---
id: CP-371
slug: lpm-oiv-operateurs-importance-vitale
lang: fr
title: La LPM et les opérateurs d'importance vitale
description: Ce qu'est un opérateur d'importance vitale, ce que la loi de programmation militaire de 2013 lui impose et ce que NIS 2 change.
canonical_url: https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/
markdown_url: https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale.md
publisher: Brain (https://startbrain.io)
license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)
cite_as: Brain, « La LPM et les opérateurs d'importance vitale », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/ (CC BY 4.0)
wing: 6
theme: safeguard_data
reflex: cr-036
schema: G3
updated: "2026-11-03"
translations:
  fr: https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/
  en: https://startbrain.io/cyberpedia/en/articles/french-military-programming-law-vital-operators/
  de: https://startbrain.io/cyberpedia/de/articles/lpm-oiv-betreiber-lebenswichtiger-einrichtungen/
  es: https://startbrain.io/cyberpedia/es/articles/lpm-oiv-operadores-importancia-vital/
sources:
  - "n": 1
    title: "Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)"
    publisher: Sénat
    url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf
    published: "2018-11-22"
    accessed: "2026-11-03"
  - "n": 2
    title: Programmation militaire 2014-2019
    publisher: Sénat
    url: https://www.senat.fr/leg/pjl12-822.html
    accessed: "2026-11-03"
  - "n": 3
    title: "Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat"
    publisher: Sénat
    url: https://www.senat.fr/rap/a14-110-9/a14-110-91.html
    published: "2014-11-20"
    accessed: "2026-11-03"
  - "n": 4
    title: Programmation militaire 2014-2019 - Sénat
    publisher: Sénat
    url: https://www.senat.fr/dossier-legislatif/pjl12-822.html
    accessed: "2026-11-03"
  - "n": 5
    title: "NIS2 Directive: securing network and information systems"
    publisher: Commission européenne
    url: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
    accessed: "2026-11-03"
---

# La LPM et les opérateurs d'importance vitale

Certaines organisations rendent des services dont le pays ne peut pas se passer. Le droit français les appelle opérateurs d'importance vitale, ou OIV. Depuis la loi de programmation militaire (LPM) de 2013, le rapport sénatorial de 2014 décrit une loi qui renforce les obligations de ces opérateurs, dont celle de notifier les incidents informatiques importants [3].

Un salarié d'un OIV, ou d'un prestataire qui travaille pour lui, n'est pas visé nommément par ces textes. Les obligations pèsent sur l'opérateur. On peut en déduire qu'elles se répercutent sur le travail de ses équipes, mais les textes cités ici ne le disent pas.

## En 30 secondes

- Où ça arrive : dans les opérateurs publics et privés jugés d'importance vitale pour la Nation. En 2018, un rapport du Sénat en compte plus de 200, répartis en 12 secteurs d'activités [1].
- Ce que la loi veut : que ces opérateurs appliquent des règles de sécurité, détectent les attaques, signalent les incidents et acceptent des contrôles [2][3].
- Le réflexe : si vous travaillez dans un tel opérateur, signalez à votre équipe sécurité tout incident informatique, car l'opérateur a lui-même l'obligation de notifier à l'État les incidents informatiques importants [3].
- Si c'est déjà fait : suivez la procédure interne de votre organisation. Les sources citées ici ne décrivent pas de démarche pour un salarié.

## Questions directes

### Qu'est-ce qu'un opérateur d'importance vitale ?

Le texte du projet de loi parle d'opérateurs publics et privés identifiés comme « d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation » [2]. Le rapport sénatorial de 2018 en dénombre plus de 200, dans 12 secteurs d'activités [1].

### Qu'est-ce qu'un SIIV ?

Le projet de loi de 2013 fixe des règles de sécurité pour les systèmes d'information dont l'atteinte à la sécurité ou au fonctionnement risquerait de diminuer d'une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation [2]. « SIIV » est le sigle usuel pour ces systèmes, il ne vient pas des sources citées ici. Selon le rapport de 2018, l'ANSSI a publié en 2017 les derniers arrêtés sectoriels, et 1 000 de ces systèmes avaient été déclarés à l'agence cette année-là [1].

### Qui est l'ANSSI ?

L'Agence nationale de la sécurité des systèmes d'information est l'autorité nationale en matière de sécurité et de défense des systèmes d'information [1]. Avant la LPM, son rôle était essentiellement de conseil et d'alerte. Depuis, selon le rapport de 2014, elle dispose de pouvoirs d'action étendus [3].

### Un salarié risque-t-il une sanction ?

Les textes cités ici prévoient des sanctions contre l'opérateur, pas contre le salarié. Le projet de loi de 2013 punissait d'une amende de 150 000 euros le non-respect des obligations de sécurité, avec mise en demeure préalable, sauf pour le défaut de signalement d'un incident. Les personnes morales relevaient en outre du régime d'amende de l'article 131-38 du code pénal [2]. Les sources citées ici ne permettent pas de vérifier si le texte voté reprend ces montants.

## Ce que ça change pour un salarié

Les textes ne disent rien des salariés. Ils fixent des obligations à l'opérateur, et c'est lui qui les répercute en interne.

