La LPM et les opérateurs d'importance vitale
Ce qu'est un opérateur d'importance vitale, ce que la loi de programmation militaire de 2013 lui impose et ce que NIS 2 change.
En 30 secondes
- Où ça arrive
- Dans les opérateurs publics et privés jugés d'importance vitale pour la Nation. En 2018, un rapport du Sénat en compte plus de 200, répartis en 12 secteurs d'activités1.
- Ce que la loi veut
- Que ces opérateurs appliquent des règles de sécurité, détectent les attaques, signalent les incidents et acceptent des contrôles23.
- Le réflexe
- Si vous travaillez dans un tel opérateur, signalez à votre équipe sécurité tout incident informatique, car l'opérateur a lui-même l'obligation de notifier à l'État les incidents informatiques importants3.
- Si c'est déjà fait
- Suivez la procédure interne de votre organisation. Les sources citées ici ne décrivent pas de démarche pour un salarié.
De quoi parle-t-on
Certaines organisations rendent des services dont le pays ne peut pas se passer. Le droit français les appelle opérateurs d'importance vitale, ou OIV. Depuis la loi de programmation militaire (LPM) de 2013, le rapport sénatorial de 2014 décrit une loi qui renforce les obligations de ces opérateurs, dont celle de notifier les incidents informatiques importants3.
Un salarié d'un OIV, ou d'un prestataire qui travaille pour lui, n'est pas visé nommément par ces textes. Les obligations pèsent sur l'opérateur. On peut en déduire qu'elles se répercutent sur le travail de ses équipes, mais les textes cités ici ne le disent pas.
Questions directes
Qu'est-ce qu'un opérateur d'importance vitale ?
Le texte du projet de loi parle d'opérateurs publics et privés identifiés comme « d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation »2. Le rapport sénatorial de 2018 en dénombre plus de 200, dans 12 secteurs d'activités1.
Qu'est-ce qu'un SIIV ?
Le projet de loi de 2013 fixe des règles de sécurité pour les systèmes d'information dont l'atteinte à la sécurité ou au fonctionnement risquerait de diminuer d'une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation2. « SIIV » est le sigle usuel pour ces systèmes, il ne vient pas des sources citées ici. Selon le rapport de 2018, l'ANSSI a publié en 2017 les derniers arrêtés sectoriels, et 1 000 de ces systèmes avaient été déclarés à l'agence cette année-là1.
Qui est l'ANSSI ?
L'Agence nationale de la sécurité des systèmes d'information est l'autorité nationale en matière de sécurité et de défense des systèmes d'information1. Avant la LPM, son rôle était essentiellement de conseil et d'alerte. Depuis, selon le rapport de 2014, elle dispose de pouvoirs d'action étendus3.
Un salarié risque-t-il une sanction ?
Les textes cités ici prévoient des sanctions contre l'opérateur, pas contre le salarié. Le projet de loi de 2013 punissait d'une amende de 150 000 euros le non-respect des obligations de sécurité, avec mise en demeure préalable, sauf pour le défaut de signalement d'un incident. Les personnes morales relevaient en outre du régime d'amende de l'article 131-38 du code pénal2. Les sources citées ici ne permettent pas de vérifier si le texte voté reprend ces montants.
1Ce que ça change pour un salarié1 min
Les textes ne disent rien des salariés. Ils fixent des obligations à l'opérateur, et c'est lui qui les répercute en interne.
Trois points du projet de loi de 2013 touchent au travail quotidien. L'opérateur appliquait à ses frais les règles de sécurité fixées par l'État2. Un outil ou une procédure imposés par la sécurité peuvent donc venir de cette obligation. Les règles pouvaient aussi prescrire des systèmes de détection qualifiés, exploités par des prestataires qualifiés, par l'ANSSI ou par d'autres services de l'État2. Enfin, le projet prévoyait que l'opérateur informe le Premier ministre « sans délai » des incidents touchant ses systèmes2. Le texte ne l'écrit pas, mais une telle obligation suppose que l'incident remonte vite à ceux qui en ont la charge. Le rapport de 2014, lui, parle de l'obligation de notifier les incidents informatiques importants3.
2Ce que ça change pour la directionDirection1 min
Le projet de loi de 2013 faisait supporter à l'opérateur le coût des règles de sécurité et celui des contrôles que le Premier ministre peut demander2. Ces contrôles sont réalisés par l'ANSSI, par des services de l'État ou par des prestataires qualifiés2.
