Imputation des coûts de la cybersécurité
Commission fédérale de l’électricitéEidgenössische Elektrizitätskommission ElCom Secrétariat technique
Intern
Communication
Imputation des coûts de la cybersécurité
Berne, le 28.09.2022 / Update 01.12.2025
Imputation des coûts de la cybersécurité Intern
2 Imputation des coûts
Comme mentionné ci-dessus, seuls les coûts résultant d’une mise en œuvre ef ficace et basée sur les risques des mesures de cybersécurité peuvent être imputés. Pour ce f aire, le guide PIC de l’Office f édéral de la protection de la population (OFPP) constitue une bonne réf érence. Conformément à l’art. 11 LApEl et à l’art. 7 OApEl, les gestionnaires de réseau présentent chaque année à l’ElCom une comptabilité analytique. Pour l’attribution des coûts imputables, le Guide d’utilisation du f ichier de comptabilité analytique élaboré par l’ElCom ainsi que, subsidiairement, le Schéma de calcul des coûts pour les gestionnaires de réseau de distribution CH (SCCD) de l’Association des entreprises électriques suisses s’appliquent. La structure suivante doit aider à saisir ces coûts de manière appropriée. En règle générale, les coûts liés à la protection des technologies opérationnelles (OT) 1 devraient être indiqués sous les positions 200 et 500 et les coûts liés à la protection de l’informatique (IT) 2 sous la position 600 de la comptabilité analytique. En ce qui concerne la durée d’amortissement du matériel et des logiciels, le tableau 1 du SCCD s’applique. L’ElCom se réserve le droit de vérifier, dans le cadre de sa surveillance, la mise en œuvre ef f icace des mesures de protection et des coûts. La comptabilité f inancière devrait donc être conçue de manière à ce que les coûts des mesures de protection contre les cyberincidents puissent être présentés le plus f acilement possible. Il f aut tenir compte du f ait que seuls les coûts concernant le réseau peuvent être imputés (art. 15 LApEl en relation avec l’art. 10 LApEl). Les coûts de protection des systèmes TIC d’autres secteurs (p. ex. énergie, télécoms, gaz, ...) doivent être séparés directement ou par une clé de répartition appropriée (art. 7, al. 5, OApEl) et imputés aux secteurs correspondants (cf. également chapitre 2, SCCD). La f igure 1 ci-dessous illustre l’idée de la répartition des coûts, mise en évidence à l’aide d’exemples dans les chapitres suivants.
Par technologies opérationnelles (Operational Technology, OT), on entend les technologies qui sont directement nécessaires à la mise à disposition ou à la fourniture d’électricité (p. ex. SCADA, PIA, accès à distance aux installations dans les sous-stations, télécommande centralisée, gestion des données énergétiques (EDM), compteurs intelligents). Par technologies de l’information (IT), on entend les technologies de traitement des données qui ne sont pas directement liées à la fourniture d’électricité (p. ex. gestion des données clients, gestion des données du personnel, applications bureautiques).
Imputation des coûts de la cybersécurité Intern
Illustration 1 Aperçu de la répartition des coûts de cybersécurité dans la comptabilité analytique de l’ElCom
En cas d’incertitudes lors de la mise en œuvre des mesures de cybersécurité en f onction des risques ou lors de l’imputation, le secrétariat technique de l’ElCom se fera un plaisir de vous renseigner (Philippe Mahler, philippe.mahler@elcom.admin.ch).
