NERC CIP

Définition

NERC CIP, North American Electric Reliability Corporation Critical Infrastructure Protection, désigne un ensemble de standards de cybersécurité obligatoires, applicables aux exploitants d'infrastructures électriques critiques, Bulk Electric System, aux États-Unis, au Canada et dans certaines provinces mexicaines frontalières, sous supervision de la FERC, Federal Energy Regulatory Commission. Les standards CIP, numérotés de CIP-002 à CIP-014, couvrent des exigences précises : CIP-002 impose l'identification et la classification des actifs critiques, BES Cyber Systems, CIP-005 régit la sécurité du périmètre électronique, Electronic Security Perimeter, avec segmentation réseau obligatoire, CIP-007 traite de la gestion des systèmes, patch management, contrôle des ports et services, CIP-010 encadre la gestion des changements et de configuration, et CIP-008 impose un plan de réponse aux incidents avec obligation de signalement à l'E-ISAC, Electricity Information Sharing and Analysis Center. Le non-respect expose les entités responsables à des amendes pouvant atteindre un million de dollars par jour et par violation, ce qui a fait de NERC CIP l'un des cadres réglementaires les plus contraignants du secteur OT mondial. Contrairement à des référentiels volontaires comme la norme IEC 62443, NERC CIP impose des audits réguliers par la NERC et ses Regional Entities, avec obligation de preuve documentaire, ce qui structure fortement les programmes de conformité cybersécurité des opérateurs du réseau électrique nord-américain.