Cybersécurité chemins de fer (Dir. CySec-Rail)

1 Contexte

La disponibilité et l’exactitude des données et des informations sont un facteur de réussite essentiel pour tous les processus commerciaux dans le domaine des transports publics. En raison de la numérisation croissante, les informations sont aujourd’hui traitées et stockées principalement sous forme électronique. Parallèlement, de plus en plus de systèmes d’une diversité croissante sont mis en réseau. Les limites entre les applications informatiques, les installations de communication, industrielles et ferroviaires, telles qu’elles sont utilisées dans les transports publics, tendent de plus en plus à disparaître.

Il en résulte une forte dépendance des systèmes et applications de traitement des informations. Bien que l’interconnexion croissante offre de nouvelles possibilités et chances entrepreneuriales, la vulnérabilité accrue aux cyberattaques qui en découle modifie constamment la menace. Il en va de même pour l’ampleur des dommages potentiels en cas d’attaque. La perception publique des cybermenaces a fortement évolué au cours des dernières années, car les risques de cyberattaques sont devenus de plus en plus visibles et tangibles.

2 Objectifs et utilité de la directive

Le présent document concrétise la DE ad art. 2.1bis, al. 1.2, DE-OCF en ce qui concerne la configuration minimale du système de management de la sécurité de l’information (SMSI).

Les informations, les données et les systèmes doivent être sécurisés en fonction de leur besoin de protection et en tenant compte de la situation de risque spécifique. Cette approche basée sur les risques constitue la base pour les utilisateurs de la présente directive.

Selon cette approche, les mesures d’atténuation des risques et les écarts éventuels entre l’atténuation actuelle des risques et le niveau de risque acceptable doivent être déterminés après identification des principaux risques commerciaux en termes de prescriptions, de risques opérationnels et financiers ou de risques de réputation (cf. par ex. ISO/IEC 27005:2022, ch. 6.4). L’identification de menaces et la détermination des risques ainsi que leur traitement sont des thèmes essentiels dans un SMSI et dans la présente directive.

Les références aux auxiliaires existants (annexe 3) sont destinées à aider à implémenter un SMSI.

Si l’entreprise ferroviaire respecte les prescriptions de la directive, les bases du SMSI qui ont été élaborées peuvent être acceptées par l’OFT d’un point de vue méthodologique. Des écarts par rapport aux prescriptions de la directive sont autorisés si l’objectif fixé par la loi et l’ordonnance est atteint d’une autre manière.

La directive sert, en outre, de base aux contrôles effectués dans le cadre de l’activité de surveillance de l’OFT.

Étant donné que les moyens et la démarche des cybercriminels évoluent et se professionnalisent, la présente directive sera perfectionnée au fil du temps.

24.06.2024 / version : V¹.1

3 Bases / référence

Le présent document se base sur les bases légales, normes et standards suivants :

[1] Loi fédérale du 20 décembre 1957 sur les chemins de fer (LCdF)¹

[2] Ordonnance du 23 novembre 1983 sur les chemins de fer (OCF)² et ses dispositions d’exécution (DE-OCF)³ (principalement la DE ad art. 2.1bis, ch. 1.2)

[3] Règlement délégué (UE) 2018/762 de la Commission du 8 mars 2018 établissant des méthodes de sécurité communes relatives aux exigences en matière de système de gestion de la sécurité conformément à la directive (UE) 2016/798 du Parlement européen et du Conseil et abrogeant les règlements de la Commission (UE) n° 1158/2010 et (UE) n° 1169/2010 (des MSC [méthodes de sécurité communes] au SGS)4

[4] Ordonnance sur la coordination des transports en vue de la maîtrise de situations exceptionnelles (OCTSE, cf. https://www.bav.admin.ch et https://www.fedlex.admin.ch)

[5] Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)5

[6] Loi du 18 décembre 2020 sur la sécurité de l’information (LSI)6 – les articles concernant l’obligation de signaler les cyberattaques entreront en vigueur en 2025.

[7] Ordonnance du 17 décembre 2014 sur les enquêtes de sécurité en cas d’incident dans le domaine des transports (OEIT)7

[8] SN ISO/IEC 27001:2022 (aperçu cf. annexe 2, chap. 11)8

[9] SN ISO/IEC 27002:20229

[10] NIST Cybersecurity Framework CSF 2.0 (NIST CSF 2.0)9

[11] CLC/TS 50701:202310

[12] IEC 6244311

[13] Manuel sur la cybersécurité destiné aux entreprises de transports publics (Manuel de l’UTP de 202012

5 RS 235.1

6 RS 128 ; https://www.fedlex.admin.ch/eli/fga/2023/2296/fr

7 RS 742.161

8 Les normes ISO/IEC 27001 et ISO/IEC 27002 sont exclusivement disponibles sur la plate-forme de normes de l’UTP, pour les collaborateurs des

entreprises ferroviaires suisses concernées (sauf les CFF), ainsi que pour l’OFT et le ZVV : Login - voev.ch 9 https://www.nist.gov/cyberframework (en anglais uniquement)

10 La norme CLC/TS 50701 est exclusivement disponible sur la plate-forme de normes de l’UTP, pour les collaborateurs des entreprises ferroviaires

suisses concernées (sauf les CFF), ainsi que pour l’OFT et le ZVV : Login - voev.ch 11 Des parties de cette norme sont exclusivement disponibles sur la plate-forme de normes de l’UTP, pour les collaborateurs des entreprises ferroviaires suisses concernées (sauf les CFF), ainsi que pour l’OFT et le ZVV : Login - voev.ch 12 https://www.bwl.admin.ch/bwl/fr/home/bereiche/ikt/ikt_minimalstandard/ikt_branchenstandards/oeffentlicher_verkehr.html

24.06.2024 / version : V¹.1

[14] SN EN 50159:201013

[15] BDEW Whitepaper Anforderungen an sichere Steuerungs- und Telekommunikationssysteme (Version 2.0 05/2018)14

[16] Ordonnance du 4 novembre 2009 sur la vidéosurveillance dans les transports publics (OVid-TP)15

[17] Implementierungsleitfaden ISO/IEC 27001:2022 von ISACA16

[18] D RTE 28100 - Démonstration réseaux de données (Union des transports publics)

Quelles sont les normes à privilégier ? La norme ISO/IEC 27001 s’est imposée comme la norme internationale reconnue pour la mise en place et le maintien d’un SMSI. L’ISO/IEC 27002 est le guide des mesures (contrôles) à mettre en œuvre, en fonction des risques, à partir des exigences de l’ISO/IEC 27001. Les normes IEC 62443 se basent sur les normes ISO 27000 et étendent ces dernières aux différences et aux spécificités de l’automatisation industrielle. La spécification technique CLC/TS 50701 se base sur les normes IEC 62443 avec des spécificités propres aux systèmes et aux véhicules ferroviaires (cf. Illustration 1 en [11]). Dans le domaine des installations électriques, le whitepaper référencé du BDEW [15] et la norme ISO/IEC 27019 sont largement utilisés. Le manuel sur la cybersécurité destiné aux entreprises de transports publics [13] s’avère utile pour l’introduction à la cybersécurité dans le domaine des chemins de fer. Il contient également un outil d’autoévaluation. En ce qui concerne l’introduction et l’exploitation de nouveaux réseaux de données par des gestionnaires d’infrastructure ferroviaire (GI), nous renvoyons à la nouvelle réglementation «D RTE 28100 Démonstration réseaux de données » de l’Union des transports publics (UTP) et qui entrera en vigueur au cours du deuxième semestre 2024 [18].

13 Cette norme est exclusivement disponible sur la plate-forme de normes de l’UTP, pour les collaborateurs des entreprises ferroviaires suisses concernées (sauf les CFF), ainsi que pour l’OFT et le ZVV : Login - voev.ch 14 https://www.bdew.de/media/documents/Awh_20180507_OE-BDEW-Whitepaper-Secure-Systems.pdf (en allemand uniquement)

15 RS 742.147.2

16 https://www.isaca.de/sites/default/files/isaca_implementierungsleitfaden_isms_2022.pdf (en allemand uniquement)

24.06.2024 / version : V¹.1

4 Structure

Le chap. 5 décrit le champ d’application de la présente directive et donne quelques indications concernant la délimitation des exigences minimales décrites.

Le chap. 6 souligne l’importance d’une intégration appropriée du SMSI dans les processus existants et dans la culture de la sécurité de l’entreprise. Il fait le lien avec d’autres systèmes de gestion ainsi qu’avec des normes et standards.

Les exigences minimales décrites sont structurées en deux parties :

• Le chap. 7 contient les exigences relatives au SMSI dans le but d’organiser et de gérer les aspects de la sécurité de l’information de manière systématique tout en tenant compte de l’ensemble des directives et des besoins. Le chap. 7 concrétise la DE ad art. 2.1bis, ch. 1.2, des DE-OCF [2] et définit les exigences minimales d’un SMSI. Il met l’accent sur les exigences en matière de processus du système de gestion.

• Le chap. 8 comprend des mesures techniques et organisationnelles (appelées « contrôles ») visant à garantir un niveau de sécurité de l’information approprié pour le secteur ferroviaire, qui fait partie des infrastructures critiques de la Suisse. Il contient des mesures générales valables pour tous les systèmes et applications, des mesures spécifiques pour le domaine de la technologie opérationnelle (TO) et des mesures spécifiques pour les systèmes embarqués.

L’annexe 1 offre un bref aperçu du rapport entre un SMSI et d’autres systèmes de gestion dans le cadre d’un système de gestion intégré (SGI).

L’annexe 2 offre un bref aperçu des normes ISO/IEC 27001 et 27002, qui sont cruciales pour la mise en place et le perfectionnement d’un SMSI.

