’attaque a permis de soustraire des données de plusieurs institutions de prévoyance importantes du 2e pilier. L’autorité ne nomme que Publica. Selon un article de la « NZZ am Sonntag » cité par « blue News », un peu moins d’une douzaine d’autres caisses sont touchées, dont celles de Migros, de la Poste et de la Ville de Zurich. Aucune liste complète n’est disponible.

La caisse de pension de la Ville de Zurich (PKZH) s’est exprimée en détail. Selon elle, dans le pire des cas, les données concernées sont le nom, la date de naissance, le numéro AVS, l’adresse, les coordonnées, le salaire assuré, l’avoir de prévoyance, l’état civil, des informations sur le partenaire et l’IBAN. « Les fonds de prévoyance et les rentes ne sont pas menacés », a fait savoir la PKZH. Elle a déposé une plainte pénale. Le 09.10.2026, le canton de Berne a signalé une attaque contre un fournisseur externe de logiciels pour caisses de pension, sans le nommer. Selon « blue News », la caisse de pension de la Poste a déclaré le 13.10.2026 que ses données étaient anonymisées chez le fournisseur. Le 16.10.2026, elle a confirmé, selon « Inside IT », que des données personnelles avaient fuité chez le fournisseur ; elle ne savait toujours pas si des données de ses assurés étaient concernées.

Le Tessin est venu s’ajouter à la liste. Selon « Tio », la caisse de pension cantonale IPCT est cliente de PK Softech. D’après la RSI, elle a écrit à quelque 17’000 assurés actifs et 10’000 bénéficiaires de rentes. Selon la caisse, il n’existe pas de preuve certaine, mais il paraît probable que les données de quelque 1800 personnes aient effectivement été dérobées. Pour environ 1700 personnes sorties de la caisse ou décédées en 2024 et 2025, il s’agit surtout de données d’identité, du numéro AVS et du montant de la prestation de sortie, ainsi que de la nouvelle institution de prévoyance et de son IBAN. Les fichiers contenaient l’IBAN personnel d’environ 50 personnes à qui le montant avait été versé directement. Pour quelque 80 bénéficiaires d’une rente d’invalidité, les informations vont jusqu’au taux d’invalidité. L’IPCT a également déposé une plainte pénale.

En l’état actuel des connaissances, la Fondation FAR, qui organise la retraite anticipée dans le secteur principal de la construction, n’est pas liée à cette affaire. Son partenaire informatique a lui aussi été attaqué, mais il s’agit d’un autre prestataire, selon « blue News ». La fondation a averti par courrier quelque 20’000 retraités.

Pourquoi des données fédérales se trouvaient chez une entreprise privée

Qu’une entreprise de logiciels ait accès à des données personnelles n’a en principe rien d’inhabituel, explique l’expert en cybersécurité Marc Ruef à la SRF. Certains éditeurs exploitent eux-mêmes le programme pour leurs clients, sur leurs propres ordinateurs. L’éditeur a en outre besoin d’un accès lorsqu’une erreur doit être corrigée. « Anonymiser et pseudonymiser des données est très laborieux et comporte aussi des risques d’erreur », dit Marc Ruef. Et d’ajouter : « Parfois, on choisit la rentabilité plutôt que la sécurité. »

On ignore quelle configuration prévalait dans le cas de PK Softech. L’entreprise a déclaré à « Watson » : « En principe, nos systèmes de test ne contiennent pas de données en clair. » La PKZH présente les choses autrement. Elle prévoit de passer au système de gestion de PK Softech et avait transmis des données à l’entreprise à cette fin. « Ces données ont été utilisées dans le cadre de tests pour le changement de système prévu », a indiqué la caisse. C’est précisément ce genre de questions que le PFPDT entend désormais éclaircir. De manière générale, le préposé fédéral à la protection des données, Adrian Lobsiger, exige, selon « Inside IT », que seules les données strictement nécessaires soient transférées et que l’on utilise de préférence des données de test anonymisées plutôt que des données de production.

