Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

prévoit que les acteurs doivent atteindre un certain niveau de protection de leurs installations face aux cybermenaces dans la mise en œuvre de la norme minimale (niveau de protection A, B ou C). Le niveau de protection dépend de la taille et de l’influence de l’acteur sur la sécurité d’approvisionnement et est défini par des seuils. De ce fait, seules les entreprises d’électricité des deux niveaux de protection les plus élevés A et B sont soumises à l’obligation de signaler. Les acteurs plus petits, qui doivent se conformer aux exigences moins strictes du niveau de protection C, sont exemptés de l’obligation de signaler. Les producteurs d’électricité et les exploitants de stockage d’électricité sont acteurs du droit sur l’approvisionnement en électricité,

comme les gestionnaires de réseau²⁵. Dans la mesure où une entreprise exploite des installations pour la production et pour le stockage d’électricité et que ces installations se commandent à distance par le même système, les prestations s’additionnent. Les prestataires des gestionnaires de réseau, des producteurs d’électricité et des

exploitants de stockage sont eux aussi concernés par la règle sur les exemptions. Ne font pas partie de ces prestataires les fabricants de matériel informatique ou de logiciels visés à l’art. 74b, al. 1, let. u, LSI, pour qui il n’y a pas de règle d’exemption.

Le seuil de 400 GWh/an défini à l’art. 16, al. 1, let. b, ch. 2, OCyS pour les exploitants de gazoducs a été défini en collaboration avec l’Association suisse de l’industrie gazière (ASIG). C’est la quantité totale d’énergie transitant par leur réseau (vers les consommateurs finaux ou vers d’autres réseaux) qui est déterminante. La règle d’exemption ne concerne que les exploitants de gazoducs ayant pour activité la vente de gaz aux consommateurs finaux (Transitgas SA, p. ex., ne serait pas concerné par la clause sur les exemptions).

L’art. 74b, al. 1, let. d, LSI précise que l’obligation de signaler s’applique aux

entreprises œuvrant dans l’approvisionnement en électricité et en gaz mais aussi à d’autres entreprises travaillant dans l’énergie, comme les exploitants de conduites transportant du pétrole, les entreprises de chauffage à distance, les raffineries ou les entreprises des secteurs du bois-énergie et du charbon. Ces entreprises sont

soumises à l’obligation de signaler, sauf si elles ne dépassent pas les seuils définis à l’art. 16, al. 2, let. b OCyS. Les entreprises actives à la fois dans l’approvisionnement en électricité ou en gaz et dans un autre secteur de l’énergie (pétrole, chauffage à distance, etc.) ne peuvent se prévaloir d’une règle d’exemption que si la cyberattaque ou ses conséquences se limitent à ce secteur de l’énergie.

Sont d’ores et déjà exemptés de l’obligation de signaler conformément à l’art. 74b, al. 1, let. d, LSI les détenteurs d’une autorisation au sens de la loi du 21 mars 2003 sur l’énergie nucléaire²⁶. Une réglementation au niveau de l’ordonnance est donc superflue.

Let. c : Entreprises visées à l’art. 74b, al. 1, let. n, LSI

Les entreprises visées à l’art. 74b, al. 1, let. n, LSI et qui ne doivent satisfaire à aucune prescription spécifique de gestion de la sécurité ou de programme