Rapport explicatif-3,4

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2025 de l’ordonnance sur les installations de transport par conduites et de l’ordonnance sur la sécurité des installations de transport par conduites

Dès lors, il s’agit de procéder à une révision partielle de l’OITC et de l’OSITC pour d’une part, qu’elles soient adaptées à l’usage futur de l’hydrogène et d’autre part, être modifiées sur le plan rédactionnel et structurel afin de mieux répondre aux défis de ce vecteur énergétique.

2.2 Cybersécurité

Les technologies de l’information et de la communication (TIC) participent au développement d’un approvisionnement en énergie flexible et efficace. Par conséquent, elles sont de plus en plus utilisées pour surveiller et piloter les réseaux d’approvisionnement en énergie ainsi que la production d’énergie. Bien qu’elles permettent des améliorations, elles augmentent également l’exposition aux cyberattaques et représentent ainsi de nouveaux risques.

La sécurité de l’approvisionnement énergétique a une importance stratégique. Une exploitation sûre permet d’assurer la protection d’importants biens juridiques. Notre système socioéconomique dépend de l’énergie à tel point qu’une défaillance majeure touchant sa production ou sa distribution aurait de lourdes conséquences. La menace d’une cyberattaque visant les réseaux énergétiques s’est fortement accrue ; elle est aujourd’hui plus réelle que jamais.

La stratégie nationale pour la protection des infrastructures critiques 2018-2022 (PIC)² et la nouvelle cyberstratégie nationale (CSN)³ prévoient des mesures visant à renforcer la résilience générale des infrastructures critiques. À cette fin, la CSN demande la diffusion et le respect des normes communes existantes. Elle prévoit en outre d’élaborer et, le cas échéant, d’adopter des réglementations propres au secteur.

Suite à l’introduction de l’art. 39a de l’ordonnance du 4 juin 2021 sur la sécurité des installations de transport par conduites (OSITC ; RS 746.12), le secteur du gaz a révisé la norme minimale pour la sécurité des TIC dans l’approvisionnement en gaz (norme minimale TIC G1008). Compte tenu des menaces croissantes et des grandes différences dans la mise en œuvre de la cybersécurité, il faut impérativement rendre obligatoire cette nouvelle norme sectorielle.

La nouvelle norme minimale TIC G1008 a été développée par un groupe de travail composé d’experts issus de l’association professionnelle pour le gaz, l’eau et la chaleur (SVGW), de l’Association Suisse de l’Industrie Gazière (ASIG), de l’OFEN, de l’Office fédéral pour l'approvisionnement économique du pays (OFAE), de l’Inspection Fédérale des Pipelines (IFP) et d’autres représentants d’entreprises gazières suisses. La norme a été soumise à une consultation interne à la branche puis publiée en mai 2024. Elle peut être consultée gratuitement sur le site Internet de la SVGW⁴.

2.2.1 Norme minimale TIC G1008

La norme minimale TIC G1008 s’appuie sur la norme minimale⁵ qui fixe une série de mesures et est un instrument de protection majeur contre les cyberattaques pour les exploitants d’infrastructures critiques. Elle comporte 108 mesures réparties en 23 catégories. Sa structure permet d’évaluer et d’améliorer l’organisation de la cybersécurité dans les entreprises. Le recours à des normes et à des principes communs facilite le partage des bonnes pratiques et l’échange d’expériences, renforçant ainsi la coopération en matière de cybersécurité.

Les mesures ressortant de la norme minimale G1008 forment un cadre fixe dans une large mesure, mais restent assez flexibles pour être adaptées aux risques et aux menaces spécifiques aux entreprises