L’annexe 3 renvoie à des auxiliaires en vue de l’implémentation d’un SMSI.

L’annexe 4 contient le formulaire de demande d’exonération de l’obligation de mettre en place un SMSI pour les entreprises de transport ferroviaire (ETF) et les gestionnaires d’infrastructure (GI) selon le champ d’application du chap. 5.

24.06.2024 / version : V¹.1

5 Champ d’application

Les exigences minimales s’appliquent aux organisations et entreprises suivantes :

• Gestionnaires de l’infrastructure ferroviaire (GI): entreprises qui disposent d’une concession et d’un agrément de sécurité selon l’art. 5 LCdF pour construire et exploiter une infrastructure ferroviaire. L’infrastructure ferroviaire comprend les installations d’exploitation des chemins de fer, y compris les installations du courant de traction.

• Entreprises de transport ferroviaire (ETF) : entreprises qui disposent d’un certificat de sécurité conformément à l’art. 8c LCdF.

Les dispositions s’appliquent à tous les processus, systèmes de traitement des informations et réseaux de données utilisés dans le cadre des activités susmentionnées ou permettant indirectement ces activités. Elles sont également applicables lorsque certaines activités sont confiées à des tiers (par ex. fournisseurs, fabricants, entreprises de maintenance, détenteurs de véhicules ferroviaires, prestataires de services et services d’achat). Les GI ou les ETF restent responsables du respect des dispositions.

Les dispositions s’appliquent à tous les systèmes et réseaux de données traitant des informations (hardware + software) dans les domaines de la technologie de l’information (TI), de la technologie opérationnelle (TO) des installations fixes, ainsi qu’aux systèmes embarqués.

Les ETF et les GI qui ne présentent qu’une vulnérabilité nulle ou négligeable aux attaques dans le domaine de la sécurité de l’information (par ex. chemins de fer historiques) peuvent demander à l’OFT d’être exemptées de l’obligation de mettre en place un SMSI. Pour ce faire, il convient en principe de remplir la demande figurant à l’annexe 4 et de la transmettre par voie électronique à l’OFT via le site Web www.bav.admin.ch. Dans des cas exceptionnels et après concertation avec l’OFT, section Admissions et règles, les demandes signées peuvent être transmises via l’adresse électronique zulassung@bav.admin.ch. L’envoi par courrier postal n’est pas nécessaire. Des informations peuvent être obtenues à cette même adresse.

Les entreprises ferroviaires qui ont déposé une demande conjointe d’octroi ou de renouvellement d’un agrément de sécurité et d’un certificat de sécurité (art. 5d, al. 1, OCF) peuvent se limiter à une seule demande d’exemption.

Les émoluments sont calculés à partir de l’ordonnance du 25 novembre 1998 sur les émoluments pour les transports publics (OEmol-TP)17.

5.1 Délimitations

Conformément au champ d’application, la responsabilité de la protection appropriée de leurs données et informations incombe au GI ou à l’ETF concerné. Le présent document définit les limites suivantes :

• Les dispositions contiennent des mesures visant à garantir un niveau de sécurité minimal de l’information.

• En fonction des conditions spécifiques à l’organisation et d’évaluations des risques, des mesures supplémentaires peuvent s’avérer nécessaires.

• La mise en œuvre des dispositions de la présente directive ne suffit pas pour obtenir une certification (par ex. ISO/IEC 27001).

17 RS 742.102

24.06.2024 / version : V¹.1

6 Rapport avec les autres systèmes de gestion

Lors de la conception et de la mise en œuvre du SMSI, il faut tenir compte du fait que les entreprises concernées disposent éventuellement déjà d’autres systèmes de gestion. Le SMSI doit être implémenté de manière à éviter tout conflit avec les systèmes de gestion existants. S’il s’avère impossible d’éviter des conflits avec des systèmes de gestion existants ou si l’on identifie des conflits potentiels, il convient de les documenter. Dans la mesure du possible et si cela s’avère pertinent, il convient d’utiliser les éléments existants et les synergies avec les systèmes de gestion déjà en place. Il s’agit de viser un système de gestion intégré (SGI) (cf. annexe 1).

24.06.2024 / version : V¹.1

7 Exigences minimales auxquelles doit répondre un SMSI

Le présent chapitre comprend les exigences relatives au SMSI dans le but d’ajuster et de piloter les aspects de la sécurité de l’information de manière systématique tout en tenant compte de l’ensemble des prescriptions et des besoins. En outre, il concrétise la DE ad art. 2.1bis, ch. 1.2, DE-OCF [2] et définit les exigences minimales auxquelles doit répondre un SMSI. L’accent est mis sur les exigences en matière de processus du système de gestion. Le chap. 8 décrit des mesures concrètes (contrôles) qui contribuent au respect des exigences décrites dans le présent chapitre.

La colonne « Renvoi » détaille les normes, standard et prescriptions régaliennes et indique les synergies potentielles avec les annexes I et II du règlement délégué 2018/762 [3]18. La colonne « Contrôles » fait référence aux mesures liées l’exigence concernée.

Les entreprises ferroviaires doivent tenir à jour un calendrier contraignant pour la mise en œuvre des exigences relatives au SMSI décrites ci-après et le mettre à la disposition de l’OFT sur demande.

N° Exigence Renvoi Contrôles chap. 8 A-01 Stratégie en matière de sécurité de l’information ISO/IEC 27001 B-01 L’encadrement supérieur doit fixer les objectifs de la sécurité de ch. 5.1 B-04 l’information. Ceux-ci doivent être compatibles avec l’orientation B-05 stratégique de l’entreprise et avec les intérêts des parties concer- NIST CSF 2.0 B-06 nées. L’encadrement supérieur doit veiller à ce que les res- GV.OC-01 B-08 sources nécessaires à la réalisation des objectifs soient dispo- GV.PO B-09 nibles. En outre, il s’agit de définir les secteurs commerciaux cou- B-10 verts par le SMSI et ceux auxquels il ne s'applique pas. Le B-18 champ d’application minimal du SMSI est défini au chap. 5. Manuel UTP B-20 ch. 3.2.1 et 3.2.3

RD 2018/762 ch. 1 et ch. 2.1

A-02 Rôles et responsabilités ISO/IEC 27001 B-01 Les responsabilités et les compétences des rôles liés à la sécu- ch. 5.3 B-02 rité de l’information doivent être clairement définies et attribuées. B-04 Une personne chargée de la sécurité de l’information doit être dé- NIST CSF 2.0 B-06 signée pour l’entreprise et communiquée à l’OFT. GV.RR-02 B-08 B-09 B-10 Manuel UTP B-12 ch. 3.2.2 B-16 B-22 RD 2018/762 B-23 ch. 2.3 B-28

18 Les contenus des annexes I et II du règlement délégué 2018/762 étant identiques, aucune différentiation n’est faite entre eux.

24.06.2024 / version : V¹.1

N° Exigence Renvoi Contrôles chap. 8 A-03 Directives et organisation ISO/IEC 27001 B-02 L’encadrement supérieur doit veiller à ce que le SMSI soit in- ch. 5.2 B-03 tégré dans les processus commerciaux de l’entreprise (cf. B-04 exemple dans la Figure 1, annexe 1). Pour ce faire, il s’agit d’éla- NIST CSF 2.0 B-05 borer des directives en matière de sécurité de l’information qui GV.OC-03 B-06 doivent être approuvées par l’encadrement ou plus précisément GV.RM-03 B-07 par les personnes responsables, puis communiquées au sein de B-08 l’entreprise ainsi qu’auprès des services externes impliqués. B-09 Manuel UTP B-10 ch. 3.2.3 B-11 B-12 RD 2018/762 B-15 ch. 2.1-2.4 B-16 B-17 B-18 B-20 B-21 B-22 B-24 B-25 B-29 A-04 Vérification régulière de la sécurité de l’information / audits ISO/IEC 27001 B-04 La réalisation d’audits réguliers permet d’identifier les domaines ch. 9.1 B-05 dans lesquels la sécurité de l’information doit être améliorée. À ch. 9.2 B-06 cet égard, il s’agit également de prendre en compte les fournis- B-08 seurs et les prestataires de services. Les domaines thématiques NIST CSF 2.0 B-09 à contrôler et la périodicité des audits doivent être consignés GV.SC-07 B-10 dans un programme d’audit. Les mesures qui en découlent B-14 PR.PS-04 doivent être mises en œuvre selon un ordre de priorité préétabli. B-20

RD 2018/762 ch. 6.1 ch. 6.2

A-05 Amélioration continue ISO/IEC 27001 B-04 L’entreprise doit améliorer constamment l’adéquation et l’effica- ch. 5.1 B-08 cité de son SMSI. ch. 9.3 B-14 Cette vérification doit être effectuée au moins une fois par an. ch. 10

NIST CSF 2.0 ID.IM-03

RD 2018/762 ch. 6.3 ch. 7

24.06.2024 / version : V¹.1

N° Exigence Renvoi Contrôles chap. 8 A-06 Documentation ISO/IEC 27001 Documentation Toutes les activités et tous les résultats pertinents en rapport ch. 4.1 adéquate à avec le SMSI doivent être documentés et consignés. À savoir en ch. 4.2 chaque contrôle particulier : ch. 7.5 B au chap. 8 a) la description des processus et activités liés à la sécurité de l’information de l’entreprise ferroviaire, y compris les NIST CSF 2.0 tâches déterminantes pour la sécurité et les responsabi- GV.PO lités qui en découlent ; GV.OC-03 b) l’identification des mandataires, partenaires et fournisseurs, avec une description de la nature et de l’étendue RD 2018/762 des prestations fournies ; ch. 4.5 c) l’identification des conventions contractuelles et autres conventions commerciales entre l’entreprise et les autres parties citées à la let. b) qui sont nécessaires pour maîtriser les risques pour la sécurité générés par l’entreprise et le recours à des mandataires.