2.1 Coûts de capital calculés et coûts d’exploitation des réseaux (OT)
(Compta. anal. 200.1a) Les amortissements calculés et les intérêts des systèmes de sécurité (matériel et logiciel) pour les systèmes de commande et de régulation ainsi que les coûts d’exploitation pour les mesures de sécurité du réseau (OT) sont comptabilisés sous la position Compt. anal. 200.1a. Par exemple :
Matériel et logiciel DMZ pour le centre de commande du réseau (SCADA)
Part du matériel et des logiciels OT pour la protection des zones
Maintenance des systèmes de sécurité dans le centre de commande du réseau ou les sousstations
Coûts en lien avec la protection de la gestion des données énergétiques (EDM)
Consultants / mandats externes
Coûts des tests d’intrusion
Patches / Updates
Audits
Coûts proportionnels SOC
Formation des collaborateurs OT
Coûts proportionnels Intrusion Detection System (IDS) OT
Coûts proportionnels Security Inf ormation and Event Management (SIEM) OT
Coûts proportionnels Inf ormation Security Management System (ISMS) OT
Security as a Service (SECaaS) OT
Participation au programme BugBounty OT
Coûts proportionnels SCION/SSUN OT
Imputation des coûts de la cybersécurité Intern
2.2 Coûts de capital calculés des systèmes de mesure intelligents (Compt. anal. 510.1, 510.2, 520.1, 520.2) Les coûts des amortissements calculés et des intérêts des systèmes de sécurité correspondants pour les systèmes de mesure intelligents, y compris les systèmes selon l’art. 17a LApEl et les art. 8a et 8b OApEl (510.1, 510.2) et les autres systèmes de mesure (520.1, 520.2) sont comptabilisés sous les positions Compt. anal. 510.1, 510.2, 520.1 et 520.2. En font également partie les coûts pour la protection des systèmes selon la figure 5 des « Directives pour la sécurité des données des systèmes de mesure intelligents » de l’Association des entreprises électriques suisses pour les systèmes de mesure intelligents selon l’art. 8b OApEl, comme par exemple des mesures de protection pour :
Systèmes de mesure intelligents
Concentrateur de données / Gateway
Head End System (HES) y compris gestion des clés
Meter Data Management (MDM)
Protection Accès à distance des prestataires de services externes
2.3 Coûts d’exploitation des systèmes de mesure intelligents (Compt. anal. 510.4, 520.4) Les coûts des mesures de sécurité pour les systèmes de mesure intelligents, y compris les systèmes selon l’art. 17a LApEl et les art. 8a et 8b OApEl (510.4) et les autres systèmes de mesure (520.4) sont comptabilisés comme autres coûts. Cela comprend également la mise en œuvre des « Directives pour la sécurité des données des systèmes de mesure intelligents » de l’Association des entreprises électriques suisses. Il s’agit par exemple de mesures de protection pour :
Systèmes de mesure intelligents
Concentrateur de données / Gateway
Head End System (HES) y compris gestion des clés
Meter Data Management (MDM)
Protection Accès à distance des prestataires de services externes
Coûts des tests d’intrusion
Patches / Updates
Backups
2.4 Coûts de capital calculés des systèmes de commande et de contrôle
intelligents (Compt. anal. 530.1, 530.2) Sont comptabilisés ici les amortissements calculés (530.1) et les intérêts (530.2) des systèmes de protection contre les cyberincidents des systèmes de commande et de réglage intelligents selon l’art. 8c OApEl ainsi que des installations de télécommande centralisée classiques. En voici quelques exemples :
Mesures de protection Accès à distance aux systèmes de commande et de contrôle intelligents
Firewall
2.5 Coûts d’exploitation des systèmes de commande et de régulation
intelligents (Compt. anal. 530.4) Sont abordés ici les systèmes de commande et de régulation intelligents selon l’article 8c OApEl ainsi que les installations de télécommande centralisée classiques. Cela inclut les systèmes de protection contre les cyberincidents. Les positions 530.1 et 530.2 comprennent les amortissements calculés et les intérêts de tels systèmes de sécurité. La position 530.4 comprend tous les coûts des mesures de sécurité. En voici quelques exemples :
Coûts des tests d’intrusion
Patches / Updates
Backups
Imputation des coûts de la cybersécurité Intern
2.6 Coûts de capital calculés et coûts d’exploitation des réseaux (OT)
(Compt. anal. 600.1a) Les coûts de capital (amortissements et intérêts) et d’exploitation pour les systèmes et mesures de sécurité dans le domaine informatique sont enregistrés sous la position 600.1a en tant que frais administratif s. Il peut s’agir, par exemple, de :
Coûts proportionnels Security Operation Center (SOC)
Coûts (proportionnels) des locaux pour, par exemple, SOC
Coûts des campagnes de sensibilisation
Formation des collaborateurs IT
Coûts proportionnels Intrusion Detection System (IDS)
Coûts proportionnels Security Inf ormation and Event Management (SIEM)
Coûts proportionnels Inf ormation Security Management System (ISMS)
Security as a Service (SECaaS)
Coûts de la segmentation du réseau
Coûts proportionnels de protection des passages de zone IT - OT
Audits
Certif ication
Création d’un inventaire IT
Analyse des logs IT
Coûts proportionnels SCION/SSUN
Imputation des coûts de la cybersécurité Intern
3 Annexe
3.1 Glossaire
Abréviation Signification EDM Gestion des données énergétiques (EDM)
HES Head End System IDS Intrusion Detection System
ISMS Information Security Management System
MDM Meter Data Management
SCADA Supervisory Control and Data Acquisition
SCION/SSUN Scalability, Control and Isolation On Next-Generation Networks / Secure Swiss Utility Network
SECaaS Security as a Service SIEM Security Information and Event Management
SOC Security Operations Center
LApEl Loi sur l’approvisionnement en électricité, RS 734.7
OApEl Ordonnance sur l’approvisionnement en électricité, RS 734.71