--- id: CP-371 slug: lpm-oiv-operadores-importancia-vital lang: es title: La LPM y los operadores de importancia vital description: Qué es un operador de importancia vital, qué le impone la ley de programación militar de 2013 y qué cambia con NIS 2. canonical_url: https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/ markdown_url: https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La LPM y los operadores de importancia vital», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-036 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/ fr: https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/ en: https://startbrain.io/cyberpedia/en/articles/french-military-programming-law-vital-operators/ de: https://startbrain.io/cyberpedia/de/articles/lpm-oiv-betreiber-lebenswichtiger-einrichtungen/ it: https://startbrain.io/cyberpedia/it/articles/lpm-oiv-operatori-importanza-vitale/ sources: - "n": 1 title: "Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 2 title: Programmation militaire 2014-2019 publisher: Sénat url: https://www.senat.fr/leg/pjl12-822.html accessed: "2026-11-03" - "n": 3 title: "Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat" publisher: Sénat url: https://www.senat.fr/rap/a14-110-9/a14-110-91.html published: "2014-11-20" accessed: "2026-11-03" - "n": 4 title: Programmation militaire 2014-2019 - Sénat publisher: Sénat url: https://www.senat.fr/dossier-legislatif/pjl12-822.html accessed: "2026-11-03" - "n": 5 title: "NIS2 Directive: securing network and information systems" publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive accessed: "2026-11-03" --- # La LPM y los operadores de importancia vital Algunas organizaciones prestan servicios de los que el país no puede prescindir. El derecho francés las llama operadores de importancia vital (opérateurs d'importance vitale, OIV). Desde la ley de programación militar (loi de programmation militaire, LPM) de 2013, el informe del Senado de 2014 describe una ley que refuerza las obligaciones de estos operadores, entre ellas la de notificar los incidentes informáticos importantes [3]. Un empleado de un OIV, o de un proveedor que trabaja para él, no es mencionado expresamente en estos textos. Las obligaciones recaen sobre el operador. Cabe deducir que repercuten en el trabajo de sus equipos, pero los textos citados aquí no lo dicen. ## En 30 segundos - Dónde ocurre: en los operadores públicos y privados considerados de importancia vital para la Nación. En 2018, un informe del Senado cuenta más de 200, repartidos en 12 sectores de actividad [1]. - Lo que quiere la ley: que estos operadores apliquen reglas de seguridad, detecten los ataques, señalen los incidentes y acepten controles [2][3]. - El reflejo: si trabaja en uno de estos operadores, informe a su equipo de seguridad de cualquier incidente informático, ya que el propio operador tiene la obligación de notificar al Estado los incidentes informáticos importantes [3]. - Si ya lo ha hecho: siga el procedimiento interno de su organización. Las fuentes citadas aquí no describen ningún trámite para un empleado. ## Preguntas directas ### ¿Qué es un operador de importancia vital? El texto del proyecto de ley habla de operadores públicos y privados identificados como «d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation» [2]. El informe del Senado de 2018 contabiliza más de 200, en 12 sectores de actividad [1]. ### ¿Qué es un SIIV? El proyecto de ley de 2013 fija reglas de seguridad para los sistemas de información cuya vulneración o mal funcionamiento podría disminuir de manera importante el potencial bélico o económico, la seguridad o la capacidad de supervivencia de la Nación [2]. «SIIV» es la sigla habitual para estos sistemas y no procede de las fuentes citadas aquí. Según el informe de 2018, la ANSSI publicó en 2017 las últimas órdenes sectoriales, y ese año se habían declarado a la agencia 1 000 de estos sistemas [1]. ### ¿Quién es la ANSSI? La Agence nationale de la sécurité des systèmes d'information (Agencia Nacional de la Seguridad de los Sistemas de Información) es la autoridad nacional en materia de seguridad y defensa de los sistemas de información [1]. Antes de la LPM, su papel era sobre todo de asesoramiento y alerta. Desde entonces, según el informe de 2014, dispone de amplias facultades de actuación [3]. ### ¿Corre un empleado el riesgo de una sanción? Los textos citados aquí prevén sanciones contra el operador, no contra el empleado. El proyecto de ley de 2013 castigaba con una multa de 150 000 euros el incumplimiento de las obligaciones de seguridad, previo requerimiento, salvo en el caso de la falta de comunicación de un incidente. Las personas jurídicas quedaban además sujetas al régimen de multas del artículo 131-38 del código penal [2]. Las fuentes citadas aquí no permiten comprobar si el texto aprobado mantiene esos importes. ## Qué cambia para los empleados Los textos no dicen nada de los empleados. Fijan obligaciones al operador, y es este quien las traslada internamente. Tres puntos del proyecto de ley de 2013 afectan al trabajo diario. El operador aplicaba a su costa las reglas de seguridad fijadas por el Estado [2]. Una herramienta o un procedimiento impuestos por el área de seguridad