Rapport explicatif

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2024 de l’ordonnance sur l’approvisionnement en

électricité (protection contre les cybermenaces)

1. Contexte

Les technologies de l’information et de la communication (TIC) participent au développement d’un approvisionnement en énergie flexible et efficace. Par conséquent, elles sont de plus en plus utilisées pour surveiller et piloter les réseaux d’approvisionnement en énergie ainsi que la production d’énergie. Bien qu’elles permettent des améliorations, elles augmentent également l’exposition aux cyberattaques et représentent ainsi de nouveaux risques.

La sécurité de l’approvisionnement énergétique a une importance stratégique. Une exploitation sûre permet d’assurer la protection d’importants biens juridiques. Notre système socioéconomique dépend de l’énergie à tel point qu’une défaillance majeure touchant sa production ou sa distribution aurait de lourdes conséquences. La menace d’une cyberattaque visant les réseaux énergétiques s’est fortement accrue; elle est aujourd’hui plus réelle que jamais.

La stratégie nationale pour la protection des infrastructures critiques 2018-2022 (PIC)¹ et la nouvelle cyberstratégie nationale (CSN)² prévoient des mesures visant à renforcer la résilience générale des infrastructures critiques. À cette fin, la CSN soutient la mise en œuvre de la norme minimale élaborée par l’Office fédéral pour l’approvisionnement économique du pays (OFAE) pour améliorer la résilience informatique (norme minimale TIC)³ et examine les cas où des mesures contraignantes seraient nécessaires⁴. Ce document est appliqué sur une base volontaire. À l’heure actuelle, les mesures qu’il contient ne sont pas systématiquement mises en œuvre en Suisse dans le secteur de l’énergie.

En raison de la hausse des menaces et de leur caractère critique, il est crucial de pouvoir garantir un haut niveau de cybersécurité. Bien que les efforts entrepris jusqu’ici par les acteurs de la branche doivent être salués, ils restent insuffisants et trop rares au regard de la professionnalisation et de l’organisation des groupes criminels. Le rapport sur la cybersécurité⁵ publié par l’Office fédéral de l’énergie (OFEN) en 2021 montre que la protection de l’approvisionnement en électricité est actuellement insuffisante et que l’État se doit par conséquent d’intervenir au niveau normatif. Les dernières évolutions dans le domaine de l’intelligence artificielle (p. ex. ChatGPT) vont encore faciliter la tâche des cybercriminels. Il importe d’améliorer la cyber-résilience des entreprises dans le domaine électrique, afin de pouvoir faire face aux défis à la fois actuels et futurs.

2. Présentation du projet

La révision de l’ordonnance du 14 mars 2008 sur l’approvisionnement en électricité (OApEl;

RS 734.71) vise à rendre la norme minimale TIC obligatoire pour les principaux fournisseurs d’électricité. Elle contraint les acteurs tenus d’appliquer cette norme à atteindre un niveau de protection donné pour la mise en œuvre des mesures prévues. Afin de respecter le principe de proportionnalité, plusieurs niveaux (ou profils) de protection permettent d’échelonner les exigences.

2.1 Norme minimale TIC

La norme minimale TIC, qui fixe une série de mesures, est un instrument de protection majeur contre les cyberattaques. Elle se fonde sur le cadre de sécurité publié aux États-Unis par le National Institute of Standards and Technology (NIST Cybersecurity Framework⁶). Elle comporte 108 mesures réparties