La LPM y los operadores de importancia vital
Qué es un operador de importancia vital, qué le impone la ley de programación militar de 2013 y qué cambia con NIS 2.
En 30 segundos
- Dónde ocurre
- En los operadores públicos y privados considerados de importancia vital para la Nación. En 2018, un informe del Senado cuenta más de 200, repartidos en 12 sectores de actividad1.
- Lo que quiere la ley
- Que estos operadores apliquen reglas de seguridad, detecten los ataques, señalen los incidentes y acepten controles23.
- El reflejo
- Si trabaja en uno de estos operadores, informe a su equipo de seguridad de cualquier incidente informático, ya que el propio operador tiene la obligación de notificar al Estado los incidentes informáticos importantes3.
- Si ya lo ha hecho
- Siga el procedimiento interno de su organización. Las fuentes citadas aquí no describen ningún trámite para un empleado.
De qué se trata
Algunas organizaciones prestan servicios de los que el país no puede prescindir. El derecho francés las llama operadores de importancia vital (opérateurs d'importance vitale, OIV). Desde la ley de programación militar (loi de programmation militaire, LPM) de 2013, el informe del Senado de 2014 describe una ley que refuerza las obligaciones de estos operadores, entre ellas la de notificar los incidentes informáticos importantes3.
Un empleado de un OIV, o de un proveedor que trabaja para él, no es mencionado expresamente en estos textos. Las obligaciones recaen sobre el operador. Cabe deducir que repercuten en el trabajo de sus equipos, pero los textos citados aquí no lo dicen.
Preguntas directas
¿Qué es un operador de importancia vital?
El texto del proyecto de ley habla de operadores públicos y privados identificados como «d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation»2. El informe del Senado de 2018 contabiliza más de 200, en 12 sectores de actividad1.
¿Qué es un SIIV?
El proyecto de ley de 2013 fija reglas de seguridad para los sistemas de información cuya vulneración o mal funcionamiento podría disminuir de manera importante el potencial bélico o económico, la seguridad o la capacidad de supervivencia de la Nación2. «SIIV» es la sigla habitual para estos sistemas y no procede de las fuentes citadas aquí. Según el informe de 2018, la ANSSI publicó en 2017 las últimas órdenes sectoriales, y ese año se habían declarado a la agencia 1 000 de estos sistemas1.
¿Quién es la ANSSI?
La Agence nationale de la sécurité des systèmes d'information (Agencia Nacional de la Seguridad de los Sistemas de Información) es la autoridad nacional en materia de seguridad y defensa de los sistemas de información1. Antes de la LPM, su papel era sobre todo de asesoramiento y alerta. Desde entonces, según el informe de 2014, dispone de amplias facultades de actuación3.
¿Corre un empleado el riesgo de una sanción?
Los textos citados aquí prevén sanciones contra el operador, no contra el empleado. El proyecto de ley de 2013 castigaba con una multa de 150 000 euros el incumplimiento de las obligaciones de seguridad, previo requerimiento, salvo en el caso de la falta de comunicación de un incidente. Las personas jurídicas quedaban además sujetas al régimen de multas del artículo 131-38 del código penal2. Las fuentes citadas aquí no permiten comprobar si el texto aprobado mantiene esos importes.
1Qué cambia para los empleados1 min
Los textos no dicen nada de los empleados. Fijan obligaciones al operador, y es este quien las traslada internamente.
Tres puntos del proyecto de ley de 2013 afectan al trabajo diario. El operador aplicaba a su costa las reglas de seguridad fijadas por el Estado2. Una herramienta o un procedimiento impuestos por el área de seguridad pueden, por tanto, proceder de esta obligación. Las reglas también podían prescribir sistemas de detección cualificados, explotados por proveedores cualificados, por la ANSSI o por otros servicios del Estado2. Por último, el proyecto preveía que el operador informara al primer ministro «sin délai» (sin demora) de los incidentes que afectaran a sus sistemas2. El texto no lo escribe, pero una obligación así supone que el incidente llegue rápido a los responsables. El informe de 2014, por su parte, habla de la obligación de notificar los incidentes informáticos importantes3.
2Qué cambia para la direcciónDirección1 min
El proyecto de ley de 2013 hacía que el operador soportara el coste de las reglas de seguridad y el de los controles que el primer ministro puede solicitar2. Estos controles los realizan la ANSSI, servicios del Estado o proveedores cualificados2.
