Rapport explicatif

Rapport explicatif concernant la révision de mai 2027 de l’ordonnance sur l’énergie nucléaire

que la réglementation des responsabilités en la matière. Les experts recommandent de définir clairement les responsabilités de tous les acteurs impliqués afin de garantir une interprétation et application correctes de leurs obligations légales dans le domaine de la sécurité informatique. Cette suggestion est déjà en partie prise en compte dans la mesure où depuis l’entrée en vigueur, le 1^er avril 2025, de l’obligation de signaler les cyberattaques contre les infrastructures critiques, l’IFSN doit signaler à l’Office fédéral de la cybersécurité (OFCS) les cyberattaques contre une installation nucléaire qui remplissent les conditions prévues à l’art. 74d de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI ; RS 128). Il manque toutefois encore une réglementation explicite de la responsabilité générale concernant la sécurité informatique dans les installations nucléaires.

L’art. 5, al. 3, de la loi fédérale du 21 mars 2003 sur l’énergie nucléaire (LENu ; RS 732.1) stipule que des mesures de sûreté doivent être prises notamment pour empêcher des tiers d’attenter à la sécurité des installations et des matières nucléaires. Cela comprend également les actes illicites touchant les systèmes informatiques ou informatisés d’une installation nucléaire qui compromettent la sécurité nucléaire. Cela signifie que la sécurité informatique d’une installation nucléaire fait partie intégrante de la sûreté et donc de la sécurité nucléaire au sens de la LENu.

L’art. 9 de l’ordonnance du 10 décembre 2004 sur l’énergie nucléaire (OENu ; RS 732.11) est donc complété par un alinéa 1^bis, qui mentionne explicitement la sécurité informatique dans les installations nucléaires comme un élément de la sécurité et de la sûreté. L’art. 6, let. a, OENu établit que l’IFSN est une autorité de surveillance pour la sécurité et la sûreté nucléaire. La compétence de l’IFSN pour la sécurité informatique est donc ainsi clairement définie.

Art. 9a

S’agissant des dispositions légales relatives à la sécurité informatique, l’équipe internationale d’experts a par ailleurs constaté que via la directive ENSI-G22³, l’IFSN a établi des principes essentiels en matière de sécurité informatique dans les installations nucléaires. Cette directive se fonde notamment sur les principes régissant la conception d’une centrale nucléaire (art. 10, al. 2, OENu) et des autres installations nucléaires (art. 12, al. 3, OENu). Les experts font toutefois remarquer qu’en Suisse, il n’existe actuellement pas de bases explicites juridiquement contraignantes dans ce domaine.

Le nouvel art. 9a introduit une disposition qui oblige les exploitants d’installations nucléaires à prévoir des mesures appropriées de protection contre les cybermenaces. Il charge également l’IFSN est de préciser, dans des directives, les exigences à respecter à cet égard. De ce fait, il constitue une base légale explicite pour la directive ENSI-G22.

Le nouvel article se base sur l’art. 5, al. 3 et 4, LENu, qui prévoient que des mesures de sûreté doivent être prises pour empêcher des tiers d’attenter à la sécurité nucléaire des installations et des matières nucléaires et que le Conseil fédéral fixe les mesures nécessaires.

Art. 9b

L’AIEA aborde dans ses documents la distinction à faire entre la sécurité nucléaire et la sûreté. Les derniers documents qu’elle a publiés (par exemple les « Normes de sûreté » et la collection « Sécurité nucléaire ») comprennent tous une clause générale selon laquelle les mesures de sûreté (« safety ») et les mesures de sécurité (« security ») doivent être conçues et mises en œuvre de manière intégrée de sorte que les mesures de sécurité ne portent pas préjudice à la sûreté et que les mesures de sûreté ne portent pas préjudice à la sécurité (voir Agence internationale de l’énergie atomique, Principes fondamentaux de sûreté, n° SF-1, Vienne 2006, paragraphe 1.10).

Dans ce contexte, l’équipe internationale d’experts a constaté que la distinction entre les aspects liés à la sécurité et ceux liés à la sûreté était correctement appliquée dans la pratique par l’IFSN, mais qu’il