Das LPM-Gesetz und die Betreiber lebenswichtiger Einrichtungen (OIV)
Was ein Betreiber von lebenswichtiger Bedeutung (OIV) ist, was das Militärprogrammgesetz von 2013 von ihm verlangt und was NIS 2 ändert.
In 30 Sekunden
- Wo es vorkommt
- In öffentlichen und privaten Betreibern, die als lebenswichtig für die Nation gelten. Ein Senatsbericht zählt 2018 mehr als 200 davon, verteilt auf 12 Tätigkeitsbereiche1.
- Was das Gesetz will
- Diese Betreiber sollen Sicherheitsregeln anwenden, Angriffe erkennen, Vorfälle melden und Kontrollen akzeptieren23.
- Der Reflex
- Wenn Sie in einem solchen Betreiber arbeiten, melden Sie jeden IT-Vorfall Ihrem Sicherheitsteam, denn der Betreiber ist selbst verpflichtet, dem Staat erhebliche IT-Vorfälle zu melden3.
- Wenn es schon passiert ist
- Folgen Sie dem internen Verfahren Ihrer Organisation. Die hier zitierten Quellen beschreiben keinen Schritt für Beschäftigte.
Worum es geht
Manche Organisationen erbringen Leistungen, auf die das Land nicht verzichten kann. Das französische Recht nennt sie opérateurs d'importance vitale, kurz OIV (Betreiber von lebenswichtiger Bedeutung). Seit dem Militärprogrammgesetz (loi de programmation militaire, LPM) von 2013 beschreibt der Senatsbericht von 2014 ein Gesetz, das die Pflichten dieser Betreiber verschärft, darunter die Pflicht, erhebliche IT-Vorfälle zu melden3.
Eine Beschäftigte oder ein Beschäftigter eines OIV oder eines Dienstleisters, der für ihn arbeitet, wird in diesen Texten nicht namentlich genannt. Die Pflichten treffen den Betreiber. Man kann daraus schließen, dass sie sich auf die Arbeit seiner Teams auswirken, doch die hier zitierten Texte sagen das nicht.
Direkte Fragen
Was ist ein Betreiber von lebenswichtiger Bedeutung?
Der Gesetzentwurf spricht von öffentlichen und privaten Betreibern, die als « d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation » eingestuft sind2. Der Senatsbericht von 2018 zählt davon mehr als 200 in 12 Tätigkeitsbereichen1.
Was ist ein SIIV?
Der Gesetzentwurf von 2013 legt Sicherheitsregeln für Informationssysteme fest, deren Beeinträchtigung in Sicherheit oder Betrieb das Kriegs- oder Wirtschaftspotenzial, die Sicherheit oder die Überlebensfähigkeit der Nation erheblich zu mindern drohte2. « SIIV » ist die gebräuchliche Abkürzung für diese Systeme und stammt nicht aus den hier zitierten Quellen. Laut dem Bericht von 2018 hat die ANSSI 2017 die letzten sektorbezogenen Verordnungen veröffentlicht, und in diesem Jahr waren der Behörde 1 000 dieser Systeme gemeldet worden1.
Wer ist die ANSSI?
Die Agence nationale de la sécurité des systèmes d'information ist die nationale Behörde für die Sicherheit und Verteidigung von Informationssystemen1. Vor dem LPM beschränkte sich ihre Rolle im Wesentlichen auf Beratung und Warnung. Seither verfügt sie laut dem Bericht von 2014 über erweiterte Handlungsbefugnisse3.
Droht Beschäftigten eine Sanktion?
Die hier zitierten Texte sehen Sanktionen gegen den Betreiber vor, nicht gegen Beschäftigte. Der Gesetzentwurf von 2013 bestrafte die Missachtung der Sicherheitspflichten mit einer Geldbuße von 150 000 Euro, nach vorheriger Mahnung, außer bei unterlassener Meldung eines Vorfalls. Juristische Personen unterlagen zudem der Bußgeldregelung von Artikel 131-38 des Strafgesetzbuchs2. Die hier zitierten Quellen erlauben nicht zu prüfen, ob der verabschiedete Text diese Beträge übernimmt.
1Was sich für Beschäftigte ändert1 min
Die Texte sagen nichts über Beschäftigte. Sie legen dem Betreiber Pflichten auf, und er gibt sie intern weiter.
Drei Punkte des Gesetzentwurfs von 2013 berühren die tägliche Arbeit. Der Betreiber wendete die vom Staat festgelegten Sicherheitsregeln auf eigene Kosten an2. Ein Werkzeug oder Verfahren, das die Sicherheitsabteilung vorschreibt, kann also auf diese Pflicht zurückgehen. Die Regeln konnten außerdem qualifizierte Erkennungssysteme vorschreiben, betrieben von qualifizierten Dienstleistern, von der ANSSI oder von anderen staatlichen Stellen2. Schließlich sah der Entwurf vor, dass der Betreiber den Premierminister « sans délai » (unverzüglich) über Vorfälle informiert, die seine Systeme betreffen2. Der Text schreibt es nicht, aber eine solche Pflicht setzt voraus, dass ein Vorfall schnell zu den Verantwortlichen gelangt. Der Bericht von 2014 spricht seinerseits von der Pflicht, erhebliche IT-Vorfälle zu melden3.
2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min
Der Gesetzentwurf von 2013 ließ den Betreiber die Kosten der Sicherheitsregeln und der Kontrollen tragen, die der Premierminister anfordern kann2. Diese Kontrollen führen die ANSSI, staatliche Stellen oder qualifizierte Dienstleister durch2.
