Rapport explicatif

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2024 de l’ordonnance sur l’approvisionnement en électricité (protection contre les cybermenaces)

Si les prestataires externes qui gèrent les systèmes TIC sur mandat d’une entreprise ont un accès durable aux systèmes de pilotage (systèmes de gestion opérationnelle) de la mandante, ils sont soumis aux mêmes prescriptions qu’elle.

3. Conséquences financières, conséquences sur l’état du personnel et autres conséquences pour la Confédération, les cantons et les communes

La mise en œuvre des modifications prévues n’a pas de conséquence notable sur les finances ou l’état du personnel pour la Confédération, les cantons ou les communes. Le projet de révision vise à rehausser le niveau de cybersécurité du secteur de l’électricité. Il a pour but d’offrir une meilleure protection contre les cybermenaces à moyen et à long terme, ce qui profite en dernier lieu à la Confédération, aux cantons et aux communes, étant donné que des perturbations dues à des cyberattaques entraîneraient de lourdes conséquences financières.

4. Conséquences économiques, environnementales ou sociales

Une cyberattaque peut avoir de graves conséquences économiques, écologiques ou sociales. Ainsi, les frais qu’entraîne l’attaque d’un rançongiciel pour une entreprise (rançon, perte de données, délai de restauration du service, etc.) peuvent dépasser les coûts requis pour assurer la sécurité de son infrastructure. Un niveau de cyberprotection adéquat permet d’éviter ces coûts élevés, c’est pourquoi la révision prévue revêt un intérêt majeur.

Étant donné que la réglementation en vigueur prescrit déjà des mesures préventives visant à garantir la sécurité de l’exploitation du réseau (art. 8 de la loi du 23 mars 2007 sur l’énergie [LApEl; RS 734.7] et art. 5 OApEl), aucune charge supplémentaire notable ne devrait être générée. Les entreprises conscientes des risques qui ont d’ores et déjà instauré des mesures de sécurité n’auront pas à prendre en charge des coûts supplémentaires, ou seuls des coûts mineurs. Seules les entreprises qui,

malgré les prescriptions existantes, n’ont rien entrepris en matière de cybersécurité doivent s’attendre à des conséquences majeures.

En général, on estime que les coûts liés à la cybersécurité d’une entreprise représentent environ 6 à 14% des dépenses allouées à l’informatique ou environ 0,3 à 0,5% de son chiffre d’affaires annuel. Il faut toutefois mettre ces coûts en perspective en les comparant à ceux causés par un cyberincident, tel que le chantage d’un pirate informatique après une attaque au rançongiciel, qui sont estimés en moyenne à 1,4 millions de francs¹⁰ pour une PME et dépassent largement cette somme pour les grandes entreprises.