pueden, por tanto, proceder de esta obligación. Las reglas también podían prescribir sistemas de detección cualificados, explotados por proveedores cualificados, por la ANSSI o por otros servicios del Estado [2]. Por último, el proyecto preveía que el operador informara al primer ministro «sin délai» (sin demora) de los incidentes que afectaran a sus sistemas [2]. El texto no lo escribe, pero una obligación así supone que el incidente llegue rápido a los responsables. El informe de 2014, por su parte, habla de la obligación de notificar los incidentes informáticos importantes [3]. ## Qué cambia para la dirección El proyecto de ley de 2013 hacía que el operador soportara el coste de las reglas de seguridad y el de los controles que el primer ministro puede solicitar [2]. Estos controles los realizan la ANSSI, servicios del Estado o proveedores cualificados [2]. El informe de 2014 resume el cambio: la ley prevé, entre otras cosas, la obligación de notificar los incidentes informáticos importantes o la realización de auditorías periódicas [3]. En 2017, la ANSSI realizó 63 auditorías en ministerios y OIV, y los OIV representan casi la mitad de la actividad de auditoría de la agencia [1]. ## Qué dice el texto La ley n.º 2013-1168, de 18 de diciembre de 2013, fue promulgada y publicada en el Journal officiel del 19 de diciembre de 2013 [4]. El capítulo sobre la ciberamenaza se apoya en el Libro Blanco de abril de 2013, que preveía que el Estado fijara estándares de seguridad y que los operadores notificaran los incidentes [3]. En la ley, el artículo 21 atribuye al primer ministro la competencia en materia de defensa de los sistemas de información, y el artículo 22 refuerza las obligaciones de los OIV [3]. El proyecto de ley presentado el 2 de agosto de 2013 detallaba estas obligaciones en el código de defensa [2]: - reglas de seguridad fijadas por el primer ministro, aplicadas por el operador a su costa; - sistemas de detección cualificados, cuyas cualificaciones expide el primer ministro; - información al primer ministro sin demora en caso de incidente; - control de los sistemas a petición suya, a costa del operador; - medidas impuestas por el primer ministro en caso de crisis mayor. El proyecto preveía también que el Estado preservara la confidencialidad de la información recabada de los operadores [2]. Un decreto del Conseil d'État debía precisar las condiciones de aplicación [2]. Estos elementos proceden del proyecto de ley tal como se presentó. La numeración de los artículos de la ley definitiva difiere de la del proyecto [2][3]. ## En qué punto está la aplicación En 2014, la entrada en vigor dependía todavía de textos de desarrollo. Un decreto del Conseil d'État debía precisar las obligaciones de los OIV, y debían seguirle órdenes sectoriales, públicas o clasificadas, en su mayoría a lo largo de 2015 [3]. A mediados de octubre de 2014 se habían puesto en marcha grupos de trabajo para la energía y las comunicaciones electrónicas [3]. El informe de 2018 muestra lo que vino después: la aplicación continuó desde 2014, las últimas órdenes sectoriales datan de 2017 y ese año se habían declarado 1 000 sistemas de importancia vital [1]. Las fuentes citadas aquí no ofrecen un estado más reciente de la aplicación de la LPM a los OIV. ### El paso a NIS 2 La directiva NIS, adoptada el 6 de julio de 2016, fue transpuesta en Francia por la ley de 26 de febrero de 2018. La introducción de la noción de operadores de servicios esenciales permitirá abarcar entidades más allá de los OIV [1]. La directiva NIS 2 (directiva 2022/2555) entró en vigor en enero de 2023. Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla, y la primera directiva NIS queda derogada desde el 18 de octubre de 2024 [5]. Abarca 18 sectores críticos y añade sectores como los servicios digitales, la gestión de residuos, los servicios postales y la administración pública [5]. Por regla general, las entidades medianas y grandes de estos sectores deben adoptar medidas de gestión de riesgos y notificar los incidentes importantes a las autoridades nacionales [5]. La directiva establece también la responsabilidad de la dirección en caso de incumplimiento de estas medidas [5]. El 20 de enero de 2026, la Comisión propuso modificaciones específicas de NIS 2 para aclarar el derecho y simplificar el cumplimiento [5]. Las fuentes citadas aquí no precisan el estado de la transposición de NIS 2 al derecho francés ni su efecto sobre el estatuto de OIV. ## Fuentes 1. Sénat, «Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)», 22 de noviembre de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado el 3 de noviembre de 2026) 2. Sénat, «Programmation militaire 2014-2019». https://www.senat.fr/leg/pjl12-822.html (consultado el 3 de noviembre de 2026) 3. Sénat, «Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat», 20 de noviembre de 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consultado el 3 de noviembre de 2026) 4. Sénat, «Programmation militaire 2014-2019 - Sénat». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consultado el 3 de noviembre de 2026) 5. Commission européenne, «NIS2 Directive: securing network and information systems». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.