Rapport explicatif

Rapport explicatif

relatif à la révision de novembre 2023 de l’ordonnance concernant les prescriptions de sécurité pour les installations de

transport par conduites

1. Contexte

Les technologies de l’information et de la communication (TIC) soutiennent le développement d’un approvisionnement en énergie flexible et efficace. Elles sont ainsi de plus en plus utilisées pour la surveillance et le pilotage des réseaux d’approvisionnement en énergie. Bien qu’elles contribuent à nombre d’optimisations, elles augmentent également l’exposition aux cyberattaques et constituent par conséquent de nouvelles sources de risque.

La sécurité de l’approvisionnement en énergie revêt une importance stratégique certaine. Une exploitation sûre garantit la protection de droits importants. La dépendance de notre système socio-économique aux sources d’énergie est telle qu’une défaillance grave aurait des conséquences désastreuses. La menace d’une cyberattaque contre les réseaux d’énergie est aujourd’hui particulièrement tangible.

La Stratégie nationale de protection des infrastructures critiques 2018–2022¹ et la Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) 2018 à 2022² définissent des mesures adéquates destinées à améliorer la résistance générale des infrastructures critiques. La SNPC³ prévoit à cet effet l’élaboration et l’introduction de normes minimales en matière de sécurité des TIC, lesquelles ont été mis en œuvre par le biais des « normes minimales pour les TIC»⁴. Ces normes définissent un éventail de mesures et constitue par conséquent un instrument important pour assurer la protection contre les cyberattaques. Sur cette base, la branche a élaboré des recommandations⁵ qui ont pour la première fois posé les fondements nécessaires à la cybersécurité dans le système d’approvisionnement en gaz. Toutefois, ces normes minimales du secteur sont en principe facultatifs et ne sont dès lors pas encore appliquées systématiquement. En raison de l’intensification des menaces⁶, il est donc impératif de déclarer ces recommandations contraignantes à moyen terme pour les entreprises dont la défaillance provoquerait des conséquences désastreuses. Pour ce faire, ces recommandations doivent être formulées de manière suffisamment claire et précise. Les bases légales existantes doivent dès lors être révisées rapidement et de façon ciblée, et les responsabilités doivent être clairement définies.

2. Présentation du projet

L’art. 39, al. 3, de l’ordonnance du 4 juin 2021 sur la sécurité des installations de transport par conduites (OSITC; RS 746.12) prévoit déjà que les exploitants sont tenus de protéger leurs équipements des influences perturbatrices extérieures, et par conséquent des cybermenaces. L’introduction du nouvel art. 39a vient réglementer spécifiquement l’obligation de protection contre les cybermenaces et définir la procédure visant à élaborer les mesures nécessaires à cet effet. En raison de l’interconnexion des systèmes TIC sur le plan technique et des risques qui y sont liés, cette disposition

s’adresse à tous les exploitants, y compris ceux d’infrastructures dont la pression ne dépasse pas 5 bars (art. 1, al. 2).