La documentation et les journaux doivent être protégés contre toute consultation non autorisée et contre toute perte. A-07 Évaluation et traitement des risques DE-OCF L’entreprise doit définir et appliquer un processus d’évaluation ad art. 2.1bis, B-04 des risques liés à la sécurité de l’information. Des critères doivent ch. 1.2 B-13 être définis en matière d’acceptation des risques et de réalisation B-15 d’évaluations des risques. Ledit processus doit inclure les points ISO/IEC 27001 B-16 suivants : ch. 6.1.2 B-19 a) Identifier les risques ch. 6.1.3 B-20 Les risques résultant d’une défaillance ou d’une pertur- B-26 bation des systèmes d’information doivent être identifiés NIST CSF 2.0 B-27 en termes d’intégrité, de disponibilité et de confidentia- GV.RM-01 lité. Des personnes doivent être désignées comme pro- GV.RM-02 priétaires du risque. b) Analyser les risques Manuel UTP Il s’agit d’évaluer les conséquences potentielles si les ch. 3.3 risques identifiés devaient se réaliser ainsi que la probabilité d’occurrence. RD 2018/762 c) Évaluer les risques ch. 3.1 Les conclusions de l’analyse des risques (évaluation (Entrée dans les des risques ou risk assessment en anglais) doivent être SGS des mecomparés aux critères de risque définis et il convient naces pertinentes d’établir un classement par ordre de priorité en matière découlant de de traitement des risques. l’analyse des risques de la cyd) Traiter les risques bersécurité) Sur la base des conclusions de l’évaluation des risques, l’entreprise doit choisir des mesures appropriées pour Auxiliaires en matraiter les risques ainsi que planifier et mettre en œuvre tière de gestion leur application. Le propriétaire du risque doit approuver des risques cf. ce plan, documenter les risques résiduels, les accepter Annexe 3 le cas échéant et informer les collaborateurs et les parties externes. Il s’agit de s’assurer que ces étapes sont répétées en cas de changement significatif ou de détérioration du panorama des menaces. Les étapes a) à d) doivent être répétées au moins une fois par an afin d’identifier les nouveaux risques, de réévaluer les risques le cas échéant et d’évaluer l’efficacité des mesures mises en œuvre sur les risques.

24.06.2024 / version : V¹.1

8 Contrôles (mesures de base)

Les mesures énumérées dans le présent chapitre contribuent à satisfaire aux exigences du chap. 7 et à atteindre un niveau minimal de sécurité de l’information dans le secteur ferroviaire.

La mise en œuvre des mesures ou leur classement par ordre de priorité doivent être basés sur les risques. Cela signifie que des mesures supplémentaires peuvent s’imposer sur la base de l’analyse des risques et du besoin de protection des systèmes ou que certaines des mesures mentionnées ici ne sont pas opportunes. Il est permis de réaliser d’autres mesures de compensation ou de réagir à des conflits d’objectifs, pour autant que l’objectif poursuivi par la loi et l’ordonnance soit ainsi atteint (cf. [11]). Les mesures de compensation doivent être consignées par écrit.

8.1 Contrôles organisationnels, personnels, physiques et technologiques pour les TI et

les TO, réseaux de données, y compris les véhicules ferroviaires Le présent chapitre porte sur les mesures organisationnelles, personnelles, physiques et technologiques (contrôles) visant à garantir un niveau de sécurité de l’information adéquat pour le secteur ferroviaire, qui fait partie des infrastructures critiques de la Suisse.

Le ch. 8.1 présente les contrôles qui s’appliquent à tous les systèmes et applications. Le ch. 8.2 présente les contrôles spécifiques au domaine de la technologie opérationnelle (TO) et le ch. 8.3 les contrôles spécifiques aux systèmes embarqués.

La colonne « Contrôles » décrit des mesures concrètes qui s’orientent notamment sur les normes ISO/IEC 27001:2022 [8] ou ISO/IEC 27002:2022 [9]. La colonne « Renvoi » établit le rapport avec les normes, standards, auxiliaires et prescriptions régaliennes. La dernière colonne indique les synergies potentielles avec le SMSI [3].

N° Contrôle Renvoi Synergie avec RD 2018/762 [3] B-01 Détermination des rôles et responsabilités ISO/IEC ch. 2.3 Il faut définir les rôles et les responsabilités dans le domaine de la sécu- 27002:2022 ch. 4.1 rité de l’information. Les différents groupes de tâches doivent être attri- ch. 5.2 ch. 4.2 bués à des personnes disposant des compétences nécessaires. NIST CSF 2.0 GV.RR-02

B-02 Gestion des accès et des identités ISO/IEC Les identités des personnes et des systèmes qui ont accès aux infor- 27002:2022 mations ou à d’autres actifs doivent être vérifiées et gérées. ch. 5.3 a) Une identité doit toujours être attribuée à une seule personne ch. 5.15 ou à un seul système. ch. 5.16 b) Il convient de définir quelles identités bénéficient de quelles ch. 5.17 autorisations et de quels accès. ch. 5.18

c) Les principes « du besoin de savoir » (need-to-know) et « de NIST CSF 2.0 droit d’accès minimal » (least-privilege) doivent être appliqués. PR.AA-01 d) Les autorisations accordées doivent être régulièrement véri- PR.AA-02 fiées et adaptées aux circonstances actuelles. PR.AA-05 e) Les identités qui ne sont plus actives doivent être désactivées. PR.AA-06

24.06.2024 / version : V¹.1

B-03 Gestion des actifs (asset management) ISO/IEC ch. 5.2 a) Un inventaire des données, des informations et des systèmes 27002:2022 de traitement de l’information doit être établi. ch. 5.9 ch. 5.11 b) Une personne responsable doit être désignée pour chaque actif ou catégorie. ch. 5.12 ch. 7.8 c) Une procédure doit être mise en place pour garantir que les ch. 7.14 nouveaux actifs sont inclus et que l’inventaire est mis à jour. d) Les actifs ou les catégories doivent être classés en fonction de NIST CSF leur besoin de protection en termes de confidentialité, d’inté- 2.0 grité et de disponibilité. ID.AM-01 ID.AM-02 ID.AM-05

Manuel UTP ch. 3.3.1

TS 50701:2023 ch. 4.2

B-04 Gestion des fournisseurs ISO/IEC ch. 2.4 Conformément au champ d’application du chap. 5, il convient de s’as- 27002:2022 ch. 5.3 surer que la sécurité de l’information est prise en compte dans la colla- ch. 5.18 boration avec les fournisseurs. ch. 5.19 a) Tous les fournisseurs et leur contribution à la sécurité de l’in- ch. 5.20 formation doivent être recensés et évalués. ch. 5.21 b) En fonction du besoin de protection (criticité) des données traitées, les fournisseurs doivent être tenus, dans le cadre de la LPD fourniture de leurs prestations, de respecter les directives pertinentes en matière de sécurité de l’information. Cette obliga- NIST CSF tion doit également être transférée à leurs collaborateurs et à 2.0 leurs éventuels sous-traitants. GV.OC-04 c) En outre, les collaborateurs des fournisseurs doivent être infor- GV.OC-05 més et formés par des formations régulières sur les prescrip- GV.SC-01 tions légales et internes relatives à la protection des informa- GV.SC-03 tions et à l’utilisation sûre des systèmes de traitement des in- GV.SC-05 formations. GV.SC-07 d) Dès lors que les preuves ne sont pas suffisantes, il s’agit de prévoir un droit d’audit par contrat. Manuel UTP e) Il convient de vérifier régulièrement si les dispositions contrac- Tableau 6 tuelles sont respectées. ch. 3.6

Cf. Annexe 3 Auxiliaires

24.06.2024 / version : V¹.1

B-05 Sécurité de l’information dans des projet en rapport avec la TI et la ISO/IEC TO (y c. les acquisitions) ainsi que dans les développements de proces- 27002:2022 sus et d’organisation. ch. 5.2 a) Le projet doit suivre une méthode de gestion de projet définie. ch. 5.8 b) La sécurité de l’information fait partie intégrante de la méthode de gestion de projet. NIST CSF 2.0 c) En début de projet, il convient de définir les besoins en matière GV.PO-02 de protection et les exigences pertinentes en matière de sécu- ID.RA-04 rité de l’information. d) En cours de projet, il faut vérifier et documenter le degré d’exécution des exigences susmentionnées. TO : e) Il s’agit de communiquer au sein de l’entreprise les exigences non respectées en œuvre ou les risques connus. Figure 6 f) Les exigences en matière de sécurité de l’information doivent être intégrées dès le début des projets. Il convient d’en documenter le respect et d’en informer les parties prenantes concernées.

B-06 Mesure dans le domaine du cloud Lors de l’acquisition de services cloud, il faut s’assurer que les exi- LPD gences en matière de sécurité de l’information sont prises en compte et des mesures de protection mises en œuvre. Les services cloud qui ISO/IEC concernent des processus essentiels pour l’entreprise ou des données 27002:2022 personnelles doivent être examinés régulièrement dans le cadre d’un ch. 5.23 processus d’approbation interne afin de déterminer s’ils sont appro- ch. 8.27 priés. a) Il s’agit de tenir une vue d’ensemble de tous les services cloud Manuel UTP utilisés. Chaque service cloud doit être attribué à une perch. 3.6.3 sonne responsable. b) Les responsabilités du fournisseur et de l’utilisateur du cloud Cf. Annexe 3 doivent être clairement définies (modèle de responsabilité par- Auxiliaires tagée). c) Avant d’utiliser des services cloud, il faut vérifier quelles données y sont stockées et traitées. Il convient de procéder à une analyse des risques et d’évaluer si les mesures de protection existantes ou celles proposées par le fournisseur de services cloud sont suffisantes.

