Rapport explicatif

Rapport explicatif

relatif à la révision de novembre 2023 de l’ordonnance concernant les prescriptions de sécurité pour les installations de

transport par conduites

entreprise. Les économies réalisées grâce à un niveau de cybersécurité suffisant et, partant, les avantages de la révision, sont donc d'autant plus élevés.

La mise en œuvre de mesures de cybersécurité entraîne des coûts en personnel et financiers pour les entreprises. Comme des mesures appropriées auraient déjà dû être prises conformément à la réglementation en vigueur, les coûts supplémentaires ne devraient pas être excessifs. Dès lors, seules les entreprises qui sont restées inactives en la matière doivent s’attendre à des conséquences importantes. En effet, les entreprises conscientes des risques et qui ont, au vu des menaces actuelles, déjà mis en œuvre des mesures de sécurité conformément à la directive de la branche, ne devront pas ou peu supporter de coûts supplémentaires.

5. Comparaison avec le droit européen

L’Union européenne (UE) s’efforce d’améliorer la cybersécurité sur l’ensemble de son territoire et d’accroître la résilience de ses infrastructures critiques. Dans ce contexte, il convient de tenir compte de la directive SRI⁸ et celle qui lui a succédé, la directive SRI 2⁹. L’UE y prévoit notamment que les États membres doivent prendre des mesures afin de protéger les entreprises énergétiques ma-

jeures¹⁰. La directive NIS 2 a renforcé les exigences générales en matière de sécurité.

La présente réglementation améliore la cybersécurité dans le secteur des énergies liées aux installations de transport par conduites et prévoit à cet effet l’élaboration de mesures de protection ad hoc. Elle est ainsi conforme aux prescriptions européennes évoquées. Les travaux menés à ce jour à propos des normes minimales du secteur s’alignent sur les normes internationales.

6. Commentaire des dispositions

Art. 39a Protection contre les cybermenaces

Al. 1: les mesures à prendre par les exploitants doivent prévenir tout dysfonctionnement des installations concernées ou, le cas échéant, y remédier le plus rapidement possible. Les mesures sont aussi bien de nature organisationnelle (p. ex. processus d’inventorisation, réglementation des compétences, sensibilisation) que technique (p. ex. sauvegardes ou recours à de technologies de protection).

Al. 2: cet alinéa charge les exploitants d’élaborer des directives contenant des mesures de protection contre les cybermenaces. Les exploitants peuvent s’organiser en conséquence dans le cadre des structures associatives existantes (Société suisse de l’industrie du gaz et des eaux, Association suisse de l’industrie gazière). Les travaux réalisés jusqu'à présent sur la base de la norme minimale pour les TIC de l’OFAE doivent être poursuivis et précisés dans ce cadre. La consultation prévue à cet alinéa permet de garantir l’implication de tous les acteurs intéressés. Outre les organes explicitement mentionnés à cet alinéa, on peut penser au NCSC, à l’OFAE et des aux consommateurs. La conduite de la consultation incombe aux exploitants.

Al. 3: l'exigence selon laquelle les directives doivent être publiées sur un site Internet librement accessible vise à garantir un accès facilité à ces documents sans identifiant ou autre. Une fois les directives finalisées et publiées par les exploitants, le Département fédéral de l'environnement, des transports, de l'énergie et de la communication (DETEC) examinera si ces dernières se prêtent à un renvoi direct dans l’ordonnance (cf. art. 3, al. 2 et 3, OSITC). Les exploitants sont ainsi incités à élaborer une solution la plus judicieuse possible (il s’agit, autrement dit, d’autorégulation pilotée).