Fin septembre, un prestataire externe de logiciels au service de deux institutions majeures de la prévoyance professionnelle bernoise a été la cible d’une cyberattaque. La Caisse de pension bernoise (CPB) et la Caisse d’assurance du corps enseignant bernois (CACEB) se trouvent ainsi exposées à un incident dont les contours précis restent à établir, tandis qu’une enquête formelle a été confiée au Ministère public de la Confédération.
L’entreprise visée a déposé une plainte pénale dans l’immédiat. Ce geste, aussi rapide que nécessaire, traduit la gravité potentielle d’une intrusion dans des systèmes qui traitent des données sensibles relatives à des dizaines de milliers d’assurés. La transmission du dossier au Ministère public de la Confédération — et non à une autorité cantonale — signale que les autorités considèrent l’affaire comme revêtant une dimension qui dépasse le cadre ordinaire des incidents informatiques locaux.
La CPB occupe une position structurelle centrale dans le paysage institutionnel bernois. Elle assure le personnel cantonal ainsi que les collaborateurs des trois hautes écoles cantonales dans le cadre de la prévoyance professionnelle au sens de la LPP, et accueille en outre plusieurs employeurs liés au canton. Au 31 décembre 2025, elle recensait 42 145 assurés actifs et 18 321 bénéficiaires de rentes — un volume qui illustre l’ampleur des obligations financières et la sensibilité des données administrées.
La CACEB remplit quant à elle une mission plus ciblée : elle protège les enseignants bernois contre les conséquences économiques de l’invalidité, de la vieillesse et du décès. Au 31 décembre 2025, elle comptait 21 417 personnes assurées actives et 10 259 bénéficiaires de rentes. Deux institutions, un fournisseur commun, une vulnérabilité partagée.
C’est précisément ce point de convergence qui mérite attention. La mutualisation des prestataires informatiques entre plusieurs caisses de droit public constitue une réalité économique compréhensible — elle permet des économies d’échelle et une standardisation des processus. Mais elle crée simultanément des nœuds de risque systémique : une seule intrusion réussie peut compromettre plusieurs entités en cascade. L’incident bernois illustre avec une clarté peu commode ce que les spécialistes de la cybersécurité désignent sous le terme de risque de concentration chez les tiers.
À ce stade, ni la CPB ni la CACEB n’ont communiqué sur l’étendue précise de la compromission — qu’il s’agisse d’une exfiltration de données personnelles, d’un chiffrement de type rançongiciel ou d’une perturbation opérationnelle. L’enquête en cours impose une réserve légitime. Ce silence factuel ne doit cependant pas occulter une question de fond : dans quelle mesure les caisses de pension soumises à la surveillance cantonale et fédérale intègrent-elles les exigences de sécurité de la chaîne d’approvisionnement numérique dans leurs processus d’audit et de gouvernance ?
La réponse à cet incident dépassera probablement le seul cadre pénal. Elle interpellera aussi bien l’Autorité de surveillance LPP et des fondations que les organes de surveillance cantonaux bernois, dans un contexte où la Confédération intensifie ses efforts en matière de cybersécurité des infrastructures critiques. Les caisses de pension, pilier du deuxième pilier suisse, gèrent des actifs et des données personnelles dont la protection conditionne la confiance des assurés — et, in fine, la stabilité du système de prévoyance dans son ensemble.