B-07 Surveillance (security monitoring) ISO/IEC Les systèmes et les réseaux doivent être conçus et configurés de ma- 27002:2022 nière que les attaques et les anomalies puissent être détectées et éva- ch. 8.15 luées dans les meilleurs délais. ch. 8.16

NIST CSF 2.0 ID.AM-03 DE.AE DE.CM

Manuel UTP ch. 3.6.4

24.06.2024 / version : V¹.1

B-08 Gestion d’incidents liés à la sécurité de l’information ISO/IEC chap. 7 Il s’agit d’établir des processus définissant la manière de traiter les inci- 27002:2022 ch. 7.1. dents liés à la sécurité de l’information ch. 5.24 ch. 7.2. a) Le processus doit décrire la procédure à suivre en cas d’inci- ch. 5.25 dent de sécurité et définir les responsabilités et les voies de ch. 5.26 communication. ch. 5.27 b) Le processus garantit que des mesures appropriées de réac- ch. 5.28 tion et de remise en état sont prises et mises en œuvre. NIST CSF c) Lors du traitement des incidents, il faut documenter les diffé- 2.0 rentes étapes du traitement. RS.MA d) Les obligations d’annoncer aux autorités et aux tiers (par ex. PR.AT-01 PFPDT19, NCSC20) doivent être respectées. RS.CO-02 e) Des enseignements et des améliorations doivent être tirés des RS.CO-03 incidents liés à la sécurité de l’information. RS.CO-04 RC.RP-01 ID.IM-03

LPD

LSI (obligation d’annoncer dès 2025)

OEIT

B-09 Gestion de la continuité des activités (business continuity mana- art. 11 ch. 5.5 gement) OCTSE Il s’agit d’élaborer un processus garantissant la poursuite de l’activité en cas de défaillance de composants ou d’un système critique. Cela ISO/IEC concerne non seulement les technologies de l’information et de la com- 27002:2022 munication, mais aussi les TO et le domaine des véhicules ferroviaires. a) Les composants ou systèmes critiques sont identifiés et éva- ch. 5.29 lués. ch. 5.30 b) Un plan d’urgence et de remise en état doit être élaboré pour tous les composants et systèmes critiques. NIST CSF 2.0 c) Ces plans sont testés et font l’objet d’exercices à intervalles ré- ID.RA-04 guliers ou après des modifications importantes. RS.MA-01 ID.IM-02 Cf. B-27 Disponibilité Manuel UTP ch. 3.3.5

19 www.edoeb.admin.ch

20 www.ncsc.admin.ch

24.06.2024 / version : V¹.1

B-10 Emploi de collaborateurs Les mesures suivantes doivent être prises avant et pendant l’emploi ISO/IEC ch. 4.2 d’une personne dans l’entreprise : 27002:2022 ch. 4.3 a) En particulier pour les collaborateurs exerçant des activités ch. 6.1 ch. 4.4 sensibles en matière de sécurité : effectuer un contrôle de sé- ch. 6.2 curité approprié en tenant compte des dispositions légales per- ch. 6.3 tinentes et de la fonction prévue. ch. 6.4 b) Les collaborateurs sont informés par des formations régulières ch. 6.5 sur les prescriptions légales et internes relatives à la protection ch. 6.6 des informations et à l’utilisation sûre des systèmes de traitement des informations. NIST CSF 2.0 GV.RR-04 c) Dans les conventions contractuelles, les collaborateurs sont PR.AA-01 tenus de respecter les prescriptions légales et internes en matière de sécurité de l’information. PR.AA-05 PR.AT-01 d) Les personnes qui travaillent avec des informations sensibles PR.AT-02 ou qui y ont accès doivent être tenues contractuellement au secret (obligation de maintien du secret). Manuel UTP ch. 3.7 Modification et/ou résiliation de l’emploi : e) Les accès à l’infrastructure de l’entreprise doivent être rapidement désactivés pour les personnes qui quittent l’entreprise.

f) Il convient d’établir un processus régissant la restitution ou la destruction des données, des informations et des appareils de traitement de l’information correspondants en cas de changement d’emploi (transfert et surtout départ).

B-11 Exploitation de systèmes et de réseaux de données ISO/IEC Les systèmes et les réseaux de données doivent être configurés et pro- 27002:2022 tégés de manière à éviter les perturbations ou les pannes imprévues. ch. 5.2 a) Pour avoir une vue d’ensemble du réseau existant, il faut dis- ch. 7.11 poser de plans de réseau actualisés. ch. 8.9 b) Les réseaux doivent être séparés dans une mesure raison- ch. 8.14 nable et en tenant compte de leur taille. Pour ce faire, il ch. 8.20 convient d’établir un concept de réseau décrivant des mesures ch. 8.22 spécifiques en matière de protection de l’information. NIST CSF 2.0 c) Si une mise en réseau de services TO et TI, par exemple à ID.RA-07 ch. 3.1.2 l’aide d’applications public-cloud, prend une telle ampleur que les passerelles ne peuvent plus être exploitées et gérées en PR.IR-01 toute sécurité au sens du concept classique des zones PR.PS-01 « zones and conduits », il faut mettre en place une architecture PR.AA-07 de sécurité appropriée, par exemple au sens du principe « à vérification systématique » (zero-trust) Manuel UTP ch. 3.5 d) Les activités et les modifications des systèmes déterminantes pour la sécurité de l’information doivent être consignées conformément au processus de gestion des changements.

24.06.2024 / version : V¹.1

B-12 Élaboration de directives (policies) en matière d’authentification ISO/IEC pour les systèmes 27002:2022 ch. 5.17 a) Il convient d’établir des directives qui décrivent comment les utilisateurs se connectent aux systèmes. NIST CSF 2.0 b) Les directives décrivent les procédures d’authentification à uti- PR.AA-01 liser (par ex. l’authentification à deux facteurs) et leur utilisation PR.AA-03 correcte. PR.AA-05 c) Les exigences de sécurité concernant les procédures d’authentification doivent, dans la mesure du possible, être appli- Manuel UTP quées techniquement (par ex. exigences minimales pour les ch. 3.5 mots de passe, modification des mots de passe initiaux). d)Si possible, il s’agit d’utiliser des procédures d’authentification Cf. Annexe 3 fortes (par ex. authentification à deux facteurs, procédures à Auxiliaires jetons ou biométriques, etc.). B-13 Mesures de protection des terminaux ISO/IEC Les terminaux utilisés dans le domaine des TI, des TO ou pour les véhi- 27002:2022 cules doivent répondre aux exigences de sécurité suivantes : ch. 8.1 a) La configuration et l’utilisation se font conformément aux directives définies. NIST CSF 2.0 b) Lors de l’utilisation de terminaux privés dans le contexte de PR.DS-01 l’entreprise, il faut veiller à ce qu’ils répondent au moins aux PR.DS-02 exigences de la directive établie en a). PR-DS-10

c) Les correctifs déterminants pour la sécurité doivent être installés en temps utile sur les systèmes et les terminaux. ch. 10.2 d) Si aucun correctif déterminant pour la sécurité ne peut être ins- ch. 10.3 tallé dans un délai raisonnable, il convient de prendre d’autres mesures en fonction des risques (par ex. restreindre les accès Manuel UTP à distance, optimiser la surveillance de la sécurité afin de pou- ch. 3.5 voir identifier rapidement l’exploitation de points faibles). Tableau 6 Cf. B-20 b) B-14 Protection contre les maliciels (malware) ISO/IEC Des mesures de protection doivent être mises en œuvre en vue de la 27002:2022 protection préventive et l’identification de maliciels sur les systèmes. ch. 6.3 Selon les technologies utilisées et l’objectif du système, l’implémenta- ch. 8.7 tion peut se faire par l’utilisation de logiciels appropriés ou par un durcissement du système (par ex. protection du périmètre, défense en pro- NIST CSF 2.0 fondeur [defence-in-depth]). DE.CM-01 DE.CM-04 Pour TO : Cf. B-25 DE.AE-02

B.4.4, C.³

Manuel UTP ch. 3.5

24.06.2024 / version : V¹.1

B-15 Gestion des configurations et des modifications ISO/IEC ch. 5.2 Les exigences en matière de sécurité de l’information doivent être res- 27002:2022 ch. 5.4 pectées lors de la configuration du matériel informatique, des logiciels, ch. 5.22 des réseaux, ainsi que dans le domaine des TO et des véhicules ferro- ch. 8.9 viaires. ch. 8.32 a) Les modifications doivent être autorisées et mises en œuvre selon un processus défini. NIST CSF b) Lors de la configuration, il convient de s’assurer que seules les 2.0 personnes autorisées à exercer cette activité peuvent l’effec- ID.RA-07 tuer. PR.PS-01

c) Les mots de passe standards doivent être modifiés avant la Manuel UTP mise en service. ch. 3.5 B-16 Travail à distance (remote work) ISO/IEC On parle de travail à distance lorsque des collaborateurs ou des presta- 27002:2022 taires de services externes travaillent depuis un lieu situé en dehors ch. 6.7 des locaux de l’entreprise tout en accédant à des informations via des appareils TIC. NIST CSF a) Lorsque des collaborateurs ou des prestataires de services ex- 2.0 ternes accèdent à distance à des informations via des appa- PR.AA-03 reils TIC, il faut définir des directives sur la manière dont il PR.AA-05 convient d’articuler le travail à distance avec la sécurité de l’in- PR.IR-01 formation. PR.AT-01 b) Il convient de définir les mécanismes d’authentification utilisés PR-AT-02 pour effectuer le travail à distance. c) Les collaborateurs doivent être sensibilisés au travail à distance et recevoir des informations appropriées (par ex. utilisation des comptes personnels).

