Rapport explicatif

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2024 de l’ordonnance sur l’approvisionnement en électricité (protection contre les cybermenaces)

5. Comparaison avec le droit européen

L’Union européenne (UE) s’emploie à renforcer la cybersécurité sur tout son territoire et à rehausser la résilience de ses infrastructures critiques. Sur cette question, on peut prendre en compte notamment la directive de l’UE dite SRI¹¹ et la directive SRI 2¹² lui ayant succédé. L’UE y prévoit notamment que ses États membres doivent définir des mesures de protection pour les entreprises énergétiques majeures¹³. L’UE a rehaussé ses exigences générales en matière de sécurité et s’attache à les renforcer plus encore. En outre, elle élabore actuellement des codes de réseau sur la cybersécurité (network codes on cybersecurity), qui comporteront des prescriptions sur divers aspects de cette thématique dans le domaine de l’électricité.

La présente réglementation améliore la cybersécurité dans le secteur de l’électricité et prévoit l’élaboration de mesures de protection à cette fin. Elle s’inscrit dans le droit fil des efforts de l’UE pour améliorer plus encore la cybersécurité dans le secteur de l’électricité.

6. Commentaire des dispositions

Art. 1, al. 2

L’art. 1, al. 2, OApEl dispose que le réseau de transport d’électricité des chemins de fer suisses (réseau de courant de traction) exploité à la fréquence de 16,7 Hz et à la tension de 132 kV est soumis à la LApEl dans la mesure où celle-ci vise à créer les conditions d’un approvisionnement sûr en électricité. La réglementation de l’art. 8a LApEl¹⁴ sert à assurer la sécurité de l’approvisionnement en électricité, c’est pourquoi elle pourrait également s’appliquer au domaine du réseau de courant de traction. Les applications télématiques du réseau de courant de traction font quant à elles déjà l’objet de dispositions de droit spécial sur la cybersécurité, supervisées par l’Office fédéral des transports (OFT)¹⁵. Pour éviter une double attribution des compétences entre l’OFT et la Commission fédérale de l’électricité (ElCom), les prescriptions de l’art. 8a LApEl et les dispositions d’exécution de l’art. 5a OApEl correspondantes ne s’appliquent donc pas au secteur du réseau de courant de traction.

Art. 5a

Al. 1: la disposition comporte un renvoi statique direct à la norme minimale TIC. Elle établit que la version 2023 de cette norme devient contraignante et que les recommandations qu’elle contient doivent être mises en œuvre par les acteurs visés en tenant compte des niveaux de protection définis à l’annexe 1a (voir ci-dessous). Sont soumis à cette obligation uniquement les producteurs et les exploitants de stockage (let. b), ainsi que leurs prestataires (let. c, ch. 2), dont l’accès à la puissance définie peut se faire via un seul système. L’influence qu’exerce l’acteur sur le système de pilotage (système de contrôle industriel / système de gestion opérationnelle) est déterminante pour calculer la somme de la puissance dans le contexte d’une cyberattaque. Si plusieurs systèmes de pilotage sont reliés de telle manière que si l’un d’entre eux était compromis, les autres le seraient également, alors ils sont considérés comme un seul et même système dans le cadre de cette disposition. L’obligation ne s’applique pas, par exemple, au producteur qui exploiterait plusieurs installations ayant chacune une puissance inférieure à 100 MW via plusieurs systèmes de pilotage, c’est-à-dire des systèmes non reliés