Lors du choix d’un fournisseur, les questions de sécurité devraient en réalité figurer au premier rang, estime Marc Ruef. « L’expérience montre que la cybersécurité ne figure souvent pas très haut sur la liste. » Le blogueur Jean-Pierre A. Kousz résume le problème en une formule : « Qui externalise des données ne se débarrasse pas du risque, mais seulement du contrôle. » Il ne prête de mauvaises intentions à personne : « Personne n’agit par malveillance, mais tout le monde cède tout simplement à la facilité. »

La piste Akira

Ni la Confédération ni Publica n’ont confirmé qui se trouve derrière l’attaque. Selon une enquête de Tamedia, des services fédéraux impliqués partent du principe que le groupe de rançongiciel Akira en est l’auteur. Il exigerait une rançon et menacerait de publier ou de vendre les données. Le montant exigé n’est pas connu. Selon « Watson », le site d’Akira sur le darknet ne contenait, au 20.10.2026, aucune mention de l’attaque. Au 30.10.2026, aucun article n’avait fait état d’une publication des données.

Akira est actif depuis mars 2023 et pratique la double extorsion : le groupe vole des données et chiffre les systèmes. En octobre 2025, le Ministère public de la Confédération, fedpol et l’Office fédéral de la cybersécurité (OFCS) ont lancé une mise en garde commune contre lui. Le nombre de victimes en Suisse avait déjà atteint 200 entreprises, et les autorités enregistraient quatre à cinq cas par semaine, indiquait-on alors. Selon l’OFCS, Akira a été en 2025 le groupe de rançongiciel le plus actif du pays : le nombre de ses attaques connues est passé de 7 au premier semestre à 26 au second.

Une entreprise de la Confédération a d’ailleurs déjà payé. Après une attaque d’Akira contre sa filiale américaine à l’automne 2025, Ruag a versé un montant relativement modeste. « Nous avons payé et, heureusement, nous avons récupéré toutes les données », a déclaré en juin à la SRF le président du conseil d’administration, Jürg Rötheli. Le conseiller national UDC et spécialiste de la politique de sécurité Mauro Tuena avait alors averti : « Ce groupe de pirates informatiques sait désormais que la Confédération est prête à payer une rançon. »

Le nombre d’incidents de rançongiciel connus de l’OFCS fluctue. Il s’élevait à 39 au premier semestre 2024 et à 57 au premier semestre 2025. Depuis le second semestre 2025, l’office recense aussi les signalements de partenaires nationaux ; selon cette méthode, il y a eu 79 cas tant au second semestre 2025 qu’au premier semestre 2026. « La menace que représentent les rançongiciels reste élevée pour les entreprises suisses », a déclaré en juin Max Klaus, de l’OFCS, à « Watson ».

Un schéma qui se répète depuis Xplain

Le schéma n’est pas nouveau. En mai 2023, le groupe de rançongiciel Play a attaqué l’entreprise informatique Xplain AG, qui fournissait des logiciels à fedpol et à l’Office fédéral de la douane et de la sécurité des frontières (OFDF). En 2024, le PFPDT a constaté des manquements tant du côté de la Confédération que de celui de Xplain. Fedpol et l’OFDF n’avaient pas clairement convenu des conditions auxquelles des données personnelles pouvaient se trouver sur les serveurs de l’entreprise lors de travaux de support. Xplain ne disposait pas de mesures appropriées en matière de sécurité des données, et des données avaient été conservées malgré des obligations d’effacement en partie prévues par contrat.

La Confédération avait alors réagi par un train de mesures. En avril 2024, le Secrétariat d’État à la politique de sécurité (SEPOS) a présenté neuf mesures, dont des clauses contractuelles standardisées pour les fournisseurs, un effacement documenté des données fédérales ainsi que des contrôles et des audits. Il n’est pas établi que ces règles s’appliquaient aussi à Publica. « Ni le Conseil fédéral ni aucun département n’exercent de fonction de surveillance sur Publica », a déclaré le Département fédéral des finances au « Blick ».

