La télémaintenance des systèmes informatiques représente un danger pour la centrale nucléaire de Mühleberg. Surveillance de l'IFSN remise en cause

Wortlaut

1. La maintenance des systèmes informatiques de la centrale nucléaire de Mühleberg est assurée depuis Berne. Cette affirmation est-elle correcte et pourquoi la BKW n'a-t-elle pas rendu cette information publique ?

2. l'Inspection fédérale de la sécurité nucléaire (IFSN) a-t-elle délivré une autorisation permanente pour la télémaintenance des systèmes informatiques de la centrale ?

3. Le Nuclear Energy Institute, l'association qui représente les intérêts de l'industrie nucléaire américaine, a publié un article sur la cybersécurité dans les installations nucléaires dans lequel il déclare que les systèmes essentiels à la sécurité, à la sûreté et à la maîtrise des situations d'urgence dans les installations nucléaires doivent être isolés d'Internet. Le Conseil fédéral et plus précisément l'IFSN partagent-ils cet avis ?

4. L'IFSN prend-elle son rôle d'autorité de surveillance des systèmes informatiques du deuxième plus haut niveau de sécurité suffisamment au sérieux ? L'Agence internationale de l'énergie atomique a établi des règles claires en la matière selon lesquelles la télémaintenance de systèmes informatiques du deuxième plus haut niveau de sécurité ne doit être autorisée qu'au cas par cas et pour une période limitée.

5. Pourquoi le plus haut niveau de sécurité n'est-il pas exigé pour les systèmes informatiques des installations nucléaires ?

6. L'IFSN prend-elle son rôle d'autorité de surveillance des systèmes de télébureautique suffisamment au sérieux ? Des informations sensibles qui pourraient être utilisées à mauvais escient par des tiers sont traitées dans ce domaine également. Un article publié le 12 juin 2015 dans la revue bimensuelle "Beobachter" fait état d'un pare-feu défectueux. Selon ce même article, des dizaines d'administrateurs ont eu accès à des serveurs sensibles et des adresses IP ont été envoyées par courriel. L'IFSN n'aurait pas été suffisamment informée sur les processus pertinents en matière de sécurité.

7. L'IFSN ne devrait-elle pas renforcer ses exigences en matière de cybersécurité et s'adapter aux menaces actuelles ?

8. La Commission électrotechnique internationale a publié une norme concernant la cybersécurité dans les centrales nucléaires (IEC 62645). Pourquoi l'IFSN ne considère-t-elle pas cette norme comme contraignante ?

Begründung

Les présentes questions se fondent sur un article du "Beobachter" paru le 12 juin 2015 et intitulé "AKW Mühleberg - Einladung für Hacker" (voir http :// www.beobachter.ch/dossiers/energie/artikel/akw-muehleberg_einladung-fuer-hacker/). Cet article expose de nombreux vices de sécurité dans la surveillance des systèmes informatiques du deuxième plus haut niveau de sécurité ainsi que du système de bureautique de la centrale nucléaire de Mühleberg.

Stellungnahme des Bundesrates

1. La maintenance du système informatique de la centrale nucléaire de Mühleberg (CN de Mühleberg) est en partie assurée depuis le siège principal de BKW SA ; les systèmes de protection informatiques se trouvent sur le site de Mühleberg. La CN de Mühleberg, en tant que partie intégrante de BKW SA, n'est pas dotée d'une personnalité juridique propre. BKW SA, en qualité de détentrice de l'autorisation d'exploiter et d'exploitante, est responsable de la sécurité et de la sûreté de l'installation nucléaire, mesures de sécurité en matière d'informatique incluses. Le 12 juin 2015, BKW SA a publié un communiqué sur la sécurité informatique de la CN de Mühleberg.

2. L'Inspection fédérale de la sécurité nucléaire (IFSN) s'est acquittée de sa tâche conformément à l'article 40 de l'ordonnance du 10 décembre 2004 sur l'énergie nucléaire (OENu ; RS 732.11): après avoir procédé à un examen approfondi des demandes d'autorisation dans le cadre de la réorganisation de l'informatique de la CN de Mühleberg, elle a délivré lesdites autorisations. L'autorisation pour les modifications techniques a été délivrée le 19 juillet 2013.

3. Les systèmes de commande et de contrôle des installations nucléaires sont dotés de mesures de protection techniques, administratives et organisationnelles. Il s'agit entre autres de la mise en place de séparations physiques des réseaux, d'un système redondant ainsi que de concepts restrictifs concernant les zones et les autorisations. Dans sa demande d'autorisation, l'exploitante a appliqué les recommandations techniques de base émises par l'Agence internationale de l'énergie atomique (AIEA) et l'IFSN a procédé à leur vérification. Ces recommandations figurent dans le document "IAEA Nuclear Security Series 17" (IAEA NSS 17) consultable sous http ://www-ns.iaea.org/security/nuclear_security_series.asp ?s=5&l=35.

4. L'IFSN a libéré l'accès au niveau 2 de l'informatique de procédés (selon IAEA NSS 17, niveaux 2 et 3). Conformément à ces recommandations de l'AIEA et s'agissant des accès à la télémaintenance, il faut établir dans quelle direction, avec quelles autorisations et sous quelles responsabilités ces accès ont lieu. L'IFSN en a tenu compte en délivrant son autorisation.

5. À l'instar de la protection physique, l'informatique connaît aussi une structure faite de zones (voir IAEA NSS 17, chapitre 5.5.2) avec une résistance croissante contre toute utilisation non autorisée. Le plus haut degré de sécurité s'applique au niveau 1 pour les systèmes qui requièrent une protection maximale. Le niveau 1 comprend les systèmes de protection primaires du réacteur. Les niveaux 2 à 5 sont protégés de manière échelonnée et dans le respect des recommandations de l'AIEA.

6. L'IFSN s'est acquittée de sa tâche conformément à l'article 40 OENu. Les décisions de l'IFSN se basent non seulement sur les informations mises à disposition par la détentrice de l'autorisation d'exploiter, mais également sur les connaissances que l'IFSN acquiert elle-même. L'IFSN a donné son accord en s'appuyant sur l'ensemble de ces renseignements. Le Conseil fédéral estime qu'il n'y a pas lieu de remettre en question la surveillance par l'IFSN. Les systèmes de bureautique informatique, auxquels il est fait allusion dans la question, se trouvent au degré 5, le plus bas degré de sécurité. Les mesures adéquates de protection ont été mises en place à cet effet (voir également la réponse à la question 5).

7. Les exploitants des installations nucléaires suisses sont tenus d'évaluer les risques informatiques, de procéder à des analyses de risques et de mettre en oeuvre les mesures de protection correspondantes. L'article 22 de la loi du 21 mars 2003 sur l'énergie nucléaire (RS 732.1) définit les obligations, le cas échéant les mesures de rééquipement, qui incombent au détenteur de l'autorisation d'exploiter. La lettre g de l'alinéa 2 s'applique en particulier aussi à la sécurité informatique. Elle oblige le détenteur de l'autorisation d'exploiter à rééquiper l'installation dans la mesure où les expériences faites et l'état de la technique du rééquipement l'exigent, et au-delà si cela contribue à diminuer encore le danger et pour autant que ce soit approprié. Cela est contrôlé en permanence par l'IFSN.

8. La recommandation technique mentionnée n'est légalement pas contraignante pour les installations nucléaires suisses et ne couvrirait par ailleurs qu'une partie de l'informatique en question. Reste que ladite recommandation, comme d'autres recommandations internationales, servent de base d'évaluation à l'IFSN.

Réponse du Conseil fédéral.