Der Bericht von 2014 fasst die Änderung zusammen: Das Gesetz sieht unter anderem die Pflicht vor, erhebliche IT-Vorfälle zu melden, und regelmäßige Audits durchzuführen3. 2017 führte die ANSSI 63 Audits bei Ministerien und OIV durch, und die OIV machen fast die Hälfte der Audittätigkeit der Behörde aus1.
3Was der Text sagtAmtlicher Text1 min
Das Gesetz Nr. 2013-1168 vom 18. Dezember 2013 wurde verkündet und im Journal officiel vom 19. Dezember 2013 veröffentlicht4. Das Kapitel zur Cyberbedrohung stützt sich auf das Weißbuch vom April 2013, das vorsah, dass der Staat Sicherheitsstandards festlegt und die Betreiber Vorfälle melden3.
Im Gesetz überträgt Artikel 21 dem Premierminister die Zuständigkeit für die Verteidigung der Informationssysteme, und Artikel 22 verschärft die Pflichten der OIV3. Der am 2. August 2013 eingebrachte Gesetzentwurf regelte diese Pflichten im Verteidigungsgesetzbuch näher2:
- Sicherheitsregeln, die der Premierminister festlegt und der Betreiber auf eigene Kosten anwendet;
- qualifizierte Erkennungssysteme, deren Qualifikationen der Premierminister erteilt;
- unverzügliche Information des Premierministers bei einem Vorfall;
- Kontrolle der Systeme auf seine Anforderung, auf Kosten des Betreibers;
- Maßnahmen, die der Premierminister bei einer schweren Krise anordnet.
Der Entwurf sah außerdem vor, dass der Staat die Vertraulichkeit der bei den Betreibern erhobenen Informationen wahrt2. Ein Dekret des Conseil d'État sollte die Anwendungsbedingungen festlegen2.
Diese Angaben stammen aus dem Gesetzentwurf in der eingebrachten Fassung. Die Artikelnummern des endgültigen Gesetzes weichen von denen des Entwurfs ab23.
4Stand der Umsetzung2 min
2014 hing das Inkrafttreten noch von Durchführungstexten ab. Ein Dekret des Conseil d'État sollte die Pflichten der OIV präzisieren, und sektorbezogene Verordnungen, öffentlich oder als Verschlusssache, sollten folgen, größtenteils im Lauf des Jahres 20153. Mitte Oktober 2014 waren Arbeitsgruppen für Energie und elektronische Kommunikation eingesetzt worden3.
Der Bericht von 2018 zeigt den weiteren Verlauf: Die Umsetzung wurde seit 2014 fortgesetzt, die letzten sektorbezogenen Verordnungen stammen von 2017, und in diesem Jahr waren 1 000 lebenswichtige Systeme gemeldet worden1. Die hier zitierten Quellen geben keinen neueren Stand der Anwendung des LPM auf die OIV an.
Der Übergang zu NIS 2
Die NIS-Richtlinie, am 6. Juli 2016 angenommen, wurde in Frankreich durch das Gesetz vom 26. Februar 2018 umgesetzt. Mit dem Begriff der Betreiber wesentlicher Dienste können künftig auch Einrichtungen über die OIV hinaus erfasst werden1.
Die Richtlinie NIS 2 (Richtlinie 2022/2555) ist im Januar 2023 in Kraft getreten. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie umzusetzen, und die erste NIS-Richtlinie ist seit dem 18. Oktober 2024 aufgehoben5. Sie deckt 18 kritische Sektoren ab und fügt Sektoren wie digitale Dienste, Abfallwirtschaft, Postdienste und öffentliche Verwaltung hinzu5. In der Regel müssen mittlere und große Einrichtungen dieser Sektoren Risikomanagementmaßnahmen ergreifen und erhebliche Vorfälle den nationalen Behörden melden5. Die Richtlinie führt außerdem eine Verantwortung der Leitung für den Fall ein, dass diese Maßnahmen nicht eingehalten werden5.
Am 20. Januar 2026 hat die Kommission gezielte Änderungen an NIS 2 vorgeschlagen, um das Recht klarer zu fassen und die Einhaltung zu vereinfachen5. Die hier zitierten Quellen geben nicht an, wie weit die Umsetzung von NIS 2 in französisches Recht gediehen ist oder wie sie den OIV-Status berührt.
Merkblatt
- Kennung
- CP-371
- Flügel
- 6. Governance und GRC
- Brain-Kompetenz
- Daten schützen (safeguard_data)
- Brain-Reflex
- cr-036
- Schema
- G3 · Anatomischer Schnitt
- Sprachen
- de, en, fr
- Quellen
- 5 Quellen geprüft am 3. November 2026
Quellen5 Quellen
- Sénat, „Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)“, 22. November 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (abgerufen am 3. November 2026)
- Sénat, „Programmation militaire 2014-2019“. https://www.senat.fr/leg/pjl12-822.html (abgerufen am 3. November 2026)
- Sénat, „Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat“, 20. November 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (abgerufen am 3. November 2026)
- Sénat, „Programmation militaire 2014-2019 - Sénat“. https://www.senat.fr/dossier-legislatif/pjl12-822.html (abgerufen am 3. November 2026)
- Commission européenne, „NIS2 Directive: securing network and information systems“. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Das LPM-Gesetz und die Betreiber lebenswichtiger Einrichtungen (OIV)“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_de_2026,
author = {Brain},
title = {Das LPM-Gesetz und die Betreiber lebenswichtiger Einrichtungen (OIV)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/lpm-oiv-betreiber-lebenswichtiger-einrichtungen/},
note = {CC BY 4.0}
}