Rapport explicatif

Rapport explicatif

relatif à la révision de novembre 2023 de l’ordonnance concernant les prescriptions de sécurité pour les installations de transport par conduites

Le Conseil fédéral précise ainsi la responsabilité quant à la protection contre les cybermenaces. Dans la perspective d’un renvoi direct et contraignant aux normes minimales du secteur concerné, il est nécessaire que celles-ci soient révisées de manière ciblée et avec le concours de l’Office fédéral de l'énergie (OFEN). La présente réglementation confie cette tâche aux exploitants. Les directives à élaborer devraient s’appuyer sur la norme minimale pour les TIC de l’Office fédéral pour l'approvisionnement économique du pays (OFAE) ainsi que sur les directives existantes de la branche. Elles devraient préciser les exigences opérationnelles et techniques et, sur la base des connaissances actuelles, tenir compte des conditions-cadres suivantes:

1. Définition des différents profils de protection. Chaque profil de protection englobe des mesures techniques et organisationnelles à un niveau de protection différent (p. ex. profil de protection A pour les exigences élevées, profil de protection B pour les exigences moyennes et profil de protection C pour les exigences faibles).

2. Établissement de critères permettant d’attribuer à l’exploitant le profil de protection approprié. Ces critères, qui permettent de catégoriser les exploitants en fonction de leur niveau de risque, sont souvent appelés «profils d’entreprise».

3. Précision de certaines exigences issues des normes actuelles. Une analyse menée avec la branche a montré que certaines exigences figurant dans la norme minimale pour les TIC et dans la directive de la branche doivent être précisées.

Lors de l’élaboration des points susmentionnés, la branche est tenue d’impliquer étroitement l’OFEN en sa qualité d’autorité de surveillance ou de haute surveillance des installations de transport par conduites. L’OFEN assure la coordination avec les services pertinents de l’administration fédérale centrale (l’OFAE, l’Office fédéral de la protection de la population, Centre national pour la cybersécurité [NCSC]) et l’Inspection Fédérale des Pipelines (IFP)).

3. Conséquences financières, conséquences sur l’état du personnel et autres conséquences pour la Confédération, les cantons et les communes

La mise en œuvre des modifications visées n’entraîne pas de coûts notables au niveau du personnel et des finances pour la Confédération, les cantons et les communes. En outre, la présente adaptation ne conduit qu’à un élargissement modéré du cahier des charges de l’OFEN, qui peut être couvert par les ressources en personnel et financières existantes.

Le projet de révision vise à augmenter le niveau de cybersécurité des installations de transport par conduites. Cela permet d’offrir une meilleure protection à moyen et long terme contre les cybermenaces, protection dont bénéficient en fin de compte la Confédération, les cantons et les communes. Les défaillances dues à des cyberattaques entraîneraient des conséquences financières considérables.

4. Conséquences économiques, environnementales ou sociales

Une cyberattaque peut avoir de lourdes conséquences économiques, environnementales et sociales pour le pays et la société, comme l’a montré l’incident survenu sur la Colonial Pipeline⁷ aux États-Unis. Les coûts engendrés par un rançongiciel (rançon, fuite de données, temps nécessaire à la remise en exploitation, etc.) peuvent ainsi dépasser les coûts de sécurisation de l’infrastructure d’une