La fuite de données chez PK Softech et le droit suisse

Le 22.10.2026, le PFPDT a ouvert une enquête formelle contre PK Softech AG. Il entend se faire une vue d’ensemble des données personnelles que les institutions de prévoyance ont transmises à l’entreprise, clarifier le cadre juridique de ces transferts et établir l’ampleur des informations qui ont fuité. « Il s’agit d’une procédure en cours ; tant le procureur général de la Confédération que moi-même enquêtons », a déclaré Adrian Lobsiger dans un entretien au « Blick » paru le 24.10.2026. « Mais je n’exclus pas d’étendre ultérieurement la procédure à des organes fédéraux, c’est-à-dire aux caisses de pension. »

Le cadre de référence est la loi sur la protection des données entièrement révisée, en vigueur depuis le 01.09.2023. Elle exige une sécurité des données adaptée au risque. Quiconque confie des données à un sous-traitant, par exemple un fournisseur de logiciels, doit s’assurer que celui-ci est en mesure de garantir la sécurité des données. Le responsable du traitement doit annoncer au PFPDT dans les meilleurs délais toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le sous-traitant l’annonce au responsable du traitement. PK Softech a également annoncé l’attaque au PFPDT le 08.10.2026, tout comme des caisses de pension touchées. Celui qui omet une telle annonce n’est pas punissable selon la loi sur la protection des données.

Le PFPDT peut enquêter et ordonner qu’un traitement soit modifié, suspendu ou cessé. Il ne peut en revanche pas infliger d’amendes. « Je ne peux pas infliger d’amendes ; le Parlement ne l’a pas voulu », dit Adrian Lobsiger. « Et le Parlement n’a pas voulu non plus qu’un comportement négligent puisse être sanctionné. » Il ne peut déposer une dénonciation pénale qu’en cas de soupçon de manquements intentionnels.

Le juriste Martin Steiger, membre du comité de l’association Digitale Gesellschaft Schweiz, décrit à quel point ces procédures sont rares. « Dans la pratique, il ne semble guère y avoir de procédures pénales fondées sur les dispositions pénales du droit de la protection des données », a-t-il déclaré en juin à « Watson ». Dans le canton de Zurich, ces procédures ne relèveraient même pas des ministères publics, mais des préfectures. Sa conclusion : « Au vu de la pratique, on ne peut, à ce jour, que conclure que les amendes infligées à des personnes responsables individuelles ne sont pas efficaces. » Sur le plan civil, les personnes concernées peuvent certes réclamer en justice des dommages-intérêts ou une réparation morale. Mais cela en vaut rarement la peine, selon Martin Steiger : le montant d’une réparation morale est « notoirement bas » en Suisse, et les obstacles à la preuve d’un dommage sont élevés.

L’affaire PK Softech présente en outre une particularité. Adrian Lobsiger qualifie les caisses de pension d’organes fédéraux. Or, selon leur libellé, la plupart des dispositions pénales de la loi sur la protection des données visent des personnes privées. Dans la mesure où les caisses agissent en tant qu’organes fédéraux, ces dispositions ne devraient donc guère s’appliquer à leurs responsables ; c’est là une déduction tirée du texte de loi, et non une déclaration d’Adrian Lobsiger. Les dispositions s’appliquent aux responsables d’une entreprise privée comme PK Softech. Mais là aussi, il faudrait une intention, une plainte pénale et une procédure cantonale, en règle générale contre une personne déterminée.

La surveillance se heurte en outre à des limites. « Nos ressources sont limitées ; nous ne pouvons pas tout surveiller de manière exhaustive et ne pouvons souvent procéder qu’à des contrôles par sondage », dit Adrian Lobsiger. Durant la période sous revue 2025/26, le PFPDT a reçu plus de 2000 signalements de violations possibles de la protection des données ; il a mené 22 examens préliminaires et 9 enquêtes. Les annonces de violations de la sécurité des données sont en hausse : « En 2025, il y en a eu 343 ; aujourd’hui, nous en sommes déjà à 455 », a-t-il déclaré dans le même entretien.

