.svg)
.png)
Le décret danois sur la résilience et la préparation dans le secteur de l'énergie (Bekendtgørelse om modstandsdygtighed og beredskab i energisektoren) établit des exigences contraignantes pour la manière dont les entreprises énergétiques critiques gèrent la résilience, la préparation et la réponse aux crises. Il constitue la mise en œuvre sectorielle spécifique du Danemark de la directive européenne sur la sécurité des réseaux et des systèmes d'information 2 (NIS2) et de la loi sur la résilience des entités critiques (CER) pour l'énergie.
Plutôt que de transposer la directive NIS2 et le règlement CER dans un seul acte législatif, le Danemark intègre les obligations dans la législation énergétique existante et dans des décrets d'application spécifiques gérés par l'Agence danoise de l'énergie. Cette approche intègre la cybersécurité, la protection physique et la préparation opérationnelle dans un cadre réglementaire unifié adapté au système énergétique.
L'ordonnance s'applique principalement aux gestionnaires de réseaux de transport et de distribution, aux grands producteurs et aux exploitants d'infrastructures énergétiques critiques. Elle impose des obligations claires en matière de gouvernance à la direction, exige des évaluations structurées des risques et la planification de la préparation, impose des mesures techniques et organisationnelles et établit des obligations en matière de gestion et de notification des incidents. La surveillance est fondée sur les risques et des pouvoirs coercitifs sont disponibles en cas de non-respect des obligations.
Champ d'application et fonctions couvertes
L'ordonnance s'applique aux infrastructures et aux activités qui font partie du système énergétique danois, quel que soit leur propriétaire. Cela inclut les interconnexions transfrontalières et les actifs partagés, dans la mesure où des entités danoises les exploitent ou en sont responsables. Les systèmes énergétiques sont considérés comme interconnectés et les incidents peuvent se propager au-delà des frontières.
Le cadre prend également en compte l'interface entre les entreprises énergétiques et d'autres secteurs critiques tels que les télécommunications, la finance et les transports. Les entreprises doivent comprendre leur dépendance vis-à-vis des réseaux et services externes qui soutiennent les systèmes de contrôle et les opérations de marché. Cette perspective influence les évaluations des risques et la planification de la continuité. Elle éclaire également la coopération avec les autorités dans le cadre des structures nationales et régionales de planification d'urgence.
Les organisations qui ne relèvent pas directement de son champ d'application peuvent utiliser cette directive comme référence en matière de résilience et d'alignement sur la norme NIS2 et ISO 22301.
Objectifs et principes
Le décret s'appuie sur la loi danoise sur l'approvisionnement en électricité et la législation connexe sur le gaz et le chauffage urbain. Il attribue des responsabilités aux entités concernées et clarifie le rôle de l'Agence danoise de l'énergie et des opérateurs de réseau. Il établit un lien entre la préparation traditionnelle aux situations d'urgence et les menaces cybernétiques et hybrides.
La commande comporte cinq objectifs principaux :
- nécessite une gouvernance claire et une responsabilité de gestion
- exige des évaluations systématiques des risques et des vulnérabilités
- nécessite des plans réalistes de préparation et de continuité
- définit les attentes en matière de mesures de protection techniques et organisationnelles
- définit la gestion des incidents, la notification et l'amélioration continue dans l'ensemble du secteur.
Responsabilité de gestion et gouvernance
Les conseils d'administration et les équipes de direction assument la responsabilité ultime. La direction doit approuver les politiques, les évaluations des risques et les plans d'urgence. Elle doit allouer des ressources à la prévention, à la préparation, aux exercices et à la formation. Les lignes hiérarchiques entre les opérations et la direction doivent être définies et utilisées.
Les entreprises doivent désigner un responsable de la préparation et nommer des propriétaires de systèmes pour les installations critiques. Les équipes de gestion de crise doivent être documentées avec leurs rôles, leurs adjoints et leurs voies de communication. Les politiques et procédures doivent couvrir les risques, la continuité, la préparation et la coopération entre les autorités. La formation doit garantir que le personnel connaisse ses rôles tant dans les opérations quotidiennes que dans les situations de crise.
Évaluation des risques et des vulnérabilités
Les entreprises doivent réaliser des évaluations structurées des risques et des vulnérabilités. Le champ d'application comprend les pannes d'équipement, les risques naturels, les cyberattaques, le sabotage et les défaillances en cascade provenant d'autres secteurs. Les évaluations doivent tenir compte de la probabilité et des conséquences pour les services essentiels.
Les actifs critiques et les points de défaillance uniques doivent être identifiés. Les aspects cybernétiques et physiques doivent être évalués conjointement pour les systèmes de contrôle et les dispositifs de terrain. Les résultats doivent orienter les investissements et le choix des contrôles. Les autorités peuvent demander à avoir accès aux évaluations afin de faciliter la supervision et l'analyse des risques sectoriels.