d) Il s’agit d’encourager des mesures garantissant que seules les personnes autorisées peuvent accéder aux informations via Internet (par ex. via VPN). B-17 Recours à des procédés cryptographiques TS50701:20 Si des procédés cryptographiques sont utilisés dans des applications, 23 ils doivent être basés sur des algorithmes reconnus et testés et sur une SR 4.2 génération de clés sûre. SR 4.3

NIST CSF 2.0 PR.DS-01 PR.DS-02 PR.DS-10

Cf. Annexe 3 Auxiliaires

B-18 Protection des données et des informations ISO/IEC ch. 4.5 Les données et les informations doivent être protégées afin de ré- 27002:2022 pondre aux exigences de la loi, des autorités ou d’autres contrats. Il faut ch. 5.24 disposer d’une directive définissant les règles et les procédures de pro- ch. 5.31 tection des données et des informations. ch. 8.10 a) Les données et les informations doivent être protégées lors de ch. 8.11 leur stockage et de leur transmission en fonction de leur be- ch. 8.12 soin de protection. Il s’agit de documenter les mesures de pro- ch. 8.13 tection et les procédures. ch. 8.24 b) Les données sensibles telles que les données personnelles ou les données d’accès doivent être protégées par des mesures NIST CSF techniques (par ex. par des procédés de chiffrage). 2.0 PR.DS-01

24.06.2024 / version : V¹.1

PR.DS-02 c) Il faut mettre en œuvre des mesures de protection contre la perte de données au niveau des systèmes, des réseaux et PR.DS-10 autres appareils (par ex. la surveillance des accès aux don- PR.DS-11 nées nécessitant une protection élevée). SN EN d) Il faut régulièrement effectuer et tester des copies de sauve- 50159: 2010 garde des données, des informations, des logiciels et des systèmes. LPD e) Les données ou informations stockées sur des appareils ou des supports-mémoire qui ne sont plus utilisées doivent être Manuel UTP effacées en fonction de leur besoin de protection. Pour la des- ch. 3.5 truction des dispositifs de stockage, il est recommandé de faire appel à des fournisseurs agréés et certifiés de prestations d’élimination sécurisée. B-19 Protection des accès aux bâtiments et aux véhicules ferroviaires ISO/IEC Les bâtiments, les locaux et les zones contenant des systèmes détermi- 27002:2022 ch. 5.2 nants pour la sécurité au niveau des installations, installations exté- ch. 5.15 rieures et des véhicules doivent être protégés, dans la mesure du pos- ch. 7.1 sible et de manière proportionnée, contre tout accès non autorisé. ch. 7.2 ch. 7.3 ch. 7.4

NIST CSF 2.0 PR.AA-06

Manuel UTP ch. 3.5.5 B-20 Gestion des failles ISO/IEC Il faut mettre en place une gestion des failles qui prend en compte tous 27002:2022 les systèmes et qui répond aux critères suivants : ch. 8.8 a) Les responsabilités en termes d’identification et de notification des failles doivent être clairement définies pour chaque système TS50701:20 entre l’exploitant, l’intégrateur de systèmes, le fabricant et au 23 niveau des accords de niveau de service (service level agree- ch. 10.2 ments [SLA]). ch. 10.3 b) Si une faille est identifiée, le risque qui en découle doit être évalué par le service compétent (il peut s’agir de plusieurs ser- NIST CSF vices), puis il s’agit de décider sur cette base si et quelles me- 2.0 sures immédiates peuvent être prises et quand ou dans quelles ID.RA-01 conditions un correctif de sécurité doit être appliqué. Cela peut PR.PS-02 générer un risque temporaire qui doit être assumé le cas échéant.

B-21 Séparation des environnements de développement, de test et de ISO/IEC production 27002:2022 a) Les systèmes de développement, de test et de production ch. 8.29 doivent être séparés les uns des autres. ch. 8.31 b) Les modifications apportées aux systèmes de production doivent être effectuées dans un environnement de test avant NIST CSF d’être appliquées aux systèmes de production. 2.0 PR.IR-01

24.06.2024 / version : V¹.1

8.2 Contrôles spécifiques dans le domaine des TO

Dans le présent chapitre, les contrôles concernent aussi bien les systèmes TO des installations fixes que les systèmes TO embarqués.

Pour les systèmes TO, il faut partir du principe que l’accent est mis en particulier sur la disponibilité et l’intégrité des systèmes et que la confidentialité joue un rôle secondaire. Lorsque des mesures de cybersécurité sont mises en œuvre dans le domaine des TO, il faut donc toujours vérifier si celles-ci influencent la sécurité fonctionnelle (safety) ou l’exploitabilité du système concerné ou si elles ont des effets indirects en la matière. La mise en œuvre des mesures de cybersécurité doit toujours être décidée et réalisée en étroite collaboration et coordination avec la gestion de la sécurité, afin de tenir compte de manière appropriée des interactions possibles (absence de rétroaction) et de pouvoir identifier les risques.

Il s’agit de démontrer l’absence d’effets rétroactifs, à savoir l’absence de répercussions, ce qui signifie que la fonction n’interfère pas avec d’autres fonctions liées à la sécurité. Des méthodes analytiques et des tests de régression doivent être utilisés au cas par cas pour apporter cette preuve.

Les modifications significatives ou importantes des systèmes existants sont soumises à autorisation conformément à l’art. 8 [2] OCF. En cas de doute, il convient de contacter l’OFT. N° Contrôle Renvoi

B-22 Installation de logiciels dans le domaine des TO TS50701:2023 En raison de la criticité (besoin de protection) des systèmes TO, les installations de ch. 9 logiciels doivent être surveillées et contrôlées. ch. 10.2 a) L’installation de mises à jour sur les systèmes TO ne doivent être effectués ch. 10.3 que par du personnel qualifié. b) Il faut s’assurer que les mises à jour des logiciels des fabricants des sys- NIST CSF 2.0 tèmes TO sont mises à disposition dans une période définie préalablement ID.AM-08 avec ledit fabricant. PR.DS-01 PR.PS-02 c) L’installation de mises à jour doit passer par des procédures d’approbation qui impliquent également la gestion de la sécurité fonctionnelle. d) Avant d’installer des mises à jour sur des systèmes TO, le logiciel doit être testé de manière approfondie. Des protocoles de test doivent être établis pour documenter les fonctions testées et les éventuelles anomalies. En cas de problèmes, il ne faut pas procéder à l’installation ou à la mise à jour. e) Il s’agit de définir à l’avance une stratégie de rollback, permettant, en cas de non-fonctionnement, de ramener les systèmes TO à leur état initial de fonctionnement. f) Il convient de consigner qui installe des mises à jour ou des logiciels et pour quelle raison. g) Les anciennes versions du logiciel doivent être archivées avec les informations et les paramètres nécessaires.

24.06.2024 / version : V¹.1

B-23 Identification et authentification TS50701:2023 Par rapport aux systèmes informatiques classiques, les systèmes TO sont souvent SR 1.4 très limités en matière de gestion des utilisateurs et de possibilités d’authentification, SR 1.11 ou celles-ci ne s’avèrent pas réalisables conformément à l’état de la technique en rai- SR 1.7 son d’exigences de disponibilité élevées. SR 2.3 Il convient d’y remédier par des contre-mesures appropriées. a) Sur la base des risques, il s’agit de prendre des mesures compensant les NIST CSF 2.0 possibilités d’authentification limitées de nombreux systèmes TO. Par PR.AA-01 exemple, une authentification forte à la limite de la zone réseau via un policy PR.AA-03 enforcement point tel qu’un proxy ou un point d’accès VPN, une surveillance PR.AA-05 accrue des accès au système par le biais de journaux d’accès etc. PR.AA-06 b) Il s’agit de protéger les terminaux utilisés dans le cadre de systèmes TO en PR.IR-01 fonction de leur besoin de protection. B-24 Surveillance (security monitoring) TS50701:2023 Les journaux déterminants pour la sécurité des systèmes en réseau doivent être SR 2.1 transmis à un système central d’analyse et y être conservés conformément aux pres- SR 2.8 criptions internes de l’entreprise ou au concept de journalisation. Cf. B-07 NIST CSF 2.0 PR.PS-04 DE.AE-03 DE.AE-04

B-25 Intégrité des systèmes TS50701:2023 Souvent, il n’est pas possible d’installer un logiciel de détection sur les systèmes en SR 3.2 vue d’une protection anti-maliciel. Il convient de mettre en place des mécanismes préventifs à titre de contre-mesures tels que des directives concernant l’utilisation de NIST CSF 2.0 supports de données amovibles et de terminaux, associées à des mécanismes de dé- PR.DS-01 tection en amont (par ex. IDS). PR.PS-01 DE.CM

B-26 Restriction du flux des données TS50701:2023 En partant du niveau de protection des systèmes et de l’analyse des risques effec- SR 5.1 tuée, les réseaux doivent être segmentés de manière judicieuse. Il faut veiller à ce que des zones du réseau puissent être séparées du reste du réseau en cas d’urgence NIST CSF 2.0 afin de réduire les dommages à un minimum. Il convient donc de vérifier quels ser- PR.IR-01 vices centraux doivent être mis à disposition de manière redondante dans plusieurs RS.MI-01 zones (par ex. DHCP, DNS, etc.). Dans la mesure du possible et du raisonnable, il faudrait en particulier isoler les systèmes importants pour la sécurité fonctionnelle (safety) des autres réseaux afin de limiter les dommages. B-27 Disponibilité TS50701:2023 a) Il faut établir une protection adéquate contre les attaques par déni de ser- SR 7.1 vice. Les attaques ne doivent pas pouvoir se propager sur plusieurs sys- SR 7.2 tèmes ou zones de réseau. SR 7.3 b) Il faut définir et mettre en œuvre une procédure de copies de sauvegarde SR 7.4 (backup) appropriée pour les données et les fichiers pertinents. Il s’agit d’éla- SR 7.5 borer une stratégie de restauration des copies de sauvegarde. En outre, il convient de régulièrement tester la possibilité de restaurer les copies de sauvegarde afin de pouvoir garantir une restauration sûre et conforme des don- ISO/IEC nées. 27002:2022 ch. 8.14 c) Les systèmes et les applications TO doivent être externalisés de manière qu’un système redondant assure la disponibilité en cas de panne. L’entre- NIST CSF 2.0 prise doit planifier et mettre en œuvre des procédures afin d’activer des com- ID.IM-03 posants et des équipements de traitement redondants. ID.IM-04 Cf. B-09 Gestion de la continuité des activités PR.DS-11