L’obligation de signaler auprès de l’Office fédéral de la cybersécurité

La Confédération suit une autre voie avec l’obligation de signaler les cyberattaques. Depuis le 01.04.2025, les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’OFCS dans les 24 heures suivant leur découverte. Depuis le 01.10.2025, des amendes pouvant atteindre 100’000 francs sont prévues, sur la base de la loi sur la sécurité de l’information ; est puni celui qui ne se conforme pas à une décision entrée en force de l’OFCS. Au premier semestre 2026, l’office a reçu 200 signalements obligatoires, auxquels se sont ajoutés 27’128 signalements volontaires.

Il n’a pas été possible d’établir avec certitude, pour cet article, si les caisses de pension et leurs fournisseurs de logiciels sont soumis à cette obligation de signaler. Rien n’a été rapporté sur un éventuel signalement de l’attaque à l’OFCS par PK Softech ou par les caisses.

Ce que l’UE fait différemment

Dans l’Union européenne, le règlement général sur la protection des données (RGPD) mise sur des sanctions administratives contre les entreprises. Les autorités de contrôle peuvent infliger des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les manquements aux obligations relatives à la sécurité du traitement et à la notification des violations de données, le règlement prévoit un plafond moins élevé de 10 millions d’euros ou 2 %. Les violations de données doivent être notifiées à l’autorité de contrôle sans tarder et, si possible, dans les 72 heures, à moins qu’elles ne soient pas susceptibles d’engendrer un risque pour les personnes concernées. La loi suisse exige une annonce dans les meilleurs délais, mais seulement en cas de risque élevé probable.

Un cas irlandais montre à quel point ces amendes peuvent être élevées. En décembre 2024, l’autorité irlandaise de protection des données, la DPC, a infligé une amende de 251 millions d’euros au groupe Meta, maison mère de Facebook. En cause : une fuite de données survenue en 2018, lors de laquelle des personnes non autorisées avaient détourné des clés d’accès sur la plateforme. Quelque 29 millions de comptes avaient été touchés dans le monde, dont environ 3 millions dans l’UE et l’Espace économique européen.

En matière de protection juridique aussi, l’UE va plus loin : selon l’art. 80 RGPD, les personnes concernées peuvent se faire représenter par des organisations. En Suisse, il n’existe, selon les termes de Martin Steiger, « ni action collective ni droit de recours des associations » ; selon « Watson », le Parlement a rejeté en septembre 2025 l’introduction de l’action des organisations et de l’action collective. Le juriste réclame un changement de système. « Les violations de la sécurité des données devraient faire mal financièrement », dit Martin Steiger. Ce sont les entreprises elles-mêmes qui devraient être touchées, « pas seulement des personnes responsables individuelles ». Les violations de la sécurité des données commises par négligence devraient elles aussi être couvertes, et les sanctions devraient « être fixées en fonction du risque et du chiffre d’affaires ».

Les arguments contre de lourdes amendes pour les entreprises

Le premier argument contre des amendes à l’européenne est la volonté du législateur. La loi sur la protection des données entièrement révisée, adoptée lors de la session d’automne 2020, ne prévoit pas d’amendes administratives ; c’est ce qu’a voulu le Parlement, selon Adrian Lobsiger. Le préposé mise sur un autre instrument. « Il ne faut toutefois pas sous-estimer l’effet de la transparence », dit-il. Il informe le public, précise-t-il, lorsqu’il existe un intérêt général. « Cela incite les entreprises à en faire davantage pour la protection des données. »

En outre, une entreprise attaquée est d’abord elle-même lésée. PK Softech souligne que les assaillants ont obtenu l’accès « malgré des normes de sécurité élevées ». Des groupes comme Akira agissent de manière professionnelle. Une amende frapperait la victime une seconde fois, alors que les auteurs restent souvent hors d’atteinte.

