Sécurité du code : la Confédération reconduit Sonar

par | Nov 5, 2026 | WIT NEWS

Sécurité du code : pourquoi la Confédération reconduit le Genevois Sonar

Introduction

Les cyberattaques ne passent pas toujours par le réseau. Souvent, elles exploitent une faille laissée dans le code d’une application. C’est pourquoi la sécurité du code est devenue un sujet stratégique, aussi bien pour les administrations que pour les banques.

Fin octobre 2026, la Confédération en a donné une illustration concrète : elle a de nouveau choisi SonarSource, l’entité juridique de Sonar, éditeur basé à Vernier (Genève) et l’une des rares licornes suisses, pour l’analyse du code de ses applications.

Un marché fédéral de 2,3 millions de francs remporté par Sonar

Selon l’avis d’adjudication publié sur simap.ch et repris par ICTjournal le 30 octobre 2026, l’Office fédéral des constructions et de la logistique (OFCL) a attribué à SonarSource un marché pour son logiciel d’analyse statique du code, SonarQube.

  • Montant : 2,32 millions CHF TVA comprise au maximum, soit un mandat de base d’environ 382 500 CHF et des options pour 1,94 million CHF. 
  • Durée : cinq ans, avec deux prolongations possibles de deux ans.
  • Procédure : un appel d’offres ouvert lancé en juin 2025. Quatre offres ont été déposées, et SonarSource a obtenu les meilleures notes, sur le prix comme sur la qualité.
  • Utilisateurs : principalement l’Office fédéral de l’informatique et de la télécommunication (OFIT), à Zollikofen.

Il s’agit d’une reconduction : l’administration fédérale utilisait déjà SonarQube pour suivre la qualité, la sécurité et l’intégrité de ses logiciels.

Sécurité du code : de quoi parle-t-on ?
Un outil d’analyse statique comme SonarQube lit le code source d’une application sans l’exécuter. Il repère les erreurs, les failles de sécurité connues et les parties du code difficiles à maintenir, ce qu’on appelle la « dette technique ». Intégré dans la chaîne de développement (les pipelines CI/CD), ce contrôle se fait automatiquement à chaque modification. Les problèmes sont corrigés avant la mise en production, quand ils coûtent encore peu. C’est le principe du DevSecOps : intégrer la sécurité dès l’écriture du code, et non à la fin du projet.

Sur le terrain : Dans les projets de développement que nous voyons à Genève, l’analyse automatique du code fait de plus en plus partie des exigences de base, au même titre que les tests. Elle permet de bloquer une faille avant la recette plutôt que de la découvrir en production.

Finance genevoise : la sécurité du code sous pression réglementaire

Pour les banques et les gestionnaires de fortune de la place genevoise, la qualité des logiciels n’est pas qu’une question technique.
Elle est aussi encadrée par la réglementation :

  • Circulaire FINMA 2023/1 : « Risques et résilience opérationnels – banques », en vigueur depuis le 1er janvier 2024. Elle demande aux banques de maîtriser leurs risques informatiques et cyber, et de pouvoir continuer à fonctionner en cas d’incident.
  • Règlement européen DORA : applicable depuis le 17 janvier 2025 aux entités financières de l’Union européenne. Il concerne les établissements genevois qui ont des activités ou des filiales dans l’UE, ainsi que leurs prestataires informatiques.

Dans ce cadre, pouvoir démontrer que le code est contrôlé, tracé et corrigé régulièrement devient un vrai argument face aux auditeurs.

Quels experts pour la sécurité du code en Suisse romande ?

Cette évolution change aussi les compétences recherchées par les entreprises genevoises et romandes :

  • Ingénieurs DevSecOps : des profils capables de relier développement, intégration continue et sécurité applicative.
  • Spécialistes en sécurité applicative : pour définir les règles d’analyse, interpréter les résultats et prioriser les corrections. applicable depuis le 17 janvier 2025 aux entités financières de l’Union européenne. Il concerne les établissements genevois qui ont des activités ou des filiales dans l’UE, ainsi que leurs prestataires informatiques.
  • Responsables techniques : capables de mesurer la dette technique, de la réduire et de former les équipes aux bonnes pratiques.

Sur le terrain : Les profils les plus demandés sont ceux qui parlent à la fois le langage des développeurs, celui de la sécurité et celui de la conformité. Ils restent rares sur le marché romand.


Sécurité du code : ce qu’il faut retenir

  • La dette technique est aussi un risque de sécurité : un code mal contrôlé laisse plus facilement passer des failles.
  • Un savoir-faire de pointe existe à Genève : la reconduction de Sonar par la Confédération le montre.
  •  Les profils hybrides font la différence : développement, sécurité et conformité vont désormais ensemble.

FAQ

Pourquoi le contrat entre la Confédération et Sonar est-il important ?

Parce qu’il confirme, après un appel d’offres ouvert, le choix d’un éditeur genevois pour contrôler la qualité et la sécurité du code des applications fédérales, pour un montant maximal de 2,32 millions CHF.

Qu’est-ce que l’analyse statique du code ?

C’est la vérification automatique du code source d’une application, sans l’exécuter, pour détecter les erreurs, les failles de sécurité et la dette technique.

Qu’est-ce que le DevSecOps ?

Une façon de travailler qui intègre la sécurité à chaque étape du développement, et non uniquement à la fin d’un projet.

Les banques suisses sont-elles concernées par DORA ?

Directement, seulement si elles ont des activités ou des entités dans l’Union européenne. En Suisse, c’est la circulaire FINMA 2023/1 qui encadre les risques et la résilience opérationnels des banques.


Conclusion :

La sécurité du code n’est plus un sujet réservé aux développeurs. Elle touche la cybersécurité, la conformité et la confiance des clients. En reconduisant Sonar, la Confédération rappelle qu’une application sûre commence par un code maîtrisé. Vous cherchez des experts en sécurité du code, DevSecOps ou sécurité applicative à Genève ou en Suisse romande ?

Échangeons sur vos enjeux. Contactez-nous


Sources :

ICTjournal, « La Confédération renouvelle sa confiance à la licorne genevoise Sonar », 30 octobre 2026 (avis d’adjudication simap.ch).

FINMA, circulaire 2023/1 « Risques et résilience opérationnels – banques ».

Règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025.


Derniers articles

[/et_pb_text]

ARTICLES

[/et_pb_column][/et_pb_row][/et_pb_section]