Planification de la préparation et de la continuité
Les entreprises doivent maintenir à jour leurs plans de préparation et de continuité. Ces plans doivent définir les critères d'activation, les rôles, les voies de communication et la coordination avec les opérateurs de systèmes et les autorités. Ils doivent décrire comment maintenir un niveau de service minimum et comment rétablir le fonctionnement normal.
Les plans doivent tenir compte de la perte des systèmes de contrôle primaires, des dommages causés aux sous-stations ou aux pipelines clés, des pannes à grande échelle et des incidents cybernétiques importants. Les plans doivent inclure des procédures de secours telles que le contrôle local ou le fonctionnement manuel et doivent identifier des itinéraires d'approvisionnement alternatifs lorsque cela est possible. Les plans doivent être réalistes, testés et alignés sur les concepts régionaux et nationaux.
Protection technique des actifs et systèmes critiques
Les entreprises doivent protéger les sites critiques à l'aide de mesures de sécurité physique appropriées et d'une conception robuste. Cela inclut les contrôles périmétriques, la gestion des accès, la surveillance et la détection des intrusions. Les niveaux de protection doivent correspondre à l'importance des actifs et aux niveaux de menace actuels.
Les technologies opérationnelles nécessitent des architectures sécurisées et une segmentation par rapport à l'informatique d'entreprise. Les systèmes de contrôle doivent être dotés d'un système d'authentification forte, d'un journalisation et d'une surveillance des communications. Les fonctions critiques de contrôle et de communication doivent être sauvegardées et redondantes. Des pièces de rechange et des capacités de réparation doivent être disponibles lorsque les délais d'approvisionnement sont longs.
Préparation et coopération organisationnelles
La gestion de crise doit être prête à être activée à tout moment. Les entreprises ont besoin de listes de contacts à jour, de procédures d'appel et d'une réponse 24 heures sur 24, 7 jours sur 7, si nécessaire. Les rôles stratégiques, opérationnels et de communication doivent être clairs.
La coopération est attendue. Les entreprises doivent participer à des forums sectoriels sur la préparation, partager les informations pertinentes sur les menaces et prendre part à des exercices conjoints. La coordination entre les réseaux et les régions est essentielle pour faire face aux perturbations à grande échelle. La coopération avec les autorités publiques favorise la cohérence de la communication publique et de l'allocation des ressources.
Gestion et notification des incidents
Les entreprises doivent détecter et gérer rapidement les incidents. La surveillance, les alarmes et les rapports du personnel doivent faciliter la détection précoce. Les incidents doivent être classés, stabilisés et transmis à la gestion de crise lorsque les seuils sont atteints.
Les incidents graves doivent être signalés à l'Agence danoise de l'énergie ou aux opérateurs de réseau désignés. Les critères concernent l'ampleur, la durée, l'impact sur les clients critiques et le risque d'escalade. Les alertes initiales doivent être suivies de mises à jour sur la situation et d'un rapport final. Les notifications doivent décrire ce qui s'est passé, les zones touchées, l'évolution prévue, les mesures prises et les besoins en matière d'assistance.
Amélioration continue
Les exercices sont obligatoires. Les entreprises doivent organiser des exercices internes et participer aux exercices sectoriels ou nationaux lorsqu'elles y sont invitées. Il est recommandé de combiner des simulations sur table, des exercices de communication et des exercices opérationnels en conditions réelles.
Les scénarios doivent être réalistes et inclure des événements s'étalant sur plusieurs jours, des incidents physiques et cybernétiques combinés, ainsi que la perte de personnel ou d'installations clés. Chaque exercice doit comporter des objectifs, une évaluation et des mesures d'amélioration. Les enseignements tirés doivent permettre de mettre à jour les plans, de clarifier les rôles et d'affiner les mesures techniques et organisationnelles.
Documentation, amélioration et harmonisation
Les travaux de préparation doivent être documentés. Cela comprend les évaluations des risques, les plans, les rapports d'exercices et les analyses d'incidents. Les entreprises doivent vérifier si les mesures restent adéquates à mesure que les menaces, les technologies et les systèmes évoluent.
Cette directive s'aligne sur des cadres connexes tels que le code de réseau européen sur les situations d'urgence et la restauration et la directive européenne sur la sécurité des réseaux et des systèmes d'information (NIS2). Elle harmonise les cadres internes afin que la résilience, la cybersécurité et la gestion des risques opérationnels se renforcent mutuellement. Cela permet de réduire les doublons et de renforcer la sécurité de l'approvisionnement.
Comment mettre en œuvre le décret sur la résilience énergétique dans votre organisation
La plupart des entreprises peuvent mettre en œuvre la commande en suivant une procédure en trois étapes. Cela permet de créer les artefacts attendus par les autorités et d'améliorer la résilience réelle. Une bonne approche consiste à utiliser un SGSI comme Cyberday gérer le travail.
Portée et carte
Définissez les actifs, les systèmes et les processus concernés. Cartographiez les services critiques, les centres de contrôle, les sous-stations, les pipelines, les liaisons de télécommunication et les actifs transfrontaliers. Identifiez les dépendances vis-à-vis des télécommunications, des technologies de l'information et des principaux fournisseurs. Nommez les propriétaires des systèmes et les rôles en cas de crise. Cela constituera votre base en matière de gouvernance et d'actifs.
