Affaire cyber du SRC : disculpation et question centrale ouverte
L'enquête ne trouve aucune preuve de suppressions massives de données. Le Ministère public de la Confédération poursuit toutefois ses investigations sur un possible échange de données réseau.
La nouvelle enquête administrative sur l'ancien secteur cyber du Service de renseignement de la Confédération (SRC) disculpe le service sur des points importants. Elle ne suffit pas pour autant à une mise hors de cause générale : le soupçon d'une éventuelle transmission systématique de données de trafic réseau, en lien avec l'ancienne collaboration avec Kaspersky, reste du ressort des investigations du Ministère public de la Confédération. C'est précisément cette distinction qui constitue le message central du rapport d'enquête publié lundi.
Ce que l'enquête clarifie
Le cabinet Lenz & Staehelin a passé en revue des rapports et des documents antérieurs et a interrogé plusieurs collaborateurs ainsi que des membres de la direction du SRC. Selon son appréciation, les questions anciennes sur la légalité de l'acquisition de données auprès de fournisseurs d'accès internet sont aujourd'hui, pour l'essentiel, suffisamment clarifiées. Elle n'a pas trouvé d'indices concrets justifiant d'autres investigations dans ce domaine. Cette enquête n'a pas non plus fait apparaître d'indices de suppressions de données « à grande échelle » par d'anciens collaborateurs.
Ce sont des constats limités mais importants : « aucun indice trouvé » ne prouve pas que des données isolées n'ont jamais été supprimées, et ne constitue pas non plus un jugement sur l'ensemble des activités du secteur cyber. Le rapport lui-même distingue les faits qu'il a pu évaluer des soupçons qui continuent d'être examinés ailleurs. La communication de la Confédération résume elle aussi cette distinction.
La question ouverte porte sur la transmission
Dans l'ancienne collaboration avec l'entreprise de sécurité Kaspersky, des incertitudes subsistent, selon le rapport. Il s'agit de soupçons selon lesquels des collaborateurs auraient pu transmettre systématiquement des données de trafic réseau. L'autorité de surveillance des activités de renseignement (ASR) a déposé une plainte pénale à ce sujet en 2025 ; le Ministère public de la Confédération enquête. Que des données aient effectivement été transmises de manière systématique, à qui, et si des infractions ont été commises, n'est donc précisément pas tranché. Un prétendu transfert vers des services secrets russes n'est pas non plus attesté comme un fait par la nouvelle enquête.
Le rapport d'audit de l'ASR de 2025 explique pourquoi cette incertitude n'est pas anodine. Dans un jeu de données sécurisé à des fins forensiques, l'autorité de surveillance a trouvé des indices d'un traitement de données personnelles et de leur possible échange avec des instances externes. Parmi celles-ci figuraient des adresses IP qu'elle a qualifiées de données personnelles dans l'environnement de travail du SRC. Selon la présentation de l'autorité de surveillance, les indices d'une éventuelle transmission étaient peu nombreux ; elle n'est pas parvenue à une clarification définitive. Qui déduit déjà de ce constat un écoulement de données avéré va au-delà de l'état du dossier.
Des améliorations – et un passé difficile
La nouvelle enquête considère que les recommandations issues d'audits antérieurs ont, pour l'essentiel, été mises en œuvre ou sont devenues caduques du fait de la réorganisation. Elle constate en même temps que l'impression ne s'est pas forcément imposée que le SRC ait activement ou prioritairement suivi leur mise en œuvre par le passé. Cela ne revient pas à dire que le contrôle aurait été en tous points exemplaire. L'ASR avait documenté en 2025 que des mesures immédiates alors annoncées n'avaient pas été pleinement appliquées, qu'un ancien dépôt de données continuait de fonctionner et que des contrôles supplémentaires faisaient défaut. Les deux rapports portent sur des moments différents ; le nouveau constat n'efface donc pas l'ancien.
Les problèmes touchent aussi la culture interne. Selon la synthèse, les personnes interrogées ont décrit une confiance parfois fortement ébranlée envers la direction et la communication, accentuée par des réorganisations et des enquêtes à répétition. En même temps, l'enquête souligne l'engagement des collaborateurs et juge positivement un nouveau règlement sur les signalements internes. Celui-ci doit encourager les personnes qui signalent des manquements de manière fondée à se manifester et les protéger contre les représailles.
L'ancien domaine Cyber a déjà été restructuré. La transformation du SRC devrait s'achever fin 2026. Les enquêteurs recommandent d'évaluer la nouvelle organisation au plus tôt après un an, en tenant compte de l'expérience des collaborateurs. Le rapport complet reste secret en raison d'informations sur le mode de travail du service et de noms de personnes ; une synthèse de trois pages est publique. La vérifiabilité des conclusions par des tiers a donc ses limites.
Pour la Suisse, la leçon est double : un service de renseignement a besoin d'une analyse technique efficace et, précisément pour les données réseau sensibles, de règles vérifiables et d'une surveillance. Savoir si la réorganisation renforcera durablement la confiance ne se vérifiera que dans la pratique. C'est la procédure pénale en cours qui tranchera sur le complexe de soupçons restant, et non la disculpation actuelle sur d'autres points.