Le rapport de 2014 résume le changement : la loi prévoit notamment l'obligation de notifier les incidents informatiques importants ou la réalisation d'audits réguliers3. En 2017, l'ANSSI a réalisé 63 audits auprès des ministères et des OIV, et les OIV représentent près de la moitié de l'activité d'audit de l'agence1.
3Ce que dit le texteTexte officiel1 min
La loi n° 2013-1168 du 18 décembre 2013 a été promulguée et publiée au Journal officiel du 19 décembre 20134. Le chapitre sur la cybermenace s'appuie sur le Livre blanc d'avril 2013, qui prévoyait que l'État fixe des standards de sécurité et que les opérateurs notifient les incidents3.
Dans la loi, l'article 21 donne au Premier ministre la compétence en matière de défense des systèmes d'information, et l'article 22 renforce les obligations des OIV3. Le projet de loi déposé le 2 août 2013 détaillait ces obligations dans le code de la défense2 :
- règles de sécurité fixées par le Premier ministre, appliquées par l'opérateur à ses frais ;
- systèmes de détection qualifiés, dont les qualifications sont délivrées par le Premier ministre ;
- information sans délai du Premier ministre en cas d'incident ;
- contrôle des systèmes à sa demande, aux frais de l'opérateur ;
- mesures imposées par le Premier ministre en cas de crise majeure.
Le projet prévoyait aussi que l'État préserve la confidentialité des informations recueillies auprès des opérateurs2. Un décret en Conseil d'État devait préciser les conditions d'application2.
Ces éléments viennent du projet de loi tel que déposé. Les numéros d'articles de la loi finale diffèrent de ceux du projet23.
4Où en est l'application2 min
En 2014, l'entrée en vigueur dépendait encore de textes d'application. Un décret en Conseil d'État devait préciser les obligations des OIV, et des arrêtés sectoriels, publics ou classifiés, devaient suivre, pour l'essentiel courant 20153. Des groupes de travail avaient été lancés mi-octobre 2014 pour l'énergie et les communications électroniques3.
Le rapport de 2018 montre la suite : la mise en œuvre s'est poursuivie depuis 2014, les derniers arrêtés sectoriels datent de 2017, et 1 000 systèmes d'importance vitale avaient été déclarés cette année-là1. Les sources citées ici ne donnent pas d'état plus récent de l'application de la LPM aux OIV.
Le passage à NIS 2
La directive NIS, adoptée le 6 juillet 2016, a été transposée en France par la loi du 26 février 2018. La mise en place de la notion d'opérateurs de services essentiels permettra d'englober des entités au-delà des OIV1.
La directive NIS 2 (directive 2022/2555) est entrée en vigueur en janvier 2023. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer, et la première directive NIS est abrogée depuis le 18 octobre 20245. Elle couvre 18 secteurs critiques et ajoute des secteurs comme les services numériques, la gestion des déchets, les services postaux et l'administration publique5. En règle générale, les entités moyennes et grandes de ces secteurs doivent prendre des mesures de gestion des risques et notifier les incidents importants aux autorités nationales5. La directive instaure aussi la responsabilité de la direction en cas de non-respect de ces mesures5.
Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS 2 pour clarifier le droit et simplifier la mise en conformité5. Les sources citées ici ne précisent pas l'état de la transposition de NIS 2 en droit français ni son effet sur le statut d'OIV.
Fiche
- Identifiant
- CP-371
- Aile
- 6. Gouvernance et GRC
- Compétence Brain
- Protéger les données (safeguard_data)
- Réflexe Brain
- cr-036
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 5 sources vérifiées le 3 novembre 2026
Sources5 sources
- Sénat, « Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX) », 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consulté le 3 novembre 2026)
- Sénat, « Programmation militaire 2014-2019 ». https://www.senat.fr/leg/pjl12-822.html (consulté le 3 novembre 2026)
- Sénat, « Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat », 20 novembre 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consulté le 3 novembre 2026)
- Sénat, « Programmation militaire 2014-2019 - Sénat ». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consulté le 3 novembre 2026)
- Commission européenne, « NIS2 Directive: securing network and information systems ». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consulté le 3 novembre 2026)
Citer cet article
Brain, « La LPM et les opérateurs d'importance vitale », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_fr_2026,
author = {Brain},
title = {La LPM et les opérateurs d'importance vitale},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/lpm-oiv-operateurs-importance-vitale/},
note = {CC BY 4.0}
}