Évaluer et planifier
Réalisez une évaluation structurée des risques et des vulnérabilités liés aux menaces cybernétiques et physiques. Identifiez les points de défaillance uniques et les scénarios à fort impact. Rédigez ou mettez à jour des plans de préparation et de continuité avec des critères d'activation, des modes de secours, des voies de communication et des objectifs de restauration. Définissez les mises à niveau techniques et organisationnelles avec les responsables et les délais.
Exercice et preuves
Effectuez des exercices ciblés pour tester la prise de décision, la communication et la bascule technique. Comblez les lacunes et mettez à jour les manuels d'exploitation. Créez un journal des incidents et un workflow des leçons apprises. Conservez les documents versionnés et accessibles. Préparez un manuel de notification avec des critères, des modèles et des arborescences de contacts.
Cyberday vous aider dans ces étapes grâce à des bibliothèques de tâches prêtes à l'emploi, des modèles de risques et de plans, des flux de travail basés sur les rôles et la collecte centralisée de preuves. Il prend également en charge la mise en correspondance de votre travail avec les normes NIS2 ou ISO 22301 afin d'éviter les doublons.
Pourquoi le décret sur la résilience énergétique est important pour la cyber-résilience et la conformité
Les opérations énergétiques dépendent d'une connaissance précise de la situation et d'une réponse reproductible. L'ordre impose une clarté sur les actifs critiques, les dépendances et les modes de secours. Cette clarté réduit la probabilité et l'impact des pannes. Elle améliore également la reprise en définissant les rôles, les voies de communication et les manuels techniques.
Une mise en œuvre rigoureuse facilite les négociations contractuelles, l'exploitation des interconnexions et renforce la confiance des régulateurs. Elle permet d'instaurer un climat de confiance avec les clients, les partenaires et les investisseurs. Elle s'aligne également sur la directive NIS2 et les règles de l'UE en matière d'urgence et de rétablissement. Cet alignement réduit les audits redondants et améliore la qualité des décisions prises lors d'événements stressants.
FAQ
Voici les questions que les organisations posent souvent :
Quelles entités sont directement concernées par l'ordonnance ?
Les gestionnaires de réseaux de transport et de distribution, les grands producteurs d'électricité et de chaleur et les gestionnaires d'infrastructures gazières critiques sont généralement concernés. Certaines fonctions spécifiques des centres de contrôle et des marchés peuvent également être couvertes. Vérifiez le texte de l'arrêté et les orientations sectorielles pour connaître les catégories exactes.
Comment devons-nous traiter les dépendances vis-à-vis des fournisseurs de télécommunications ou informatiques ?
Identifiez les liaisons télécoms et informatiques qui prennent en charge les centres de contrôle et les sites sur le terrain. Intégrez-les dans les évaluations et les plans de gestion des risques. Définissez des exigences contractuelles en matière de disponibilité, de notification des incidents et de participation aux exercices.
Quel niveau de détail les plans de préparation doivent-ils comporter ?
Les plans doivent être réalisables. Incluez les critères d'activation, les rôles, les droits de décision, les voies de communication et les procédures de secours. Joignez les manuels techniques pour le contrôle local, le fonctionnement manuel et la restauration du système.
À quelle fréquence devrions-nous faire de l'exercice ?
Organisez au moins un exercice structuré par an. Augmentez la fréquence en cas de changements majeurs ou après des incidents importants. Utilisez une combinaison d'exercices sur table, de communication et d'exercices techniques en conditions réelles. Suivez les enseignements tirés et les mesures prises.
Qu'est-ce qui déclenche la notification à l'Agence danoise de l'énergie ou aux opérateurs de réseau ?
Signalez les incidents graves ou qui s'aggravent et qui ont un impact significatif sur la sécurité de l'approvisionnement ou sur des clients critiques. Utilisez des critères et des voies de communication prédéfinis. Envoyez rapidement une première alerte, puis faites suivre des mises à jour et un rapport final.
Quel est le rapport avec la NIS2 ?
Le décret met l'accent sur la résilience du secteur et la sécurité de l'approvisionnement. Le NIS2 se concentre sur la sécurité des réseaux et des systèmes d'information et la notification des incidents dans tous les secteurs. Aligner les contrôles et les processus afin qu'un seul ensemble de preuves puisse étayer les deux régimes.
Rendre la résilience énergétique opérationnelle avec moins d'efforts
Si vous êtes en train de créer ou de développer votre programme, Cyberday vous aide à aller plus vite avec moins de feuilles de calcul. Utilisez les ensembles de tâches Energy Resilience Order, les modèles de risques et de plans, les workflows de rôles et les preuves centralisées pour être prêt pour les audits tout en améliorant votre résilience réelle. Cartographiez une seule fois et réutilisez dans NIS2 et ISO 22301 pour gagner du temps.
