Rapport explicatif

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2024 de l’ordonnance sur l’approvisionnement en électricité (protection contre les cybermenaces)

en 23 catégories. Sa structure permet d’évaluer et d’améliorer l’organisation de la cybersécurité dans les entreprises.

Les mesures ressortant de la norme forment un cadre fixe dans une large mesure, mais restent assez flexibles pour être adaptées aux risques spécifiques aux entreprises ainsi qu'aux nouvelles menaces, aux nouveaux outils technologiques et à l’évolution des connaissances techniques⁷. Elles ne prescrivent pas de solutions techniques: il appartient aux entreprises de les élaborer elles-mêmes. Pour ce faire, celles-ci peuvent aussi se regrouper dans le cadre des structures associatives existantes afin de créer une norme spécifique à leur secteur.

2.2 Niveau (ou profil) de protection

Le niveau de protection fixe les exigences quant au degré de mise en œuvre des mesures prévues dans la norme minimale TIC (valeurs / niveau Tier selon le chap. 3 de la norme minimale TIC). Le niveau de protection A comporte les exigences les plus strictes, les niveaux B et C des exigences moins élevées. Pour les plus petits acteurs du marché, les dispositions du niveau de protection C fixent des exigences régissant un nombre de mesures limité. Les mesures qui ne s’accompagnent pas de valeurs correspondantes ne doivent pas obligatoirement être mises en œuvre et gardent donc valeur de simples recommandations. Les différents niveaux de protection sont définis à la nouvelle annexe 1a. Les valeurs qui y figurent ont été fixées pour chaque niveau de protection en tenant compte de la criticité des entreprises et des moyens requis pour la mise en œuvre des mesures. Elles ont été déterminées par un groupe de travail de l’Association des entreprises électriques suisses (AES) auquel ont participé des spécialistes de l’Office fédéral de l’énergie (OFEN).

Des critères sont définis pour les entreprises afin de leur attribuer un niveau de protection (A,B ou C). Si une entreprise remplit les critères d’un niveau de protection donné, c’est ce niveau qui est déterminant pour elle. Par exemple, les gestionnaires de réseau dont le volume d’électricité transportée atteint au moins 450 GWh/an (ch. 1.1, annexe 1a) sont tenus d’appliquer le niveau de protection A. Les analyses et les pratiques émanant d’autres services spécialisés ont été prises en compte pour établir les critères. Ainsi, le critère de 450 GWh/an prévu pour les gestionnaires de réseau au niveau de protection A correspond à une valeur fixée par l’Office fédéral de la protection de la population (OFPP) pour les infrastructures critiques d’importance nationale. Quant au critère de 112 GWh/an fixé pour les gestionnaires de réseau et les prestataires au niveau de protection B, il correspond essentiellement à la valeur annualisée caractéristique d’une crise selon l’AES⁸.

En ce qui concerne les producteurs et les exploitants de stockage, une puissance de 800 MW a été choisie pour le niveau de protection A et une puissance de 100 MW pour le niveau B. Cette dernière correspond à la valeur définie dans l’ordonnance sur l’énergie⁹ pour les centrales de pompage-turbinage revêtant un intérêt national.

Si la puissance est inférieure à 100 MW, les producteurs, les exploitants de stockage et les prestataires de ces deux acteurs ne sont pas concernés par l’obligation de respecter la norme minimale TIC. Aucun profil de protection C n’est prévu pour eux. Dans la mesure où la valeur seuil de 100 MW n’est pas atteinte, la norme reste pour eux une simple recommandation. Ceci car, d’une part, leur influence sur la sécurité d’approvisionnement est plus faible que celle des gestionnaires de réseau qui accèdent directement au réseau via des technologies de pilotage, et car, d’autre part, contrairement aux gestionnaires de réseau, ils ne peuvent intégrer à leurs tarifs les coûts liés à la cybersécurité.