La sécurité a par ailleurs un prix. Dans son blog, Jean-Pierre A. Kousz estime que les audits, les tests d’intrusion, les certifications et le travail interne supplémentaire pourraient faire augmenter les prix des éditeurs de logiciels de 20 % au maximum. Enfin, d’autres leviers existent déjà : l’obligation de signaler à l’OFCS, la loi sur la sécurité de l’information, les droits de contrôle contractuels des mandants et les règles applicables aux fournisseurs que la Confédération a adoptées après Xplain. L’OFCS recommande en outre de stocker les données avec retenue : il convient de les vérifier à intervalles réguliers et d’effacer celles qui ne sont plus nécessaires.

Ce que les personnes concernées peuvent faire maintenant

Pour les assurés, le risque devrait perdurer longtemps. Selon la note d’information de la Confédération, les collaborateurs actifs et retraités doivent s’attendre à des « conséquences à plus long terme ». « Les organes de sécurité de la Confédération sont particulièrement touchés », peut-on y lire selon le « Blick ». D’après le « Blick », des collaborateurs pourraient être identifiés par les autorités d’un autre pays et soumis à des interrogatoires approfondis, voire, dans les cas extrêmes, être arrêtés. Selon Tamedia, une évaluation interne évoque une « mise en danger de l’intégrité corporelle et de la vie » pour certaines personnes concernées. Toujours selon Tamedia, le secrétaire d’État Markus Mäder a mis sur pied une task force dirigée par Anne Rivera, déléguée de la Confédération à la sécurité de l’information.

Pour la plupart des personnes concernées, le danger immédiat est l’escroquerie. À la mi-octobre, les polices cantonales de Zurich et de Berne ont mis en garde contre des escrocs qui se font passer pour des conseillers financiers ou des courtiers en placements et pourraient connaître des informations sur les salaires et les avoirs de prévoyance. La police n’avait jusque-là enregistré aucune utilisation abusive des données. Elle conseille de rester méfiant face à des appels inattendus, de ne pas divulguer d’autres informations personnelles et de vérifier l’identité d’un prestataire de services financiers par les canaux officiels. Publica recommande de n’ouvrir aucun lien ni aucune pièce jointe suspects. Les tentatives d’escroquerie peuvent être signalées sur cybercrimepolice.ch. Le 20.10.2026, la PKZH a annoncé qu’elle enverrait une lettre à tous ses assurés dans le courant de la même semaine. Elle juge prématurées des plaintes pénales déposées individuellement par des assurés tant que les enquêtes ne sont pas closes ; selon elle, l’existence d’un droit à des dommages-intérêts, et envers qui, dépend du cas d’espèce.

Qui veut savoir si ses propres données sont touchées peut adresser une demande d’accès à la caisse. « À l’égard des personnes concernées, une demande d’accès doit toujours recevoir une réponse », dit Martin Steiger. Selon Lucien Jucker, de la Fondation pour la protection des consommateurs, les renseignements doivent en principe être fournis dans un délai de 30 jours.

Arena : faut-il infliger de lourdes amendes aux entreprises qui perdent les données de leurs clients ?

Commentaire : qui amasse des données doit en répondre

La fuite de données chez PK Softech révèle une lacune connue depuis l’affaire Xplain. Une entreprise gère les données de dizaines de milliers d’assurés, est attaquée et les perd. Les personnes concernées en supportent le risque pendant des années encore. Sur le plan pénal, l’entreprise ne risque presque rien en l’état du droit, tant que personne ne prouve l’intention d’une personne déterminée. Ce n’est pas un équilibre. C’est une invitation à la facilité.

La responsabilité individuelle signifie que celui qui décide en assume les conséquences. Utiliser de vraies données personnelles pour des tests, économiser sur la sécurité ou conserver des données plus longtemps que nécessaire, c’est faire un choix délibéré. La négligence grave en matière de sécurité des données doit donc être inscrite dans la loi. C’est à l’entreprise de payer, et non à un bouc émissaire du service informatique.

