- L’utilisation du cloud est autorisée à condition que la disponibilité, la fiabilité et la sécurité soient garanties après évaluation des risques.
- Neuf exigences requièrent une gouvernance du cloud : analyse de scénario, évaluation des risques, instance de décision, dispositions contractuelles et documentation.
- L’OFT supervise la mise en œuvre à l’avenir, en mettant l’accent sur la gestion des fournisseurs et la gestion de la continuité des activités.
Le site Office fédéral des transports OFT a lancé le 23 avril 2025 un Lettre de branche sur le Cloud Computing pour les applications ferroviaires a été envoyée aux entreprises ferroviaires. La lettre concrétise les directives existantes de la Ordonnance sur les chemins de fer (EBV) et la Dispositions d’exécution (AB-EBV) pour l’utilisation du cloud.
Les directives existantes ne réglementent pas explicitement le cloud computing. L’utilisation de clouds dans les applications ferroviaires est donc autorisée si les exigences générales, notamment en matière de disponibilité, de fiabilité et de sécurité, sont remplies. L’OFT exige en conséquence un examen, entre autres, du risque de panne du cloud avant son utilisation. L’OFT formule ensuite neuf exigences (Cloud‑1 à Cloud‑9) qui exigent des entreprises recensées une gouvernance du cloud et qui peuvent être généralisées au-delà du domaine ferroviaire :
- Analyse de scénarios (Cloud‑1) : Les scénarios d’incidents ayant des conséquences sur la sécurité ou la disponibilité doivent être systématiquement identifiés. Il faut notamment prendre en compte, en tenant compte de l’ensemble de la chaîne d’approvisionnement, les pannes d’origine technique, les pannes dues à des actions erronées, les cyberincidents (y compris les sabotages et les attaques d’initiés) ainsi que les interruptions volontaires du service par le fournisseur de services, par exemple sur ordre d’une instance politique.
- Évaluation des risques (Cloud‑2 à Cloud‑4) : La probabilité et l’ampleur des incidents identifiés doivent être déterminées, des mesures de compensation (niveaux de repli) doivent être étudiées pour garantir l’exploitation ferroviaire et, compte tenu de l’importance systémique de l’entreprise, il convient d’évaluer si le risque résiduel peut être accepté.
- Gouvernance (Cloud‑5) : La décision d’utiliser le cloud doit être prise sur la base de l’évaluation des risques par une instance appropriée de l’entreprise. Cette décision doit être revue périodiquement et en cas de changements pertinents.
- Rédaction de contrats (Cloud‑6) : Les exigences relatives au cloud, qu’elles soient fonctionnelles ou non (par exemple, les processus de notification des incidents), doivent être définies et faire l’objet d’un contrat avec le fournisseur de services.
- Documentation (Cloud‑7 à Cloud‑9) : L’évaluation des risques et la décision doivent être documentées et mises à la disposition de l’OFT sur demande. L’intégration du processus dans le système de gestion doit être envisagée. En outre, un aperçu détaillé de tous les clouds utilisés, pertinents pour l’exploitation ou la sécurité, doit être tenu.
L’OFT veut à l’avenir vérifier la mise en œuvre dans le cadre de son activité de surveillance, tant au niveau de la procédure (approbation des plans, homologation des types) que de la surveillance (audits, contrôles d’exploitation). Un accent particulier sera mis sur les thèmes de la gestion des fournisseurs et de la gestion de la continuité des activités.