24.06.2024 / version : V¹.1

Contrôles spécifiques pour des systèmes TIC embarqués

N° Contrôle Renvoi B-28 Identification et authentification TS50701:2023 Dans les véhicules ferroviaires, les procédures d’authentification ne doivent pas em- SR 1.4 pêcher l’accès rapide aux systèmes. Les systèmes dont le conducteur de locomotive a besoin pour faire fonctionner le véhicule ne doivent pas être bloqués automatique- NIST CSF 2.0 ment après l’identification initiale, par ex. par une clé ou un badge. La protection de PR.AA-01 l’accès doit en outre être assurée par des mesures physiques (par ex. portes de la ca- PR.AA-05 bine de conduite verrouillées). Pour les autres travaux qui ne sont pas effectués pendant l’exploitation commerciale ou normale, telles que les modifications de configurations logicielles ou de paramètres, il faut viser une gestion stricte des identifications et des authentifications. B-29 Protection physique ISO/IEC a) Il faut s’assurer par des mesures appropriées (par ex. armoire verrouillable) 27002:2022 que les composants sensibles sont protégés contre les manipulations phy- ch. 7.4 siques. b) S’il n’est pas possible de mettre en œuvre une protection physique de ma- NIST CSF 2.0 nière à empêcher l’accès aux personnes ne disposant pas des autorisations PR.AA-06 suffisantes, il convient d’appliquer d’autres mesures, par exemple sous forme d’un système de surveillance des véhicules. Vidéosurveillance : c) Pour la surveillance, il faut configurer et protéger des systèmes d’alarme en OVid-TP [16] conséquence (par ex. en installant une vidéosurveillance, en surveillant les couvertures de composants sensibles). (cf. point suivant) d) Les systèmes de surveillance doivent se situer dans une zone inaccessible à la personne qui déclenche l’alarme. e) Les systèmes de surveillance doivent être dotés de mécanismes inviolables et être testés régulièrement.

24.06.2024 / version : V¹.1

9 Glossaire

Terme Définition Absence de rétroaction Preuve que les adaptations effectuées n’ont d’effet que sur les systèmes, composants ou fonctions concernés, y compris les interfaces, conformément à la description des modifications, et plus précisément, que la fonction n’affecte pas d’autres fonctions liées à la sécurité. Accès à distance L’accès à distance doit permettre aux collaborateurs et à certains prestataires de services externes (par ex. à des fins de maintenance) d’accéder en toute sécurité au réseau d’une entreprise ou à un réseau TO, de sorte que certaines applications puissent également être utilisées de l’extérieur. À cet effet, il faut disposer d’un terminal équipé de sorte à être en mesure d’établir une relation de communication sécurisée avec le réseau de l’entreprise via un accès réseau (par ex. DSL, WLAN, téléphonie mobile) et un réseau de transfert (par ex. Internet). Actif Un actif (asset) est tout ce qui représente de la valeur pour l’organisation (également appelé bien informationnel et valeur informationnelle). Il existe de nombreux types d’actifs tels que les informations, les logiciels, le matériel, les services, les personnes et leurs qualifications, leurs compétences et leur expérience, ainsi que les actifs immatériels tels que la réputation et l’image. La norme ISO/IEC 27005:2022 fait la distinction entre les actifs primaires et secondaires. Les actifs primaires sont ceux qui doivent absolument être protégés. Ils constituent la valeur réelle d’une organisation ou d’une entreprise. Il s’agit par exemple des processus et des secrets professionnels, des données de base, de la réputation d’une entreprise, etc. Les actifs secondaires sont ceux qui sont nécessaires pour que les actifs primaires puissent développer leur valeur ajoutée. Il s’agit par exemple des moyens d’exploitation TIC (matériel, logiciels), des biens immobiliers, du personnel, des sites Web. Agsec L’agrément de sécurité comprend la confirmation que le système de gestion de la sécurité du gestionnaire d’infrastructure est opportun et l’acceptation des mesures préventives prises par le gestionnaire d’infrastructure pour assurer une exploitation sûre sur ses lignes. Asset owner L’asset owner (propriétaire des actifs) est la personne responsable de

la gestion quotidienne des actifs. Cela englobe non seulement des informations numériques et imprimées, mais aussi du matériel, des logiciels, des services et des équipements. Authentification / s’authenti- Le substantif « authentification » et le verbe « s’authentifier » décrivent des processus partiels différents, par exemple d’inscription. Un utilisafier (de l’anglais « authentiteur s’authentifie sur un système via des informations d’inscription unication ») voques (par ex. mot de passe ou carte à puce). Sur ce, le système vérifie la validité des données utilisées en procédant à l’authentification de l’utilisateur. Autorisation Dans le domaine des technologies de l’information, on entend par l’autorisation l’attribution initiale et le contrôle répété des droits d’accès aux données et aux services au moyen de méthodes spéciales. Les deux formes les plus courantes sont :

• l’accès autorisé aux ressources (par ex. aux répertoires ou aux fichiers) stockés dans un réseau informatique.

• l’autorisation d’installer ou d’utiliser des programmes informatiques. Besoin de protection Le besoin de protection d’un objet s’oriente sur l’ampleur des dommages potentiels en cas de violation de la sécurité de l’information. Il (classification d’un objet à peut s’agir de violations de la confidentialité, de la cohérence et de la protéger) disponibilité.

24.06.2024 / version : V¹.1

Les catégories suivantes en matière de besoin de protection sont généralement courantes :

• Normal : les conséquences des dommages restent limitées et maîtrisables.

• Élevé : les conséquences des dommages peuvent être considérables. Très élevé : les conséquences des dommages peuvent menacer l’existence ou prendre une ampleur catastrophique. BSI Bundesamt für Sicherheit in der Informationstechnik (Office fédéral [allemand] de la sécurité des technologies de l’information) Cersec Le certificat de sécurité dans le transport ferroviaire confirme que l’entreprise est organisée de manière à pouvoir effectuer des transports en toute sécurité sur une infrastructure étrangère avec le personnel et le matériel roulant appropriés. CLC CENELEC : Comité Européen de Normalisation Électrotechnique

Cohérence Garantie de l’exactitude ou de l’intégrité des données ainsi que du bon fonctionnement des systèmes. Confidentialité La confidentialité signifie que les données ne peuvent être consultées ou transmises que par le personnel autorisé. Pour cela, il convient de définir clairement qui peut y accéder et comment. Cf. [5]. Contrôles Les contrôles sont des mesures qui permettent de réaliser les objectifs des mesures et de réduire de manière significative les risques liés à la sécurité de l’information. CSA Cloud Security Alliance

CSM Common safety method (méthode de sécurité commune [MSC]) de l’ERA (Agence de l’UE pour les chemins de fer) Cyberattaque Toute forme d’activité malveillante déclenchée intentionnellement par des personnes non autorisées et dirigée contre les technologies de l’information ou les personnes qui les utilisent. Cybermenace Toute circonstance ou tout événement susceptible d’engendrer un cyberincident. Cybersécurité Technologies, services, stratégies, pratiques et directives visant à protéger les systèmes ou les réseaux de technologie de l’information contre les attaques d’acteurs malveillants. Cyberincident Événement survenant lors de l’exploitation de moyens informatiques et susceptible de porter atteinte à la confidentialité, à l’intégrité ou à la disponibilité des informations ou à la traçabilité de leur traitement. Disponibilité Il s’agit de la capacité d’un système à remplir une fonction requise dans des conditions données, à un moment donné ou pendant un intervalle de temps donné, pour autant que les moyens nécessaires soient mis à disposition [5]. ECE Entité chargée de l’entretien Service chargé de la maintenance en matière de transport ferroviaire ENISA Agence européenne pour la cybersécurité

ERA Agence de l’UE pour les chemins de fer

ETF Entreprise de transport ferroviaire (au bénéfice d’une concession)

GI Gestionnaires d’infrastructure (des chemins de fer, à savoir les systèmes au sol) IDS Intrusion detection system (système de détection d’intrusion). Systèmes de détection d’accès non autorisés à des données ou à des ordinateurs. Intégrité Garantie de l’exactitude ou l’inaltération des données ainsi que du bon fonctionnement des systèmes.

