Loi Programmation Militaire

Description

L’article 22 de la loi de programmation militaire (LPM) entrée en vigueur au 1er juillet 2016 via les premiers arrêtés sectoriels, introduit le concept d’opérateur d’importance vitale.

Le concept d’opérateur d’importance vitale (OIV) est défini par l’article R. 1332-1 du Code de la Défense.

Un OIV est une organisation qui :

• Exerce des activités comprises dans un secteur d’activités d’importance vitale ;
• Gère ou utilise au titre de cette activité un ou des établissements ou ouvrages, une ou des installations dont le dommage ou l’indisponibilité ou la destruction par suite d’un acte de malveillance, de sabotage ou de terrorisme risquerait, directement ou indirectement :
  • D’obérer gravement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation ;
  • Ou de mettre gravement en cause la santé ou la vie de la population ».

L’article 22 de la loi de programmation militaire prévoit une mise à niveau de la sécurité des systèmes d’information des opérateurs dits d’importance vitale (OIV), afin d’éviter, par exemple, qu’une cyberattaque ne permette de pirater le trafic ferroviaire, d’infecter les canalisations d’eau potable ou de prendre le contrôle d’une centrale nucléaire.

Douze secteurs d’activités d’importance vitale (SAIV) ont été définis dans un arrêté du 2 juin 2006, modifié par un arrêté du 3 juillet 2008 :

• Secteurs étatiques :
  • Activités civiles de l’État ;
  • Activités militaires de l’État ;
  • Activités judiciaires ;
  • Espace et recherche.
• Secteurs de la protection des citoyens (dominante humaine) :
  • Santé ;
  • Gestion de l’eau ;
  • Alimentation.
• Secteurs de la vie économique et sociale de la nation (dominantes économiques et technologiques) :
  • Énergie ;
  • Communications électroniques, audiovisuel et information ;
  • Transports ;
  • Finances ;
  • Industrie.

Actuellement, environ 250 opérateurs d’importance vitale ont été identifiés en France dont l’identité est classée confidentiel défense.

Sources

• Arrêté du 28 novembre 2016 fixant les règles de sécurité et les modalités de déclaration des systèmes d’information d’importance vitale et des incidents de sécurité : https://www.legifrance.gouv.fr/eli/arrete/2016/11/28/PRMD1630592A/jo/texte

• Guide d’homologation en 9 étapes de l’ANSSI : https://www.ssi.gouv.fr/actualite/lhomologation-en-9-etapes-simples-nouvelle-publication-de-lanssi/