La Suisse n’a pas besoin pour autant de copier le RGPD. Des amendes pouvant atteindre 4 % du chiffre d’affaires mondial, infligées par une autorité qui enquête et décide à la fois, s’accordent mal avec le droit suisse de la protection des données. Mieux vaut des sanctions claires et limitées, sur lesquelles statuent les tribunaux. La Confédération devrait en outre balayer devant sa porte. On ignore si les règles applicables aux fournisseurs qu’elle a adoptées après Xplain valaient aussi pour la caisse de pension de son propre personnel. Ce constat à lui seul est un aveu d’échec.

Payer une rançon serait la mauvaise voie. Chaque paiement finance la prochaine attaque. Les pirates sont les coupables, et aucune amende n’y change rien. Mais qui amasse des données dont il n’a pas besoin leur facilite la tâche.

Toutes les données sont arrêtées au 30.10.2026. La Confédération et Publica n’ont pas confirmé les informations issues de l’enquête du « Tages-Anzeiger » et de Tamedia sur les auteurs, l’ampleur, le volume de données et la task force ; nous n’avons trouvé ni confirmation ni correction jusqu’à cette date. Nous n’avons pas eu accès à l’article original, que nous citons d’après « Netzwoche », « Inside IT » et « Watson ». Nous n’avons pas consulté nous-mêmes le site d’Akira sur le darknet. Les effectifs des caisses ne correspondent pas au nombre de personnes touchées. La situation juridique est présentée d’après la fiche d’information du PFPDT, l’entretien avec Adrian Lobsiger et des sources spécialisées ; le texte de loi peut être consulté sur fedlex.admin.ch. Nous n’avons trouvé aucune prise de position d’associations économiques, de l’association des caisses de pension ou de parlementaires sur la question des amendes, même lors d’une nouvelle recherche le 30.10.2026. Les citations prononcées dans une autre langue ont été traduites par la rédaction. Les sources sont citées dans leur langue d’origine.

Sur le même sujet : Réseaux sociaux interdits aux enfants : l’Europe fixe la limite, la Suisse hésite · Bruxelles réglemente, Zurich construit : comment la Suisse gagne la course à l’IA en n’y participant pas (en allemand) · 13e rente AVS : le peuple a commandé, on lui présente l’addition