24.06.2024 / version : V¹.1

ISACA Information Systems Audit and Control Association : association professionnelle internationale dont l’objectif est d’améliorer la gouvernance des systèmes d’information, notamment par l’amélioration des méthodes d’audit informatique. NCSC Centre national pour la cybersécurité, depuis le 1er janvier 2024 : Office fédéral de la cybersécurité OFCS. OCTSE Ordonnance sur la coordination des transports en vue de la maîtrise de situations exceptionnelles. OFCS Office fédéral de la cybersécurité

OFT Office fédéral des transports

Principe de droit d’accès mi- Un système ou une personne n’a accès qu’aux informations dont il ou elle a besoin pour accomplir ses tâches. Des tâches ou des rôles diffénimal (least-privilege) Prinrents entraînent des informations concernant le besoin de savoir diffécipe du besoin de savoir rentes et donc des profils d’accès différents. (need-to- know)

Principe « à vérification sys- Approche dans laquelle chaque accès aux ressources requiert une authentification. La fiabilité de chaque flux de données est ainsi vérifiée tématique » (zero trust en (cf. considération technologique principe « zero trust » sur anglais) https://www.ncsc.admin.ch/ncsc/fr/home/dokumentation/technologiebetrachtung.html). RS Recueil systématique (droit suisse) www.fedlex.admin.ch RTE Ouvrage de référence en matière de technique ferroviaire - ouvrage de référence de l’UTP. SCI Système de contrôle industriel – (industrial control system) ; utilisé dans le présent document comme synonyme des abréviations « TO » et « SCADA ». Sécurité de l’information La sécurité de l’information vise à garantir l’authenticité, la confidentialité, l’intégrité et la disponibilité des données traitées par un système d’information et de communication ou enregistrées dans celui-ci. Séparation des tâches (de Aussi connu comme « principe de la séparation des fonctions ». l’anglais segregation of duties [SoD])

SGI Le système de gestion intégré (de l’anglais, integrated management system [IMS]) regroupe dans une structure uniforme les méthodes et les instruments permettant de satisfaire aux exigences de différents domaines servant à la gouvernance d’entreprise (par ex. qualité, sécurité, sécurité de l’information, maintenance). L’exploitation des synergies et le regroupement des ressources offrent une gestion plus légère et plus efficiente que les systèmes de gestion individuels et isolés.

SGS Système de gestion de la sécurité selon [3]

SMSI Système de gestion de la sécurité de l’information (en anglais, ISMS Information Security Management System) – partie du système de gestion transversal, basé sur une approche des risques commerciaux, pour établir, mettre en œuvre, exploiter, surveiller, vérifier, maintenir et améliorer la sécurité de l’information. Le système de gestion comprend la structure organisationnelle, les directives, les activités de planification, les responsabilités, les pratiques, les processus et les ressources. SR System requirement (exigences système) selon CLC/TS50701, tableau 6 [11], resp. IEC 62443-3-3 [12]

24.06.2024 / version : V¹.1

STRIDE Spoofing (usurpation) Tampering (falsification) Repudiation (incapacité de vérifier l’origine et l’intégrité des données) Information disclosure (divulgation d’information) Denial of service (déni de service) Elevation of privilege (augmentation des privilèges) Systèmes / applications trai- Systèmes et applications dans lesquels les informations sont traitées ou stockées. tant des informations

TI Technologie de l’information Toutes les techniques, le matériel et les logiciels utilisés en rapport avec le traitement électronique des données. Pour les comparaisons entre TI/TIC et TO, cf. manuel UTP, tableau 5 [13]. TIC Technologies de l’information et de la communication – technologies utilisées pour gérer des processus de communication tels que les télécommunications, la radiodiffusion, les systèmes intelligents de gestion des bâtiments, les systèmes de traitement et de transmission audiovisuels et les fonctions de contrôle et de surveillance basées sur les réseaux. TO Technologie opérationnelle désigne le matériel et les logiciels qui surveillent et pilotent les performances des appareils physiques. Dans le passé, la TO concernait principalement les systèmes de pilotage et de surveillance dans les entreprises de fabrication, de transport et d’approvisionnement. Pour les comparaisons entre TI et TO, cf. manuel UTP, tableau 5 [13]. UTP Union des transports publics (www.voev.ch)

D’autres explications concernant les cyber-termes sont disponibles sur https://www.ncsc.admin.ch/ncsc/fr/home/glossaire.html ainsi que dans différentes normes.

24.06.2024 / version : V¹.1

10 Annexe 1 – Système de gestion intégré et SMSI

Un système de gestion intégré (SGI) permet de regrouper les instruments existants prévus pour répondre aux exigences de différents domaines dans une structure uniforme et plus légère. Une présentation plus globale permet d’exploiter les synergies et de regrouper les ressources.

Les systèmes de gestion suivants disposent d’interfaces et donc d’un potentiel de synergie :

• Système de gestion de la sécurité (CSM SGS)

• Système de gestion de la qualité (QMS)

• Système de gestion de la maintenance ECE (CSM ECE)

• Système de gestion de la conformité (de l’anglais, compliance management system [CMS])

• Système de gestion des risques (SGR)

• Système de contrôle interne (SCI)

Figure 1 - SGI typique d’une moyenne ou grande entreprise de transport lié aux processus de l’entreprise, aux normes/standards avec exigences sécuritaires

Du point de vue de la sécurité, les SMSI et les systèmes de gestion de la sécurité (SGS) ont une interface commune. Les deux systèmes visent à réduire avant tout les risques afin d’améliorer continuellement le niveau de sécurité. Pour ce faire, il s’agit d’identifier les risques et les actifs critiques en amont et de les communiquer.

L’interface la plus importante entre un SMSI et un SGS est donc la gestion des risques. Les conclusions issues de l’analyse des menaces par un SMSI doivent être intégrées dans la gestion des risques du SGS, conformément à la Figure 2. Les risques jugés pertinents pour la sécurité doivent être consignés dans le journal des menaces (cf. hazard-log selon la norme SN EN 50126:2017).

24.06.2024 / version : V¹.1

* https://www.era.europa.eu/domains/common-safety-methods/safety-management-system-requirements-csm_en

Figure 2 – Rapports entre SMSI et SGS (illustration simplifiée avec l’interface SMSI - SGS la plus importante)

24.06.2024 / version : V¹.1

11 Annexe 2 – Aperçu de la norme ISO/IEC 27001 et ISO/IEC 27002

La série de normes ISO/IEC 27000 englobe plusieurs normes partielles sur le thème de la gestion de la sécurité de l’information. La norme ISO/IEC 27001 est la norme centrale. Elle se compose d’une partie principale avec des exigences générales pour un SMSI et une vaste annexe A avec des objectifs de mesures spécifiques. Le champ d’application d’un SMSI porte généralement sur l’ensemble de l’entreprise. Les tâches importantes d’un SMSI sont :

• Formulation d’objectifs en matière de sécurité

• Détermination des actifs

• Évaluation des risques

• Traitement des risques

• Amélioration continue (par ex. selon le cycle PDCA – plan-do-check-act)

Selon la norme ISO/IEC 27001, toutes les informations, données et systèmes de traitement de données pertinents d’une entreprise doivent être saisis ou inventoriés. Les informations, données ou systèmes informatiques de même valeur et présentant des risques comparables peuvent être regroupés et considérés comme une seule valeur.

L’annexe A de la norme ISO/IEC 27001:2022 est un catalogue constitué de quatre thèmes sécuritaires (control clauses) de 93 contrôles. Les quatre thèmes sécuritaires sont :

• Organizational controls – mesures organisationnelles (5.1 à 5.37)

• People controls – mesures personnelles (6.1 à 6.8)

• Physical controls – mesures physiques (7.1 à 7.14)

• Technological controls – mesures technologiques (8.1 à 8.34)

Les explications concernant la mise en œuvre des 93 contrôles et des exemples de mesure se trouvent dans la norme ISO 27002.

L’annexe A de la norme ISO/IEC 27002:2022 présente les contrôles sous forme de matrice avec leurs valeurs d’attribut respectives. La matrice permet de regrouper et de filtrer les exigences de sécurité auxquelles une entreprise doit satisfaire.

Des informations complémentaires sur les normes et les standards sont disponibles dans le manuel sur la cybersécurité destiné aux entreprises de transports publics (ch. 6.2 [13]) et sur différents sites Web21.

21 Par exemple : https://en.wikipedia.org/wiki/IT_security_standards (en anglais)

24.06.2024 / version : V¹.1

12 Annexe 3 – Auxiliaires pour la mise en œuvre d’un SMSI

Auxiliaire Remarque Manuel sur la cybersécurité destiné aux entreprises Le manuel UTP sert d’introduction à la sécude transports publics (manuel UTP de 2020) [13] rité de l’information dans le secteur des transports publics et permet aux entreprises de procéder à une auto-évaluation. Le manuel est basé sur la norme minimale TIC intersectorielle de l’Office fédéral pour l’approvisionnement économique du pays Implementierungsleitfaden ISO/IEC 27001:2022 de Sert d’auxiliaire en vue de l’implémentation l’ISACA (cf. [17] ; en allemand) d’un SMSI. ICS Security Kompendium (en allemand et en an- L’ICS Security Kompendium de l’Office féglais) : déral (allemand) de la sécurité des technolohttps://www.bsi.bund.de/DE/Themen/Unternehmen-und- gies de l’information (BSI) est un ouvrage de Organisationen/Informationen-und-Empfehlungen/Emp- base pour la sécurité informatique dans les

Gestion des points faibles et des fournisseurs : ENISA : - Good Practices for Supply Chain Cybersecurity - Threat Landscape for Supply Chain Attacks CISA : - Known Exploited Vulnerabilities Catalog Menaces actuelles : Une fois inscrites, les entreprises peuvent OFCS : https://www.ncsc.admin.ch se connecter au Cyber Security Hub. Internet Storm Center : https://isc.sans.edu/ L’OFCS (NCSC) y fournit des informations sur les menaces actuelles et les points faibles. Les utilisateurs enregistrés ont la Tendances des menaces : possibilité d’échanger activement des informations sur cette plate-forme. Les de- ENISA : Foresight Cybersecurity Threats For 2030 mandes d’enregistrement peuvent être transmises à l’OFCS via l’adresse électronique suivante : useraccounts@ncsc.admin.ch Adversarial tactics, techniques, and common know- En termes de tactiques, on fait la distinction ledge (ATT&CK) entre Enterprise, Mobile et ICS (systèmes MITRE ATT&CK est un guide qui propose une classifica- de contrôle industriels). tion et une description des cyberattaques et des intru- Il existe un navigateur ATT&CK basé sur le sions. Il a été élaboré par Mitre Corporation, publié en Web pour commenter et explorer les ma- 2013 puis perfectionné. trices ATT&CK. Il peut être utilisé pour vi- Voir https://attack.mitre.org/ sualiser la couverture défensive, la planification des équipes rouges/bleues, la fréquence des techniques découvertes et plus encore.

