Le service de renseignement suisse affirme que la plupart des mesures contre les fuites de données sont en place

La plupart des mesures de protection recommandées après une série de scandales liés au renseignement sont désormais en place, a annoncé le Département fédéral de la défense le 21 septembre 2026. Cette évaluation fait suite à des enquêtes sur de possibles transferts et suppressions de données, ainsi que sur des contacts entre l’ancienne division cyber du Service de renseignement de la Confédération (SRC) et l’entreprise russe de cybersécurité Kaspersky.

Le département a indiqué que les recommandations précédentes avaient été mises en œuvre « en principe ». Il a également déclaré que plusieurs enquêtes avaient « suffisamment clarifié » les incidents survenus au sein de l’ancienne unité. Ces conclusions apportent un important répit institutionnel au service de renseignement, après les interrogations sur la manière dont les informations sensibles ont été traitées.

L’examen a porté sur des allégations selon lesquelles des données du SRC auraient transité par Kaspersky pour parvenir aux services de renseignement russes. Il a également étudié les affirmations selon lesquelles des données auraient été supprimées. Ces questions remontent à des incidents et à des rapports traités par la division cyber depuis 2001. L’examen a donc porté sur une longue période et sur les systèmes, les décisions et la surveillance.

La conclusion du département ne clôt pas tous les dossiers. La collaboration présumée avec Kaspersky reste sans réponse et fait désormais l’objet d’une enquête pénale. La police et le Ministère public de la Confédération examinent cet aspect séparément des évaluations administratives et des contrôles de surveillance.

Quatre dispositifs d’examen distincts ont étudié les allégations : une enquête interne, deux enquêtes externes et un audit de l’autorité de surveillance. L’ampleur de ce processus témoigne de la sensibilité des accusations et de l’importance de contrôles indépendants autour du service de renseignement suisse.

Les enquêtes se sont concentrées sur l’ancienne division cyber du SRC, qui a traité des incidents et des rapports liés à la cybersécurité pendant plus de deux décennies. Les enquêteurs devaient déterminer si des informations avaient été transférées illégalement, si des données avaient été effacées et si des fournisseurs technologiques externes avaient créé des voies d’accès pour des services de renseignement étrangers.

Leurs conclusions apportent une réponse limitée, mais importante, aux allégations de suppression. Les autorités n’ont trouvé aucun indice de suppression de données « à grande échelle ». Cette formulation laisse la porte ouverte à des questions concernant des enregistrements isolés ou des incidents plus circonscrits, mais écarte la version la plus large des accusations rendues publiques au sujet de l’unité.

Le Département de la défense a également indiqué que les recommandations des rapports précédents avaient été généralement mises en œuvre. L’expression « en principe » est importante : elle rend compte d’une large conformité aux mesures de protection proposées, sans déclarer que toutes les questions opérationnelles ou juridiques sont réglées. Les allégations concernant Kaspersky ne sont pas couvertes par cette conclusion et suivent leur cours dans le système de justice pénale.

La question de Kaspersky reste ouverte et les procureurs sont désormais saisis du principal volet encore irrésolu. Les autorités ont transmis à la police et au Ministère public de la Confédération les allégations de collaboration entre l’ancienne division cyber du SRC et l’entreprise russe de cybersécurité.

Les accusations portent sur de possibles transferts de données par l’intermédiaire de Kaspersky vers les services de renseignement russes. Les éléments disponibles ne permettent pas d’établir que de tels transferts ont eu lieu, et l’examen plus général du Département de la défense ne tranche pas la question. La transmission du dossier à des fins d’enquête est donc une étape procédurale, et non une conclusion quant à l’existence d’un comportement criminel.

Cette affaire revêt une importance particulière en Suisse, car les agences de renseignement dépendent d’un contrôle strict des données, des fournisseurs et des accès techniques. Kaspersky a fait l’objet d’un examen attentif dans plusieurs pays en raison de son appartenance russe et de ses liens présumés avec des structures étatiques. Selon de précédents articles, les responsables suisses ont également été interrogés sur leurs contacts avec d’autres entreprises russes.

L’enquête pénale devra établir quelles informations ont été échangées, qui a autorisé d’éventuels contacts, quels systèmes étaient concernés et si le droit suisse a été enfreint. Tant que ces travaux ne sont pas achevés, la conclusion administrative selon laquelle la plupart des mesures de protection sont en place ne permet pas de régler les principales accusations entourant Kaspersky.

La surveillance du renseignement suisse doit désormais démontrer que les mesures de protection sont efficaces dans la pratique, et pas seulement sur le papier. Dans sa communication, le Département de la défense indique que les recommandations ont été généralement mises en œuvre, donnant au SRC un cadre pour traiter les informations sensibles après des années d’incidents signalés.

Ce cadre sera important alors que les cybermenaces s’intensifient et que les agences de renseignement dépendent de logiciels externes, de prestataires et de compétences spécialisées. Les contrôles concernant les achats, la circulation des données, les registres de suppression et les journaux d’accès doivent permettre aux autorités de reconstituer les décisions lorsque des problèmes surgissent. Les enquêtes montrent l’importance de ces traces : les allégations remontent à 2001, tandis que les questions concernant Kaspersky restent d’actualité.

La prochaine étape clairement attendue sera le résultat de l’enquête pénale menée par la police et le Ministère public de la Confédération. Ses conclusions pourraient confirmer que les mesures de protection existantes étaient suffisantes, révéler des lacunes que les examens administratifs n’ont pas relevées ou préciser les limites des responsabilités au sein de l’ancienne division cyber.

Pour le public suisse et le Parlement, la conclusion du département apporte un élément rassurant quant aux accusations de suppressions de données à grande échelle, tout en laissant ouverte une question de responsabilité concernant la collaboration présumée avec Kaspersky. Cette affaire restera un test de la manière dont la Suisse concilie le secret opérationnel et une surveillance crédible.