Rapport explicatif

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2024 de l’ordonnance sur l’approvisionnement en

électricité (protection contre les cybermenaces)

entre eux. Sur la base de l’art. 8a, al. 2, LApEl, les exploitants de centrales nucléaires (titulaires de l’autorisation d’exploiter une centrale nucléaire) sont exclus du champ d’application de la nouvelle disposition car ils sont déjà soumis à des prescriptions en la matière supervisées par l’Inspection fédérale de la sécurité nucléaire (IFSN)¹⁶. L’accès à distance d’un prestataire (let. c) est considéré comme durable s’il lui a été accordé dans le cadre d’un contrat sans que l’entreprise mandante ne doive lui accorder chacun des droits d’accès ad hoc correspondants.

Al. 2: la disposition clarifie le fait que les règles (références) citées dans la norme minimale TIC ne sont pas contraignantes.

Al. 3: en raison de sa compétence générale subsidiaire (art. 22, al. 1, LApEl), l’ElCom veille au respect des art. 8a LApEl et 5a OApEl.

Annexe 1a: les niveaux (ou profils) de protection définissent les exigences concernant le degré de mise en œuvre des mesures définies dans la norme minimale TIC. Les exigences du niveau de protection A sont les plus strictes et s’adressent aux entreprises pour l’approvisionnement en électricité les plus importantes. Les niveaux B et C comportent des exigences moindres, respectivement pour les acteurs de taille moyenne ou de petite taille. Conformément à la procédure de vérification énoncée au chap. 3 de la norme minimale TIC, les exigences sont définies à l’aide de «valeurs» (niveau Tier). Ces valeurs sont réparties entre «partiellement mis en œuvre» (valeur 1) et «mis en œuvre dynamiquement» (valeur 4). La totalité de l’électricité transportée via le réseau d’un gestionnaire de réseau (distribution aux consommateurs finaux ou transfert à d’autres réseaux) est considérée comme son volume d’électricité transportée (ch. 1.1 et 1.2). En ce qui concerne les prestataires, la somme de l’électricité transportée (gestionnaires de réseau) ou de la puissance installée (producteurs et exploitants de stockage) de tous leurs mandants est prise en compte pour déterminer le niveau de protection déterminant. Si, par exemple, un prestataire a accès via un seul système (cf. explications ci-dessus concernant l’art. 5a, al. 1) aux systèmes de pilotage de dix gestionnaires de réseau pour un volume d’électricité transportée de 13 GWh/an pour chacun d’eux, la somme de l’électricité transportée est égale à 130 GWh/an. Le prestataire doit donc respecter les valeurs du niveau de protection B, tandis que pour chacun des gestionnaires de réseau concerné, c’est le niveau de protection C qui s’appliquerait. Pour les petits acteurs du marché, le niveau de protection C ne fixe des prescriptions contraignantes que pour environ 40 des 108 mesures que comporte la norme minimale TIC au total. En raison du principe de proportionnalité, seules les mesures prioritaires dans la hiérarchie doivent être mises en œuvre. Si un acteur remplit les critères pour plusieurs niveaux de protection, c’est le niveau le plus élevé qui s’applique. L’OFAE propose sur sa page Web un formulaire dédié à la vérification des valeurs fixées dans l’annexe 1a¹⁷.