El informe de 2014 resume el cambio: la ley prevé, entre otras cosas, la obligación de notificar los incidentes informáticos importantes o la realización de auditorías periódicas3. En 2017, la ANSSI realizó 63 auditorías en ministerios y OIV, y los OIV representan casi la mitad de la actividad de auditoría de la agencia1.
3Qué dice el textoTexto oficial1 min
La ley n.º 2013-1168, de 18 de diciembre de 2013, fue promulgada y publicada en el Journal officiel del 19 de diciembre de 20134. El capítulo sobre la ciberamenaza se apoya en el Libro Blanco de abril de 2013, que preveía que el Estado fijara estándares de seguridad y que los operadores notificaran los incidentes3.
En la ley, el artículo 21 atribuye al primer ministro la competencia en materia de defensa de los sistemas de información, y el artículo 22 refuerza las obligaciones de los OIV3. El proyecto de ley presentado el 2 de agosto de 2013 detallaba estas obligaciones en el código de defensa2:
- reglas de seguridad fijadas por el primer ministro, aplicadas por el operador a su costa;
- sistemas de detección cualificados, cuyas cualificaciones expide el primer ministro;
- información al primer ministro sin demora en caso de incidente;
- control de los sistemas a petición suya, a costa del operador;
- medidas impuestas por el primer ministro en caso de crisis mayor.
El proyecto preveía también que el Estado preservara la confidencialidad de la información recabada de los operadores2. Un decreto del Conseil d'État debía precisar las condiciones de aplicación2.
Estos elementos proceden del proyecto de ley tal como se presentó. La numeración de los artículos de la ley definitiva difiere de la del proyecto23.
4En qué punto está la aplicación2 min
En 2014, la entrada en vigor dependía todavía de textos de desarrollo. Un decreto del Conseil d'État debía precisar las obligaciones de los OIV, y debían seguirle órdenes sectoriales, públicas o clasificadas, en su mayoría a lo largo de 20153. A mediados de octubre de 2014 se habían puesto en marcha grupos de trabajo para la energía y las comunicaciones electrónicas3.
El informe de 2018 muestra lo que vino después: la aplicación continuó desde 2014, las últimas órdenes sectoriales datan de 2017 y ese año se habían declarado 1 000 sistemas de importancia vital1. Las fuentes citadas aquí no ofrecen un estado más reciente de la aplicación de la LPM a los OIV.
El paso a NIS 2
La directiva NIS, adoptada el 6 de julio de 2016, fue transpuesta en Francia por la ley de 26 de febrero de 2018. La introducción de la noción de operadores de servicios esenciales permitirá abarcar entidades más allá de los OIV1.
La directiva NIS 2 (directiva 2022/2555) entró en vigor en enero de 2023. Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla, y la primera directiva NIS queda derogada desde el 18 de octubre de 20245. Abarca 18 sectores críticos y añade sectores como los servicios digitales, la gestión de residuos, los servicios postales y la administración pública5. Por regla general, las entidades medianas y grandes de estos sectores deben adoptar medidas de gestión de riesgos y notificar los incidentes importantes a las autoridades nacionales5. La directiva establece también la responsabilidad de la dirección en caso de incumplimiento de estas medidas5.
El 20 de enero de 2026, la Comisión propuso modificaciones específicas de NIS 2 para aclarar el derecho y simplificar el cumplimiento5. Las fuentes citadas aquí no precisan el estado de la transposición de NIS 2 al derecho francés ni su efecto sobre el estatuto de OIV.
Ficha
- Identificador
- CP-371
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Proteger los datos (safeguard_data)
- Reflejo Brain
- cr-036
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 5 fuentes verificadas el 3 de noviembre de 2026
Fuentes5 fuentes
- Sénat, «Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)», 22 de noviembre de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado el 3 de noviembre de 2026)
- Sénat, «Programmation militaire 2014-2019». https://www.senat.fr/leg/pjl12-822.html (consultado el 3 de noviembre de 2026)
- Sénat, «Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat», 20 de noviembre de 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consultado el 3 de noviembre de 2026)
- Sénat, «Programmation militaire 2014-2019 - Sénat». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consultado el 3 de noviembre de 2026)
- Commission européenne, «NIS2 Directive: securing network and information systems». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «La LPM y los operadores de importancia vital», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_es_2026,
author = {Brain},
title = {La LPM y los operadores de importancia vital},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/},
note = {CC BY 4.0}
}