Sources

• Conseil fédéral : Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt (08.10.2026)
• PFPDT : EDÖB leitete nach Cyberangriff auf Softwarelieferant Abklärungen ein (23.10.2026)
• PFPDT : Tätigkeitsbericht 2025/26, communiqué de presse (30.06.2026)
• PFPDT : Merkblatt zur Untersuchung von Verstössen gegen Datenschutzvorschriften (version de septembre 2023)
• Blick : Mr. Datenschutz: «Die Bedrohung durch die KI ist real», entretien avec Adrian Lobsiger (24.10.2026)
• Blick : Daten-Debakel beim Bund: «Besonders betroffen sind die Sicherheitsorgane» (18.10.2026)
• SRF : Cyberangriff auf Publica: diese Daten sind betroffen (08.10.2026)
• SRF : Pensionskasse des Bundes: Wie konnten heikle Daten bei externer Softwarefirma landen? (10.10.2026)
• Inside IT : Datenabfluss bei Pensionskasse des Bundes (08.10.2026)
• Inside IT : Pensionskasse Stadt Zürich untersucht Datenabfluss (16.10.2026)
• Inside IT : Datenleck bei Publica gefährdet auch Sicherheitsbehörden (20.10.2026)
• Inside IT : Edöb untersucht Cyberangriff auf PK Softech (26.10.2026)
• Watson : Cyberangriff auf Software-Lieferanten des Bundes: Hacker erbeuten Daten (08.10.2026, mis à jour le 22.10.2026)
• Watson : Cyberangriff betrifft auch Pensionskasse Stadt Zürich (15.10.2026)
• Watson : Nach Publica-Datendiebstahl: Ransomware-Bande Akira erpresst Bund (20.10.2026)
• Watson : Hackerangriff auf PK Softech AG: EDÖB startet formelle Untersuchung (23.10.2026)
• Watson : entretien avec Martin Steiger sur les fuites de données (11.06.2026)
• Watson : Ransomware-Attacken, das BACS zu aktuellen Trends (29.06.2026)
• Netzwoche : Ransomware-Gruppe Akira fordert Lösegeld für Daten von über 100’000 Bundesangestellten (08.10.2026, mises à jour jusqu’au 21.10.2026)
• Cash (AWP) : Angriff auf Publica-Lieferanten: Lohndaten könnten betroffen sein (08.10.2026)
• Finews : Hackerangriff auf IT-Dienstleister zieht weitere Kreise (16.10.2026)
• Digitec Galaxus : Nach PK-Hack: Sind auch andere Pensionskassen betroffen? (12.10.2026)
• PKZH : Cyberangriff PK Softech (état au 20.10.2026)
• Polizeinews : Cyberangriff auf Pensionskassen-Zulieferer: Personendaten gestohlen (18.10.2026)
• Tio : Attacco hacker alle casse pensioni: a rischio anche i dati di 27mila ticinesi (20.10.2026, en italien)
• RSI : Attacco hacker: esposti i dati di quasi 1’800 assicurati dell’IPCT (23.10.2026, en italien)
• blue News : Pension Fund Data Breach: Which Funds Are Affected (13.10.2026, en anglais)
• blue News : Data on more than 100,000 insured individuals may have fallen into the hands of hackers (18.10.2026, en anglais)
• blue News : Hackers Steal Data from Soldiers and Former Federal Councilors (20.10.2026, en anglais)
• Jean-Pierre A. Kousz : Publica-Datenleck: Schon wieder der Lieferant, blog (08.10.2026, mis à jour le 14.10.2026)
• Netzwoche : Ransomware-Bande Akira attackiert vermehrt Schweizer Unternehmen (16.10.2025)
• OFCS : Halbjahresbericht 2024/I (07.11.2024)
• OFCS : Halbjahresbericht 2025/II (30.03.2026)
• Conseil fédéral : Cyberbedrohungslage bleibt hoch: Angriffe werden gezielter und komplexer (30.03.2026)
• Conseil fédéral : Kennzeichnungspflicht wirkt, BACS-Halbjahresbericht 2026/1 (24.08.2026)
• Netzwoche : BACS zieht erste Bilanz zur Meldepflicht für kritische Infrastrukturen (30.09.2025)
• SRF : Trotz Warnung: Bundeskonzern Ruag zahlt Lösegeld an Hackergruppe (06.06.2026)
• Berliner Zeitung : Schweizer Rüstungskonzern Ruag zahlte Lösegeld an Hackergruppe Akira (06.06.2026)
• SRF : Nach Datenklau bei Xplain: Datenschützer sieht Fehler bei Bund und Xplain (01.05.2024)
• DDPS/SEPOS : Massnahmenpaket zur Vermeidung künftiger Datenabflüsse (24.04.2024)
• Office fédéral de la justice : Datenschutz (05.02.2026)
• Fedlex : Bundesgesetz über den Datenschutz (DSG), SR 235.1
• Law.ch : Strafbestimmungen des nDSG
• EUR-Lex : Datenschutz-Grundverordnung, Verordnung (EU) 2016/679
• OFCS : Merkblatt Meldepflicht für Cyberangriffe
• Conseil fédéral : Sechs Monate Meldepflicht für Cyberangriffe auf kritische Infrastrukturen (29.09.2025)
• Netzwoche : Jetzt müssen kritische Infrastrukturen Cyberangriffe melden (23.05.2024, mises à jour jusqu’au 01.04.2025)
• PFPDT : Leitfaden zur Meldung von Datensicherheitsverletzungen nach Art. 24 DSG (version 1.2, 23.04.2025)
• Law.ch : Meldung von Datenschutzverletzungen nach Art. 24 DSG
• e-recht24 : Art. 33 DSGVO, Meldung an die Aufsichtsbehörde
• Dr. Datenschutz : Bussgelder und Sanktionen nach Art. 83 DSGVO
• TÜV Nord : DSGVO-Strafe, Bussgelder bei Datenschutzverstössen (07.11.2022)
• Law Society Gazette : DPC fines Facebook owner 251 million euros (17.12.2024)