Rapport explicatif-3,4

Rapport explicatif concernant l’avant-projet relatif à la révision de mai 2025 de l’ordonnance sur les installations de transport par conduites et de l’ordonnance sur la sécurité des installations de transport par conduites

3. Conséquences financières, conséquences sur l’état du personnel et autres conséquences pour la Confédération, les cantons et les communes

3.1 Hydrogène

Les modifications prévues n’engendreront aucune conséquence financière. Pour la Confédération, la légère augmentation de la charge de travail sera assumée par les ressources en personnel actuelles. Pour les cantons, la nouvelle répartition des compétences va entraîner une légère augmentation de la charge de travail.

3.2 Cybersécurité

La mise en œuvre des modifications prévues n’a pas de conséquence notable sur les finances ou l’état du personnel pour la Confédération, les cantons ou les communes. La présente révision n’élargit que modérément le cahier des charges de l’OFEN, qui peut être couvert par les ressources humaines et financières existantes.

Le projet de révision vise à rehausser le niveau de cybersécurité des installations de transport par conduites. Il a pour but d’offrir une meilleure protection contre les cybermenaces à moyen et à long terme, ce qui profite en dernier lieu à la Confédération, aux cantons et aux communes, étant donné que des perturbations dues à des cyberattaques entraîneraient de lourdes conséquences financières.

4. Conséquences économiques, environnementales ou sociales

4.1 Hydrogène

Les modifications prévues n’ont aucune conséquence négative pour l’économie, l’environnement ou la société. Elles ont vocation à adapter les normes en vigueur afin de favoriser l’expansion de l’hydrogène en Suisse, ce qui correspond au mieux aux engagements écologiques de la Suisse.

4.2 Cybersécurité

Une cyberattaque peut avoir de graves conséquences économiques, écologiques ou sociales sur le pays. Une cyberattaque peut avoir de graves conséquences, comme l’a montré l’incident du Colonial Pipeline⁷ aux États-Unis. En général, on estime que les coûts liés à la cybersécurité d’une entreprise représentent environ 6 à 14% des dépenses allouées à l’informatique ou environ 0,3 à 0,5% de son chiffre d’affaires annuel. Il faut toutefois mettre ces coûts en perspective en les comparant à ceux causés par un cyberincident, tel que le chantage d’un pirate informatique après une attaque au rançongiciel, qui sont estimés en moyenne à 1,4 million de francs⁸ pour une PME et dépassent largement cette somme pour les grandes entreprises.

Étant donné que la réglementation en vigueur prescrit déjà des mesures préventives visant à garantir la sécurité de l’exploitation (art. 39 et 39a OITC), aucune charge supplémentaire notable ne devrait être générée. Les entreprises conscientes des risques qui ont d’ores et déjà instauré des mesures de sécurité n’auront pas à prendre en charge des coûts supplémentaires, ou seuls des coûts mineurs. Seules les entreprises qui, malgré les prescriptions existantes, n’ont rien entrepris en matière de cybersécurité doivent s’attendre à des conséquences majeures.