Trois points du projet de loi de 2013 touchent au travail quotidien. L'opérateur appliquait à ses frais les règles de sécurité fixées par l'État [2]. Un outil ou une procédure imposés par la sécurité peuvent donc venir de cette obligation. Les règles pouvaient aussi prescrire des systèmes de détection qualifiés, exploités par des prestataires qualifiés, par l'ANSSI ou par d'autres services de l'État [2]. Enfin, le projet prévoyait que l'opérateur informe le Premier ministre « sans délai » des incidents touchant ses systèmes [2]. Le texte ne l'écrit pas, mais une telle obligation suppose que l'incident remonte vite à ceux qui en ont la charge. Le rapport de 2014, lui, parle de l'obligation de notifier les incidents informatiques importants [3].

## Ce que ça change pour la direction

Le projet de loi de 2013 faisait supporter à l'opérateur le coût des règles de sécurité et celui des contrôles que le Premier ministre peut demander [2]. Ces contrôles sont réalisés par l'ANSSI, par des services de l'État ou par des prestataires qualifiés [2].

Le rapport de 2014 résume le changement : la loi prévoit notamment l'obligation de notifier les incidents informatiques importants ou la réalisation d'audits réguliers [3]. En 2017, l'ANSSI a réalisé 63 audits auprès des ministères et des OIV, et les OIV représentent près de la moitié de l'activité d'audit de l'agence [1].

## Ce que dit le texte

La loi n° 2013-1168 du 18 décembre 2013 a été promulguée et publiée au Journal officiel du 19 décembre 2013 [4]. Le chapitre sur la cybermenace s'appuie sur le Livre blanc d'avril 2013, qui prévoyait que l'État fixe des standards de sécurité et que les opérateurs notifient les incidents [3].

Dans la loi, l'article 21 donne au Premier ministre la compétence en matière de défense des systèmes d'information, et l'article 22 renforce les obligations des OIV [3]. Le projet de loi déposé le 2 août 2013 détaillait ces obligations dans le code de la défense [2] :

- règles de sécurité fixées par le Premier ministre, appliquées par l'opérateur à ses frais ;
- systèmes de détection qualifiés, dont les qualifications sont délivrées par le Premier ministre ;
- information sans délai du Premier ministre en cas d'incident ;
- contrôle des systèmes à sa demande, aux frais de l'opérateur ;
- mesures imposées par le Premier ministre en cas de crise majeure.

Le projet prévoyait aussi que l'État préserve la confidentialité des informations recueillies auprès des opérateurs [2]. Un décret en Conseil d'État devait préciser les conditions d'application [2].

Ces éléments viennent du projet de loi tel que déposé. Les numéros d'articles de la loi finale diffèrent de ceux du projet [2][3].

## Où en est l'application

En 2014, l'entrée en vigueur dépendait encore de textes d'application. Un décret en Conseil d'État devait préciser les obligations des OIV, et des arrêtés sectoriels, publics ou classifiés, devaient suivre, pour l'essentiel courant 2015 [3]. Des groupes de travail avaient été lancés mi-octobre 2014 pour l'énergie et les communications électroniques [3].

Le rapport de 2018 montre la suite : la mise en œuvre s'est poursuivie depuis 2014, les derniers arrêtés sectoriels datent de 2017, et 1 000 systèmes d'importance vitale avaient été déclarés cette année-là [1]. Les sources citées ici ne donnent pas d'état plus récent de l'application de la LPM aux OIV.

### Le passage à NIS 2

La directive NIS, adoptée le 6 juillet 2016, a été transposée en France par la loi du 26 février 2018. La mise en place de la notion d'opérateurs de services essentiels permettra d'englober des entités au-delà des OIV [1].

La directive NIS 2 (directive 2022/2555) est entrée en vigueur en janvier 2023. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer, et la première directive NIS est abrogée depuis le 18 octobre 2024 [5]. Elle couvre 18 secteurs critiques et ajoute des secteurs comme les services numériques, la gestion des déchets, les services postaux et l'administration publique [5]. En règle générale, les entités moyennes et grandes de ces secteurs doivent prendre des mesures de gestion des risques et notifier les incidents importants aux autorités nationales [5]. La directive instaure aussi la responsabilité de la direction en cas de non-respect de ces mesures [5].

Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS 2 pour clarifier le droit et simplifier la mise en conformité [5]. Les sources citées ici ne précisent pas l'état de la transposition de NIS 2 en droit français ni son effet sur le statut d'OIV.

## Sources

1. Sénat, « Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX) », 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consulté le 3 novembre 2026)
2. Sénat, « Programmation militaire 2014-2019 ». https://www.senat.fr/leg/pjl12-822.html (consulté le 3 novembre 2026)
3. Sénat, « Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat », 20 novembre 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consulté le 3 novembre 2026)
4. Sénat, « Programmation militaire 2014-2019 - Sénat ». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consulté le 3 novembre 2026)
5. Commission européenne, « NIS2 Directive: securing network and information systems ». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consulté le 3 novembre 2026)

---

Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/
Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.