Adrian, le standard minimal TIC est obligatoire depuis juillet 2025 – nous sommes maintenant presque un an plus tard. Comment s'est passée cette première année dans la pratique ? Le secteur a-t-il réussi à s'adapter, ou de nombreux fournisseurs accusent-ils encore du retard ?
Adrian Märklin: Atteindre le niveau de maturité TIC requis n'est pas un sprint. Après un premier audit et l'identification des lacunes, vient la phase de mise en œuvre, qui doit souvent d'abord être budgétisée et approuvée. Cela peut facilement prendre deux ans.
La répartition en trois niveaux de protection devait faciliter la mise en œuvre pour les petits fournisseurs. Cela a-t-il fonctionné – ou constates-tu encore des lacunes importantes, notamment chez les petits services industriels et communaux ?
Adrian Märklin: L'échelonnement des niveaux de protection est judicieux et va dans le sens des petits établissements. Des lacunes existent quelle que soit la taille des entreprises. Leur correction est plus simple dans les petites structures, car la complexité est moindre et les circuits de décision plus courts.
IT vs. OT – un an plus tard SCADA, comptage intelligent, équipements opérationnels connectés – c'était un territoire inconnu pour de nombreuses entreprises. Qu'est-ce qui a concrètement changé dans la sécurisation OT au cours de la dernière année – et où les problèmes persistent-ils ?
Adrian Märklin: Le manque de visibilité sur les équipements dans les réseaux OT est fréquent. On ne peut protéger que ce que l'on connaît et dont on peut observer les communications. La surveillance passive des équipements OT basée sur leur communication réseau nécessite généralement de nouveaux capteurs dans des réseaux segmentés.
De nombreux fournisseurs de gaz du réseau Swisspower sont gérés par des communes, souvent avec de petites équipes informatiques. Qui a réussi à mettre en œuvre les exigences de manière autonome – et qui a eu besoin d'un soutien externe ?
Adrian Märklin: Les grandes entreprises disposent davantage des ressources et de l'expertise nécessaires pour respecter le standard minimal TIC. Un audit devrait toutefois toujours être réalisé par des tiers externes. Une organisation bien préparée permet de gagner du temps lors de l'audit.
Parmi les 108 mesures, lesquelles ont donné le plus de fil à retordre aux entreprises ? Et y en a-t-il pour lesquelles le secteur n'est toujours pas là où il devrait être ?
Adrian Märklin: Les 108 contrôles sont répartis en cinq modules. Les modules Detect (détection) et Protect (protection) sont les plus exigeants sur le plan technique. Dans le module React (réaction), les documentations font souvent défaut. Nous constatons le plus souvent des besoins dans la gestion des actifs, la transparence des réseaux OT, l'accès à distance centralisé et les journaux système centralisés. La formation des collaborateurs en matière de cybersécurité s'améliore.
Gestion des urgences – a-t-elle été testée ? Les plans d'urgence doivent être régulièrement exercés. Swisspower a-t-elle réalisé des exercices concrets – et qu'est-ce que la pratique a révélé que le papier ne laissait pas voir ?
Adrian Märklin: La réalisation d'exercices sur table (table-top exercises), c'est-à-dire de simulations de crise, ne fait pas partie de notre audit. Le standard minimal TIC exige toutefois ces exercices de manière périodique. Ce que nous entendons de ces exercices sous pression est, disons… « très instructif ». La deuxième fois se passe déjà mieux.
Qui est tout juste conforme aujourd'hui pourrait ne plus l'être demain. Que conseilles-tu aux responsables du secteur – quels sont les prochains points à l'agenda, et à quoi les services industriels devraient-ils déjà se préparer ?
Adrian Märklin: La cybersécurité n'est pas un projet, c'est un processus. Il est essentiel que toute modification ou extension soit toujours réalisée conformément au standard minimal TIC. Nous recommandons un nouvel audit tous les deux à trois ans.
Du point de vue de Swisspower, la première année suivant l'introduction du standard minimal TIC le confirme : le secteur est sur la bonne voie, mais doit encore faire face à des tâches de mise en œuvre essentielles. Des besoins d'action subsistent notamment en matière de transparence dans les systèmes OT, de protection des infrastructures critiques et d'ancrage durable de la cybersécurité. Une chose est claire : la cybersécurité n'est pas un projet ponctuel, mais un processus continu. Swisspower continuera à soutenir ses partenaires dans la mise en œuvre efficace des exigences et dans le renforcement à long terme de leur résilience face aux cyberrisques.