Indicators of Compromise (IoC) Database : https://threatfox.abuse.ch/browse/ Auxiliaires pour des analyses des risques (risk as- Cf. également : sessments) : https://www.enisa.europa.eu ⎝ risk man-

• ISO/IEC 27005:2022 agement

• IEC 62443-3-2

• CLC/TS 50701, chap. 6 et 7

• STRIDE

22 https://www.bwl.admin.ch

24.06.2024 / version : V¹.1

et spécifiquement ferroviaire : https://www.enisa.europa.eu/publications/railway-cybersecurity-good-practicesin-cyber-risk-management Auxiliaires en matière de segmentation des réseaux :

• IEC 62443-3-2 et IEC 62443-3-3

• CLC/TS 50701

• Zoning and Conduits for Railways (ENISA, ER-ISAC) NIST Cryptography : www.nist.gov/cryptography (en anglais)

Recommandations du BSI concernant les procédures de chiffrement et les longueurs de clé : Informations concernant les normes de chifhttps://www.bsi.bund.de/DE/Themen/Unternehmen-und- frement.

IEEE Cryptography : https://standards.ieee.org/ (en anglais) Protection par mot de passe et informations complé- Notamment des indications utiles concermentaires sur la sensibilisation des collaborateurs : nant le choix des mots de passe. https://www.passwortcheck.ch/ https://www.s-u-p-e-r.ch/fr/tipps/e-comme-equiper/ Auxiliaire permettant de déterminer la maturité de la RAILplus dispose de son propre outil pour cybersécurité d’une organisation : déterminer la maturité de la sécurité de l’in- Norme minimale pour les TIC formation. Auxiliaires sur le sujet du cloud :

• Cloud Security Alliance (en anglais)

• ENISA : Cloud Cybersecurity Market Analysis (en anglais)

• BSI : Mindeststandard des BSI zur Nutzung externer Cloud-Dienste (en allemand et anglais uniquement)

• BSI : Kriterienkatalog C5 (cloud computing compliance criteria catalogue) ; en anglais et en allemand Tableaux de mapping pour différentes normes : Il n’est pas toujours garanti que les tableaux

• Norme minimale pour les TIC – outil d’évaluation de mapping soient à jour.

• Mapping-Tabelle zwischen ISO/IEC 27019:2020 und ISO/IEC 27002:2022 der Bundesnetzagentur (en allemand et en anglais)

• Mapping of OES security requirements to specific sectors, de l’ENISA (en anglais) Autres auxiliaires : cf. https://www.ncsc.admin.ch/ncsc/fr/home/infos-fuer/infos-unternehmen.html

De nombreux auxiliaires concernant la cybersécurité proviennent de sources publiques et sont plus ou moins mis à jour. Le secteur propose également de plus en plus d’auxiliaires.

La présente annexe est tenue à jour sur le site Web de l’OFT.

24.06.2024 / version : V¹.1

13 Annexe 4 – liste de contrôle et demande d’exemption de l’obligation de devoir mettre en place un SMSI pour des ETF et des GI

Nom de l’entreprise IDE23 ☐ ETF ☐ GI

☐ Cersec / Agsec Interlocuteur (Prénom, nom de famille, courriel, n° de téléphone, fonction) ont été demandés en commun

N° Point de contrôle Réponse Commentaires / références

1 Nous utilisons les systèmes / véhicules ferroviaires suivants qui

entrent dans le champ d’application des DE-OCF :

2 Il existe des interfaces numériques avec les systèmes d’exploitation et techniques suivants

(en particulier avec les systèmes d’arrêt automatique et de contrôle de la marche des trains)24 :

Remarque : veuillez également décrire le type d’interface (par ex. interface TCP/IP).

3 Nous dépendons des prestataires

de services suivants pour l’exploitation des systèmes mentionnés au point de contrôle n°225 :

4 Les prestataires de services (vi- ☐ Oui

sés au point de contrôle n°3) ☐ Non sont-ils tenus par contrat de res- Si oui, quelles exigences minimales ? pecter les exigences minimales de cybersécurité pour leur part de Remarques : livraison ?

5 Sans nos systèmes Nombre d’heures :

informatiques26, nous pouvons maintenir nos activités pendant ... Motif : heures.

23 Numéro d’identification des entreprises

24 La figure 5 dans le manuel de l’UTP [13] peut servir d’aperçu.

25 Les prestataires de services envisageables sont en premier lieu ceux des domaines des TI et des TO ainsi que les propriétaires d’installations et de

matériel roulant loués. 26 Les systèmes informatiques comprennent entre autres l’informatique d’entreprise et le stockage des données.

24.06.2024 / version : V¹.1

N° Point de contrôle Réponse Commentaires / références

Systèmes informatiques pertinents pour l’exploitation (par ex. système de gestion du trafic) :

6 Nous avons pris les mesures suivantes pour que les informations

enregistrées numériquement et pertinentes pour notre exploitation et notre maintenance soient disponibles à tout moment27‫ ؘ‬: 7 Nous avons prévu les modifications/renouvellements suivants, qui sont / pourraient être pertinents en matière de cybersécurité.

8 Bases existantes (par ex. analyses des risques, descriptions de

systèmes) qui sont utiles pour l’évaluation de la présente demande (veuillez les joindre) :

9 Le requérant doit justifier pourquoi la mise en place et la maintenance d’un SMSI ne sont pas

jugées nécessaires pour son entreprise :

Critères de dérogation à l’obligation de disposer d’un SMSI :

1 Le besoin de protection de l’information des systèmes TI et TO existants du requérant pour un

fonctionnement sûr et fiable (criticité).

1. Importance du requérant (ETF ou GI) pour l’approvisionnement économique du pays et ses rapports avec les autres entreprises de transport.

2. Possibilités d’atteindre les objectifs de sécurité sans SMSI avec les systèmes de gestion existants tels que le SGS.

Remarques : la demande d’exemption de l’obligation de disposer d’un SMSI doit être renouvelée tous les cinq ans, et ce, idéalement en coordination avec les processus Cersec/Agsec. Si le requérant effectue des modifications pouvant avoir une incidence sur la cybersécurité, une demande actualisée doit être soumise à l’OFT au plus tard au moment de la mise en service de la modification.

Lieu, date :

Nom, Prénom et signature28 :

27 Par ex. copie de secours hors ligne, qui est régulièrement vérifiée

28 Responsables au sens de l’art. 14, al. 4, OCF ; RS 742.141.1

24.06.2024 / version : V¹.1

24.06.2024 / version : V¹.1

14 Répertoire des modifications

Modification Chapitre Motif de la modification / explications N° Date Version 1 27.03.2024 1.1 Page de Adaptation en raison de la modification de l’OCF et des 2 27.03.2024 1.1 Page 2 Adaptation de la date et de l’historique des modifications. 3 27.03.2024 1.1 Chap. 2 Adaptation en raison de la modification de l’OCF et des 4 27.03.2024 1.1 Chap. 3 Adaptation en raison de la modification de l’OCF et des NIST CSF, passage de la version 1.1 à la version 2.0 et adaptation des liens qui ont changé. Référence à la nouvelle réglementation D RTE 28100. 5 27.03.2024 1.1 Chap. 4 Adaptation en raison de la modification de l’OCF et des 6 13.02.2024 1.1 Chap. 5 Adaptation en raison de la modification de l’OCF et des Compléments concernant la demande d’exonération de l’obligation de disposer d’un SMSI. 7 27.03.2024 1.1 Chap. 7 Adaptation en raison de la modification de l’OCF et des NIST CSF, passage de la version 1.1 à la version 2.0 Adaptation de divers renvois dans la colonne « Contrôle » au chap. 8. 8 19.06.2024 1.1 Chap. 7 A-07: NIST CSF GV.SC-01 (nouveau) 9 27.03.2024 1.1 Chap. 8 NIST CSF, passage de la version 1.1 à la version 2.0, y c. les contrôles qui ont changé avec la version 2.0. 10 19.06.2024 1.1 Ch. 8.1 B-05: NIST CSF: GV.PO-02 (nouveau) B-07: NIST CSF: DE.CM (nouveau) + ID.AM-03 (nouveau) B-08: NIST CSF: ID.IM-03 (nouveau) B-09: NIST CSF: ID.IM-02 (nouveau) B-11: Référence à la nouvelle réglementation D RTE 28100. B-17: NIST CSF: PR.DS-02 (nouveau) + PR.DS-10 (nouveau) 11 15.05.2024 1.1 Ch. 8.1 B-09 : Renvoi à l’OCTSE au lieu de l’OTPE qui sera abrogée au 1.08.2024. 12 15.05.2024 1.1 Chap. 9 Complément ou adaptation de différentes entrées.

13 27.03.2024 1.1 Annexe 1 La dernière phrase du paragraphe sous la figure 1 a été complétée par « actifs critiques » Figure 2 : adaptation du référencement et du titre (le terme « interface » est désormais utilisé au lieu de « jonction » afin d’être conforme avec les DE-OCF). 14 27.03.2024 1.1 Annexe 3 Différents compléments et mises à jour 15 13.02.2024 1.1 Annexe 4 Adaptation de quelques compléments, précisions et formatages mineurs 16 21.06.2024 1.1 Différents Changement de l'abréviation SGSI en SMSI, en conforchap. mité avec la norme ISO 27001:2022 et les DE-OCF:2024

24.06.2024 / version : V¹.1